ミスターマックスで最大173万人分の会員情報が流出したおそれ

「ミスターマックスのアプリを使っているけれど、自分の情報は大丈夫？」
「氏名と電話番号だけの流出なら、気にしなくてもいいの？」

チップス

ボス！ミスターマックスのアプリで173万人分の会員情報が流出したかもしれないって聞いたでしゅ！

ボス

住所やカード番号は無事だと会社は言っている。だが、氏名と電話番号とメールアドレスがそろえば、なりすましの材料としては十分だな。

「カード情報は流出していません」と聞くと、つい安心してしまいます。
しかし、連絡先のセットが流れた場合の本当のリスクは、その後に届く詐欺メールや電話にあります。
この記事では、公式発表をもとに事件の経緯と、利用者・企業それぞれが押さえるべき点を整理します。

3行で分かるニュースのポイントは以下の通りです。

読み終えるころには、届いたメールが本物かどうかを見分ける視点が身についているはずです。

ミスターマックス不正アクセス事件の概要

九州を地盤とするディスカウントストアの会員基盤が狙われました。

発覚から公表までの流れ

株式会社ミスターマックスは2026年10月6日、MrMaxアプリおよびオンラインストアのサーバーが第三者による不正アクセスを受けたと公式サイトで公表しました。
同社の説明による経緯は以下の通りです。

発覚当日にサービスを止めて遮断まで進めた点は、初動として評価できます。
個人情報保護委員会へ報告し、警察にも相談したうえで、外部の専門機関による調査が進んでいます。

流出したおそれがある情報

対象は最大1,735,154人分で、項目ごとの状況は以下の通りです。

金銭に直結する情報は守られた一方で、本人に連絡できる情報はそろって外に出た可能性があります。

チップス

カードもパスワードも無事なら、もう安心でしゅね！

ボス

そこが落とし穴だ。名前で呼びかけてくるメールは、本物らしく見える。攻撃者はその信用を使ってカード番号を聞き出しに来るんだ。

ソフトウェアの機能を不正利用された原因と教訓

侵入の手口はソフトウェアの機能の不正利用で、狙われたのは会員サービスのサーバーでした。

ソフトウェアの機能の不正利用が入口になった

同社は、第三者が本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入したと説明しています。
具体的なソフトウェア名や不正に利用された機能は、公表時点では明らかにされていません。
同じ週には、アンケートサイト「infoQ」も脆弱性を突かれた不正アクセスを公表しており、会員サービスを持つ企業への攻撃が続いています。

このような事件から企業が見直すべき点は以下の通りです。

今回、検知した当日に遮断まで進められたのは、3点目が機能した結果といえます。

利用者が警戒すべき二次被害

同社は、パスワードやクレジットカード番号を尋ねることはないと明言しています。
利用者が注意したい点は以下の通りです。

不審な連絡を受けたら、メール内のリンクではなく公式サイトから情報を確かめてください。

チップス

お詫びクーポンって書いてあったら、ぼく絶対クリックしちゃいましゅ……

ボス

攻撃者はそれを分かっている。事件の直後こそ、届いた連絡を疑ってかかるんだ。

まとめ

ミスターマックスの事件では、最大173万人分の連絡先情報が流出したおそれがあります。
カード情報やパスワードが無事でも、氏名入りの詐欺メールという形で被害が後からやってくる可能性があります。
企業はサービスを構成するソフトウェアの点検を、利用者は事件後の連絡を疑う習慣を、それぞれ徹底したいところです。

ボス

ふふふ。流出の知らせを聞いたら、次に来るのは偽物の連絡だと思っておけ。

チップス

リンクは押さずに公式サイトを見る、覚えたでしゅ！

脆弱性管理やインシデント対応を担えるセキュリティ人材は、小売業でも求められています。
経験を生かせる案件を探している方は、以下から確認してみてください。