セイコーマートアプリへの不正アクセス、たった1件の不審な退会操作はなぜ57万件の流出に広がったのか。発表の中身を確かめる

まず初めに

たった1人分の「不審な退会処理」を見逃さなかったことは褒めていい。だがそこから引っ張り出されたのが57万アカウント分の個人情報だったというのだから、氷山の一角という言葉の重みを久々に実感させられる話だ。北海道の暮らしに欠かせないコンビニのアプリが、まさかここまで大きな穴を抱えていたとは、道民でなくても他人事ではいられない。※個人の感想です

何が起きているのか

株式会社セイコーマートは2026年9月29日、スマートフォン向け「セイコーマートアプリ」の会員情報を保有するサーバーへの不正アクセスについて発表しました。発表によると、事の発端は2026年9月24日22時から23時ごろ、1アカウントに対して不審なクラブカード退会処理が行われていたことを同社が確認したことでした。

この不審な操作を受けて社内で調査を進めた結果、2026年9月28日17時過ぎ、会員情報を保有するサーバー自体に第三者からの不正アクセスがあった可能性が判明しました。同社は同日20時に当該サーバーへの接続を停止し、被害の拡大防止に動いています。

調査の結果、影響を受けた可能性があるのは「セイコーマートクラブ」会員の約57万アカウントです。第三者に閲覧された可能性がある情報は、姓名・性別・生年月日・住所・電話番号・メールアドレス、そしてクラブカードへの入会年月日・退会年月日です。一方で、パスワードは漏えいの恐れがないとしており、クレジットカード情報はもともとセイコーマート側で保有していないため対象外です。電子マネー「ペコママネー」についても、9月29日時点で不正利用は確認されていないと説明しています。

同社は対応として、新規入会・会員情報の変更・登録カードの変更・退会・マイページへのログインといった機能を一時的に停止しています。

なぜ重要なのか

セイコーマートは北海道を地盤に、関東地方にも店舗を展開する大手コンビニエンスストアチェーンです。会員向けの「セイコーマートクラブ」は買い物のたびにポイントが貯まる仕組みで、日常的に店舗を利用する幅広い年代の住民が登録しています。約57万アカウントという規模は、地域密着型のポイントサービスとしては決して小さくありません。

今回のケースが示しているのは、たった1件の不審な操作が、システム全体に及ぶ不正アクセスの発覚につながったという点です。もし退会処理の異常に気づかなければ、発覚がさらに遅れていた可能性があります。一方で、氏名・住所・電話番号・メールアドレスといった基本的な個人情報がまとまって漏えいした可能性がある点は、フィッシング詐欺や不審な勧誘の材料に使われるおそれがあるため軽視できません。

私たちへの影響

セイコーマートアプリやセイコーマートクラブの会員である人は、登録しているメールアドレス宛の通知や、セイコーマート公式サイトの発表を確認する必要があります。特に、氏名・住所・電話番号・メールアドレスが漏えいした可能性がある場合、これらの情報を使った不審な電話・メール・SMSが届く可能性に注意が必要です。

パスワードとクレジットカード情報は対象外とされているため、直ちにアプリの不正ログインやカードの不正利用につながる危険性は低いとみられます。ただし、マイページへのログインなど一部機能が一時停止されているため、今後の公式発表に沿って手続きを進める必要があります。セイコーマートやセコマをかたる不審な連絡にも、通常以上に注意しておくとよいでしょう。

初心者が知っておくべきこと

不正アクセスふせいあくせすとは、本来アクセスする権限を持たない第三者が、パスワードの窃取やシステムの脆弱性を突くなどの方法でサーバーやアカウントに侵入する行為のことです。侵入されたサーバーに保存されていた個人情報が閲覧・取得されると、今回のような漏えいにつながります。

電子マネーでんしまねーとは、現金の代わりにスマートフォンやカードで支払いができる仕組みのことです。セイコーマートの「ペコママネー」のように、コンビニ各社が独自の電子マネーを発行しているケースは珍しくありません。今回のように不正アクセスが起きた際は、紐づいている電子マネーの利用履歴に見覚えのない取引がないか確認することが基本的な自衛策になります。

よくある質問

Q. 自分のアカウントが対象に含まれているか、どうすれば分かりますか。 A. 現時点で確認できた出典の範囲では、対象者への個別の通知方法までは明らかになっていません。セイコーマート公式サイトの発表や、登録しているメールアドレス宛の連絡を確認することが基本になります。

Q. クレジットカード情報も漏れたのですか。 A. いいえ。セイコーマートはクレジットカード情報を保有していないため、今回の漏えい対象には含まれていません。

IT Postの見方――「1件の異変」に気づけた会社は、実はまだマシな方だ

IT Postでは、1アカウントの不審な退会処理という小さな異変から、わずか数日で会員サーバーへの不正アクセスを突き止めたスピード感自体は評価できると考えます。世の中には数カ月、数年単位で気づかれない漏えい事案がごろごろしている中で、これは決して悪い対応ではありません。ただし裏を返せば、「小さな異変がなければ気づかなかったかもしれない」というのが今回の怖さだとIT Postでは考えます。57万件という規模の個人情報を預かるシステムが、偶然の1件の不審操作に発見を頼っていたのだとすれば、日頃の監視体制そのものに改善の余地があったはずです。地域の暮らしに根づいたコンビニだからこそ、利用者は「いつも通っている店」という安心感で個人情報を預けています。その信頼に見合うだけの監視体制を、後追いではなく先回りで用意してほしいとIT Postでは考えます。※個人の感想です

今後どうなりそうか

セイコーマートは、対象となる会員への個別連絡や、原因となった脆弱性の詳細、再発防止策について今後さらに発表を行う見通しです。現時点で確認できた出典の範囲では、個人情報保護委員会への報告状況や、警察への相談状況は明らかになっていません。マイページのログインなど停止中の機能がいつ再開されるかについても、今後の続報が待たれます。IT Postでは、続報があれば改めて取り上げます。