「大起水産」公式アプリに不正アクセス、なぜ退会者も含む17万4933人が対象になったのか。2年近い登録データの範囲を確かめる

まず初めに

発覚から発表までに、実に3週間もかかっている。*「とりあえず調査してから発表しよう」という判断自体は分からなくもないが、回転寿司を食べに来た客の個人情報が、お店が気づいてから3週間も宙に浮いていたと知ると、なんとも落ち着かない気分になる。*幸いパスワードは別管理で守られていたようだが、気づくのがもう少し早ければ、とは思ってしまう。※個人の感想です

何が起きているのか

大起水産は2026年10月5日、同社が運営する公式スマートフォンアプリ「大起水産アプリ」について、第三者による不正アクセスを受け、登録者の個人情報が外部に流出した可能性があると発表しました。不正アクセスが確認されたのは9月15日で、発表までに約3週間かかっています。

対象となるのは、2024年11月1日から2026年9月15日までの間にアプリへ登録した利用者で、退会済みの会員も含め17万4,933人に上ります。漏えいの可能性がある情報は、氏名・電話番号・メールアドレス・性別・郵便番号・生年月日です。このうち住所と生年月日は任意登録の項目のため、登録した利用者全員が対象というわけではありません。ログインパスワードは別のサーバーで管理されており、今回の対象には含まれていないとしています。

大起水産は、外部の専門調査会社による調査を進めるとともに、個人情報保護委員会への報告を行ったとしています。10月5日時点では、漏えいした可能性のある情報が実際に外部へ公開された事実や、不正に利用された事実は確認されていないとしています。

なぜ重要なのか

今回の件で注目すべきは、対象期間の長さです。2024年11月からの約2年近い登録データが対象になっており、過去にアプリへ登録しただけで、すでに退会した人まで影響が及んでいる点は、利用者からすると気づきにくいリスクといえます。

また、不正アクセスの確認(9月15日)から発表(10月5日)までに約3週間を要している点も、情報公開のタイミングとして見ておく価値があります。調査に時間がかかる事情はあるにせよ、利用者が自分の情報が対象かどうかを知るまでの期間が長くなるという側面もあります。

私たちへの影響

2024年11月1日から2026年9月15日までの間に「大起水産アプリ」に登録したことがある人は、現在利用しているかどうかに関わらず、氏名・電話番号・メールアドレスなどが流出した可能性があります。ログインパスワードは対象外のため、アプリへの不正ログインの心配は低いとされていますが、氏名や電話番号、メールアドレスを使った不審な電話やフィッシングメール・SMSには注意しておくと安心です。

大起水産は、心当たりのない電話番号や発信元からパスワードや認証コードの入力を求めることはないとしています。そうした連絡が来た場合は、詐欺を疑ってください。

初心者が知っておくべきこと

退会済みの会員も対象になっている点について補足すると、多くのアプリやサービスでは、利用者が退会した後も、一定期間は過去の登録情報をサーバー上に保持している場合があります。これは問い合わせ対応や不正利用防止などの目的で行われることがありますが、今回のように、その保持期間中に不正アクセスを受けると、退会済みであっても影響を受けることになります。

個人情報保護委員会こじんじょうほうほごいいんかいとは、個人情報を取り扱う企業や行政機関を監督する、日本の独立した行政機関です。一定規模以上の漏えいが起きた場合、事業者はこの委員会への報告が義務付けられています。

Q. アプリをすでに削除・退会している場合、関係ないと考えていいですか。 A. 現時点で確認できた出典の範囲では、対象期間中にアプリへ登録したことがある人は、退会済みであっても対象に含まれるとされています。心当たりがある場合は、大起水産の発表内容を確認することをおすすめします。

IT Postの見方――退会したから関係ない、では済まない時代

IT Postは、退会済みの会員まで対象に含まれるという今回の事案が、「サービスを使うのをやめれば情報も消える」という利用者側の思い込みに一石を投じるものだと考える。企業がデータをいつまで、どの範囲で保持しているかは、利用者からは見えにくい。

発覚から発表までに3週間を要した点についても、IT Postは、調査の正確さを優先した結果である可能性は理解しつつ、利用者が自分の情報が対象かどうかを早く知りたいという要望との間には、常に緊張関係があると考える。企業側が公表のタイミングをどう判断したか、今後説明があれば注視したい。

今後どうなりそうか

大起水産は、外部の専門調査会社による調査を継続するとしています。現時点で確認できた出典の範囲では、不正アクセスの具体的な原因や、再発防止策の詳細は明らかになっていません。IT Postでは、調査結果や追加の発表があれば、あらためて取り上げます。