牛丼チェーン「松屋」を運営する松屋フーズホールディングス（東証プライム）は10月30日、松屋公式アプリの管理システムが第三者から不正アクセスを受け、アプリに登録された会員情報などが漏えいしたと発表した。漏えいはモバイルオーダーや宅配の利用者の分が237万7127件、アプリ会員の分が2000件（最大3000件）で、2つの系統で漏れた情報の種類が異なる。同社は10月28日に漏えいを把握した。原因と不正アクセスが可能になった経緯は調査中としている。アプリの停止は31日時点でも続いている。

漏れた情報は2系統、件数と中身が異なる

同社が東京証券取引所の適時開示で示した漏えいの内訳は、次の2つに分かれる。

対象 漏えいした情報 件数
松弁ネット・モバイルオーダー・松弁デリバリーの利用者 会員ID、お届け先住所、氏名、電話番号、会員特典の残高 237万7127件
松屋公式アプリの登録会員 会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、会員特典の残高 2000件（最大3000件の可能性）
松屋公式アプリの不正アクセスで漏えいした情報の内訳

出典: 松屋フーズホールディングス「松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）管理システムに対する第三者からの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月30日）

件数が大きいのは、弁当の事前注文やモバイルオーダー、宅配を使った利用者の系統で、237万7127件にお届け先の住所が含まれる。一方、アプリ会員の系統は件数こそ2000件程度だが、生年月日やメールアドレス、暗号化されたパスワードまで漏れた。同社はクレジットカード情報を保持していないと説明している。

原因は調査中、個人情報保護委員会へ報告へ

同社は、漏えいは第三者による不正アクセスによるものと確認したとする一方、原因と不正アクセスが可能になった経緯の詳細は「調査中」とした。関係各社の協力を得てシステムの復旧を進め、個人情報保護委員会への報告などの対応を進めているという。情報が漏れた利用者には順次連絡し、アプリ会員には利用停止期間中の補償をする予定で、内容は別途知らせるとしている。

個人情報保護法の施行規則は、本人の数が1000人を超える漏えいや、不正の目的で行われたおそれがある行為による漏えいが起きた場合、事業者に委員会への報告と本人への通知を義務づけている。速やかに第一報を出したうえで、事態を知った日から30日以内、不正の目的によるものは60日以内に、原因や再発防止策などを含めた報告をしなければならない。今回は件数が237万件を超え、第三者の不正アクセスによるものと同社が確認しているため、両方の要件に当たる。

同社は利用者に対し、漏れた情報がなりすましなどに悪用される恐れがあるとして、不審なメールやSMS、電話に注意するよう呼びかけた。同社からメールや電話でパスワードやクレジットカード情報を尋ねることはないとしている。件数の多い系統には宅配のお届け先住所が含まれ、住所と氏名、電話番号がそろって漏れている。メールやSMSに加え、松屋を名乗る郵便物や訪問、電話にも注意が要る。問い合わせ窓口として「個人情報お問い合わせ窓口」（電話0422-38-1121、平日午前10時〜午後4時）を設けた。漏えいの通知を受けた後にとるべき手順は、IPA、個人情報が漏れた人向けに対処手順　免許証画像は信用情報機関へ申告をで詳しく扱っている。

アプリ停止の間は会員ランク引き上げと割引コードで代替

アプリの停止により、注文や特典、各種の会員サービスが使えない状態が続いている。同社は自社サイトで、停止期間中の代わりの措置を示した。

アプリ会員は、11月と12月の会員ランクを「前月の購買金額に応じた予定ランク」より1段上に設定する。たとえば11月の予定ランクが「シルバー」の会員は「ゴールド」になる。予定ランクがダイヤモンドランクより上の会員には、食事に使える特典を別に用意する。

割引を受けられる「アプリ版MATSUYA PASS」を9月26日から10月28日までに購入した利用者には、停止中も店頭の券売機で割引を受けられる専用の2次元コードを11月1日までにメールで送る。コードは購入したパスの有効期限まで使える。おわびとして、アプリの復旧を前提に11月28日から12月27日までの30日間使えるパスも用意する。松屋と松のやの公式Xで10月29日に配信した券売機クーポンは、11月11日午後3時まで使える。

同社は31日時点で、アプリの復旧時期を示していない。おわびのパスは「復旧を前提に」11月28日から使えるとしており、それまでに復旧できるかが利用者にとっての目安になる。不正アクセスの経路、アプリ会員への補償の具体的な内容、漏えいした情報が悪用された事実の有無は、いずれも今後の発表を待つことになる。個人情報保護委員会への詳しい報告の期限は、施行規則に基づけば把握した10月28日から60日以内となる。

外食アプリの会員情報、10月に相次ぐ

外食チェーンの公式アプリでは、10月に焼肉チェーン「焼肉きんぐ」でも不正アクセスによる漏えいが起きている。運営する物語コーポレーションは10月5日、同チェーンの公式アプリの会員管理システムが10月2日に不正アクセスを受け、ユーザー登録数1080万8784件のうち1078万8963件の会員番号、氏名（アプリ登録名）、メールアドレス、電話番号が漏えいしたと発表した。ほぼ全ての登録者の情報が漏れた計算になる。

物語コーポレーションは10月20日、再発防止策として、焼肉きんぐを含むグループの計11の公式アプリで保持する個人情報を減らし、氏名と電話番号を保持しない新しいシステムへ2027年上半期に移す方針を公表した。店舗予約との連携のために取得してきた情報を、漏えいした場合の被害を小さくする目的で手放すという。

最近では、インターネット接続サービスの会員データが狙われたSo-net会員データに不正アクセス、258万件漏えい　メール5.4万件はパスワードものように、生活に身近なサービスの会員情報の漏えいが続いている。