株式会社ドトールコーヒーは2026年10月26日、同社システムの一部が不正アクセスを受け、従業員と退職者の個人データが第三者に閲覧され、外部に流出した可能性があると発表した。対象者は首都圏の4店舗に勤務していた従業員と退職者の計951名で、対象の情報には氏名や住所に加えて銀行口座番号も含まれる。現時点で顧客情報への不正アクセスは確認されていないとしている。
10月20日に検知、4店舗の勤務者が対象
発表によると、ドトールコーヒーは10月20日に自社システムへの不正アクセスを検知した。調査の結果、そのシステムに保存されていた従業員と退職者の個人データが閲覧され、外部に流出した可能性があることが確認された。
対象となるのは、ドトールコーヒーショップの西武大泉学園駅店、国立大学通り店、東京駅八重洲中央口店、石神井公園駅前店の4店舗に勤務していた従業員と退職者である。流出のおそれがある情報は、氏名、生年月日、住所、メールアドレス、電話番号、銀行口座番号の6項目とされている。
侵入の経路など、原因の詳細は公表されていない。
退職者には公表文で通知
同社は被害拡大を防ぐための措置を講じたうえで事実関係の調査を進めており、個人情報保護委員会への報告も行った。漏えいのおそれがある従業員には順次連絡し、退職者に対してはこの公表文をもって通知するとしている。現時点で関連する二次被害は確認されていないという。
同社は対象者に対し、不審な電話やメール、SMS（ショートメッセージ）、郵便物、身に覚えのない請求に注意するよう呼びかけている。
店舗の人事・給与情報も守るべき個人情報
今回流出した可能性があるのは顧客ではなく、店舗で働く人の情報である。氏名や住所、生年月日、銀行口座番号がそろった情報は、本人になりすました詐欺や、給与振込の変更を装う手口などに悪用されるおそれがある。
多店舗展開する事業では、アルバイトを含む多くの従業員と、すでに辞めた人の情報がシステムに長く残っていないかを確かめる必要がある。退職者への連絡方法も課題になり得る。今回、同社は退職者には公表文をもって通知するとしている。人事・給与に関わるシステムを顧客向けシステムと同じ水準で守ること、保存期間を過ぎた退職者の情報を定期的に削除することが、被害の範囲を小さくするための対策として重要である。
同じ手口に、自社は備えられていますか？