持ち帰り弁当チェーン「ほっともっと」を運営するプレナスは2026年11月4日、外部委託先が提供する「ほっともっとのメールマガジン配信サービス」が第三者による不正アクセスを受け、メールアドレスを含む会員情報が最大約700万件流出したと発表した。流出した情報には、メールアドレスのほか氏名、生年月日、電話番号が含まれる。クレジットカード情報は同社が保有していないため含まれていないという。
不正アクセスは10月28日から31日にかけて発生
プレナスの発表によると、同社は11月2日、メールマガジン配信サービスの外部委託先から、委託先が提供するメール配信サービスに第三者による不正アクセスが発生し、顧客のメールアドレスを含む会員情報が流出したとの報告を受けた。不正アクセスの発生日は2026年10月28日から31日までとしている。
メールマガジン配信サービスは現在すべて停止しており、再開時期は未定である。一方、今回の不正アクセスはメールマガジン配信サービスに対するもので、ネット注文サービスへの影響は確認されておらず、引き続き利用できるとしている。
委託先の社名について、プレナスは発表で明らかにしていない。
氏名、生年月日、電話番号の流出による懸念
メールアドレスだけの流出でも、迷惑メールやフィッシングメール（偽サイトなどに誘導して情報を盗むメール）の増加が懸念される。今回はメールアドレスに加えて氏名、生年月日、電話番号も流出しており、受け取る側が本物と信じやすい、個人を名指ししたメールやSMS（ショートメッセージサービス）、電話の材料になり得る。
プレナスは、同社やそのサービスを装った不審なメールに注意し、本文中のURLへのアクセスや添付ファイルの開封、会員情報やパスワード、クレジットカード情報の入力をしないよう呼びかけている。また、同社からメールなどでパスワードやクレジットカード情報の入力を求めることはないとしている。
販促のために預けた情報も「顧客情報」
メールマガジンは販促の道具として扱われがちだが、配信のために外部へ預ける会員データには、今回のように氏名や生年月日まで含まれていることがある。配信に必要なのがメールアドレスだけであれば、それ以外の項目を委託先に渡さない、あるいは配信後に消してもらうといった、預ける情報や保管期間を必要最小限にする「データの最小化」が、事故が起きたときの被害の大きさを左右する。
自社のシステムが無事でも、委託先が不正アクセスを受ければ、顧客への説明を自社で行うことも想定しておく必要がある。委託先に渡しているデータの項目と保管期間を棚卸しし、委託先で異常が起きたときにすぐ報告を受けられる取り決めになっているかを、この機会に確かめておきたい。
同じ手口に、自社は備えられていますか？