株式会社ミスターマックスはアプリ・オンラインストアの会員情報の一部流出を確認。最大173万5154人は可能性の対象上限だ。流出していないと確認した項目、公表対応、通知と注意点を整理する
「流出を確認」と「最大173万人」は、並べるだけで全部が確定したように見えてしまう。だが最大人数は対象範囲の上限で、確認した被害の人数とは別だ。数字を大きく見せるより、何が確認され、何が調査の対象かをそろえる方が、会員には役立つ。財布を預けていなくても、連絡先を預けている。その説明は小さくていい話ではない。※個人の感想です
10月6日の公式発表と同ページのPDFによると、発表主体は株式会社ミスターマックスです。同社は10月3日夕方にサーバーへの不審なアクセスを確認し、直ちにサービスを一時停止、同日中に外部からのアクセスを遮断しました。
調査では、第三者がサービスを構成するソフトウェアの機能を不正利用してサーバーへ侵入し、会員の個人情報の一部が流出したと判明しています。ソフトウェア名や、管理上の過失、他社の事故と同じ攻撃者・手口だったかは、この発表では説明されていません。
| 項目 | 10月6日の公式発表 |
|---|---|
| サービス | MrMaxアプリ、オンラインストア |
| 流出の確認 | 保有する会員情報の一部が外部へ流出したことを確認 |
| 流出の可能性がある対象人数 | 最大1,735,154人。10月3日時点の登録会員 |
| 対象情報 | 会員ID・氏名・メールアドレス・電話番号。登録状況により異なる |
| 流出していないと確認した情報 | 住所・生年月日・クレジットカード情報・パスワード・購入履歴 |
| 悪用による被害 | 発表時点では未確認 |
公式の「最大」は流出可能性の対象上限です。一般向け発表は実際に流出した人数を確定していないため、「最大人数全員が流出した」「会員のほぼすべてが被害を受けた」とは書けません。
一部情報の流出が確認されたことと、対象に含まれる可能性がある人数・情報は分けて読む必要があります。一方、住所など5項目については、単に流出を確認できていないという表現ではなく、「流出していないことを確認」と発表しています。
カード情報やパスワードが流出していないという説明は重要です。ただし、氏名・メールアドレス・電話番号等を使ったなりすましへの懸念までなくなるわけではありません。同社も今後のなりすましメール・フィッシングメールの可能性に注意を促しています。
同社は対象者へメールで個別連絡するとしています。公式PDFは送信元を noreply@mrmax.jp と案内していますが、表示された送信元だけを安全性の保証にはできません。不審なメールや添付ファイルは開封せず削除するなど注意し、メール・SMS・電話・郵便物で同社や関係者を名乗る連絡にも注意してください。
同社が利用者のパスワードやクレジットカード番号を尋ねることはないと説明しています。判断に迷う場合は、届いた連絡の相手へ情報を返す前に公式窓口で確認してください。発表に記載された問い合わせ先は incident-desk@mrmax.co.jp です。
| 公表した対応 | 内容 |
|---|---|
| 初動 | 10月3日にサービスを一時停止し、同日中に外部アクセスを遮断 |
| 調査・監視 | 外部専門機関の協力で詳細調査を進め、監視体制を強化 |
| 報告・相談 | 個人情報保護委員会への報告、警察への相談 |
| 利用者対応 | 対象者への個別メール連絡 |
| 今後 | 調査結果を踏まえ安全対策を強化し、新事実は速やかに公表 |
フィッシングは、企業などになりすました連絡で情報や操作を求める手口です。本件での悪用被害が未確認という発表は、将来も起きないという保証ではありません。サービス停止・遮断の実施も、詳細調査の完了や全面復旧とは別です。
Q. クレジットカード情報は流出しましたか？ A. 同社は流出していないことを確認したとしています。ただし、ほかの対象情報に関する個別通知と不審な連絡への注意は、引き続き確認してください。
IT Postでは、流出していないと確認した項目と、可能性の対象範囲を分けて示す説明は、利用者が判断するために必要だと考える。ただし、それだけで対応全体に合格の判を押すことはできない。詳細調査、個別通知、再発防止の説明まで見たい。
「最大」の札を外せば見出しは派手になる。代わりに、読者が確定人数だと受け取ってしまう。IT Postでは、その交換は割に合わないと考える。確認されたことは強く書き、未確定のことは未確定のまま伝える。
同社は詳細調査と監視強化を進め、調査結果を踏まえた安全対策・再発防止に取り組むとしています。対応が何も公表されていないという状況ではありません。一方、10月6日の発表だけで全調査や通知が完了したとは確認できません。最新状況は公式発表を確認してください。
公式発表とPDFに基づき、会員情報の一部流出の確認と最大173万5154人という流出可能性の対象上限を区別しました。対象外の5項目は流出していないと確認したとの説明に訂正し、発表主体を株式会社ミスターマックスと明示しました。会員ほぼ全員や他社との共通手口・利益の推測を削除し、公表対応と問い合わせ先を反映しました。
Microsoftが2026年10月14日に公表した、中国語圏のフィッシングキット販売網の実態。10億通超のメール・SMS、7万5000以上の組織へ送られた攻撃の仕組みをMicrosoft公式ブログから確かめた
Microsoftが2026年9月29日に公表した、ロシア国家系とされる攻撃グループ「Star Blizzard」の新しいマルウェア配布手口「RedFlick」。2026年1月以降の13件の大規模フィッシング、米英の100超の組織への影響、クリック1回で感染する仕組みを確かめた
ブックオフグループの10月9日公式発表は会員情報の流出を確認した一方、最大約643万件は漏えい可能性のある会員番号の件数と説明。人数・対象項目・公式の注意事項を分けて整理
スカラの10月6日公式発表では最大5社・最大71万3126件の延べ問い合わせが対象。東武鉄道の10月7日発表は閲覧・取得の形跡未確認という報告で、流出ゼロやその理由の証明ではない
