--- title: "よーじや、会員情報13万1,557名分の流出を確認。会員情報取得APIが不正利用され、鍵の経路は調査中" description: "株式会社よーじやは2026年11月9日、会員情報管理システムの会員情報取得APIが第三者に不正利用され、会員13万1,557名分の個人情報が取得されたと発表（第一報）。潜在的な最大は13万4,344名。カード情報とログインパスワードは保持しておらず対象外。経緯と対策を整理する" url: https://itpostjp.com/security/yojiya-member-api-unauthorized-access-131557-confirmed-leak/ category: "セキュリティ" published_at: 2026-11-10T21:38:00Z updated_at: 2026-11-10T21:38:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["APIキー", "セキュリティインシデント", "フィッシング"] --- # よーじや、会員情報13万1,557名分の流出を確認。会員情報取得APIが不正利用され、鍵の経路は調査中 IT Post編集部 ＆ 編集長 千田智也 株式会社よーじやは2026年11月9日、会員情報管理システムの会員情報取得APIが第三者に不正利用され、会員13万1,557名分の個人情報が取得されたと発表（第一報）。潜在的な最大は13万4,344名。カード情報とログインパスワードは保持しておらず対象外。経緯と対策を整理する ## 30秒で分かる結論 - 株式会社よーじやは2026年11月9日、会員情報管理システムにおいて、会員情報を取得するためのシステム連携機能（API）が外部の第三者に不正利用され、会員13万1,557名分の個人情報が取得されたと発表しました（第一報）。これは「可能性」ではなく、取得された事実が確認された事案です。潜在的な最大件数は13万4,344名です。 - 対象は、2026年11月7日時点で会員サービス（店舗・オンラインショップ・アプリ）に登録していた一部の顧客で、氏名、住所、電話番号、生年月日、メールアドレス、会員番号、購買統計情報などが含まれます。クレジットカード情報などの決済情報と会員ログインパスワードは、同社が保持していないため流出の危険性はない、としています。 - 同社は、不正利用された可能性のあるAPI認証キーを無効化して新しいキーを発行し、発信元IPアドレスからの通信を遮断しました。認証キーが流出した具体的な経路は調査中です。店舗、オンラインショップ、アプリは引き続き利用できます。 ## まず初めに 今回の発表が他の多くの事案と違うのは、「漏えいした可能性がある」ではなく「取得された」と言い切っている点である。13万1,557名分は確認済み、その先の最大値まで別に示した。逃げの利かない数字を先に出す書き方は、読む側にとっては残酷だが誠実だ。問題は中身だ。システム同士が会員情報をやり取りするための鍵（API認証キー）が、なぜ第三者の手に渡ったのか。その鍵1本で、住所と生年月日と購買履歴の束がごっそり引っ張れる設計になっていたことになる。 ※個人の感想です ## 何が起きたのか 株式会社よーじやは2026年11月9日、「当社システムへの不正アクセスによる個人情報流出に関するお詫びとお知らせ（第一報）」を公表しました。 同社によると、2026年11月7日未明、会員情報取得APIに対する外部からの不正アクセスを確認し、会員情報が外部で取得されたことが判明しました。同社は緊急調査を開始し、不正アクセス経路の遮断など必要な緊急対策を実施した、としています。 | 日時 | 確認した事象 | |---|---| | 2026年11月7日未明 | 会員情報取得APIへの不正アクセスを確認し、会員情報が外部で取得されたことが判明 | | 2026年11月9日 | 第一報を公表（確認済み13万1,557名、潜在的な最大13万4,344名） | 鍵をコードに直接書き込んだことが原因と推定された[ラフールサーベイの事案](https://itpostjp.com/security/lafool-survey-legacy-system-access-key-hardcoded-24232-leak/)とは異なり、今回の第一報では、API認証キーがどの経路で外部に渡ったのかは特定されていません。同社は、システム提供元および外部セキュリティ調査機関と連携し、経路の特定に向けた調査を進めている、としています。 ![よーじやの発表内容（流出が確認された13万1, 557名分と潜在的な最大件数、実施した緊急対策）](/images/articles/yojiya-member-api-unauthorized-access-131557-confirmed-leak-inline-1.webp) ## 流出が確認された情報 現時点で外部に漏えいしたことが確認されている情報は、次のとおりです。 | 項目 | 内容 | |---|---| | 確認済み件数 | 131,557名 | | 潜在的な最大件数 | 134,344名 | | 対象となる顧客 | 2026年11月7日時点で当社会員サービス（店舗・オンラインショップ・アプリ）に登録していた一部のお客さま | | 漏えいした情報項目 | 氏名、フリガナ、住所、電話番号、生年月日、性別、メールアドレス、会員番号等の会員情報、購買統計情報 | 13万1,557名は流出が確認された人数で、13万4,344名は潜在的な最大件数です。2つの数字は意味が異なるため、混同しないよう分けて公表されています。 一方、クレジットカード情報などの決済情報と会員ログインパスワードについては、同社で保持していないため、本件による流出の危険性はない、と明記しています。 現時点（2026年11月9日現在）で、顧客情報が不正使用された事実は確認されていません。 ## 同社の対応 同社が実施した緊急対策は、次の3点です。 - 不正アクセスに利用された可能性のあるAPI認証キー（システム間の接続時に使用する認証情報）を無効化し、新たな認証キーを発行した - 正常なシステム通信への影響がないことを確認したうえで、不正アクセスの発信元となったIPアドレスからの通信を完全に遮断した - 不正アクセスの対象となったAPIについて、一定の条件に該当するアクセスを制限する機能を追加し、不審なアクセスを遮断する対策を講じた 対象となる顧客には、登録メールアドレスへ順次連絡するとしています。個人情報保護委員会や警察などの関係機関への報告も速やかに対応を行う、ということです。 店舗での運用も変更されています。なりすましとポイントの不正利用を防ぐため、実店舗における「会員番号・電話番号の口頭申告のみによるポイント利用」を一時停止し、アプリ会員証の現物の提示など本人確認を徹底する、としています。また、公式アプリではセキュリティ強化版への切り替えのため、起動時に強制アップデートの案内が表示される場合がある、ということです。 当社グループの店舗、オンラインショップ、アプリは引き続き利用できます。問い合わせ先は、同社のお客さまお問い合わせフォームと、メールinfo@yojiya.jpです。 ## 会員が気をつけること 同社は、本件に便乗した詐欺や不正利用を防ぐため、次の注意を呼びかけています。 - 同社を騙り、リンク先でパスワードやクレジットカード情報の再入力を促す不審なメッセージが届いた場合は、URLをクリックせず速やかに削除する - 同社からメールやSMSでパスワードの再入力を求めるリンクを送ることは一切ない 今回、流出が確認された情報には会員番号と電話番号が含まれます。店頭での口頭申告によるポイント利用が一時停止されたのは、この組み合わせが「本人になりすます材料」になるためです。電話番号と会員番号を知っている相手からの連絡でも、それだけで本人確認が済んだとは考えないでください。不審なメールの見分け方は、[フィッシングSMSの見分け方をまとめたガイド](https://itpostjp.com/guides/how-to-spot-phishing-sms/)も参考になります。 ## IT Postの見方 IT Postでは、今回の発表は「確認済み」と「潜在的な最大」を分けて出した点で、最近の漏えい発表の中でも読み手に誠実な部類だと考えます。可能性の上限だけを大きく出す発表が多い中で、取得が確認された人数を先に確定値として置いたことで、会員は自分の受け止め方を決めやすくなっています。店頭のポイント利用の停止まで同じ発表の中で案内したのも、情報が「出た」だけでなく「使われ得る」ことまで見た対応です。 ただし、核心は未解明のままです。API認証キーは、システム同士の連携のために置かれた「合鍵」です。その合鍵がなぜ第三者に使えたのか。発行先の管理が甘かったのか、別のシステムから漏れたのか、そもそも鍵に有効期限や利用範囲の制限が無かったのか。鍵を差し替える応急処置は済んでいても、流出経路が特定されなければ、同じ形の連携が他にも残っていないかは分かりません。続報で示すべきは、件数の更新よりも先に、この経路の説明です。 ※個人の感想です ## 今後どうなりそうか 同社は、新たにお知らせすべき事実が判明した場合は公式ホームページで速やかに知らせる、としています。次の確認点は、API認証キーの流出経路の特定、対象範囲の確定（確認済み件数の更新）、不正使用の有無、そして再発防止策です。 IT Postでは、続報が公表された場合は本記事を更新します。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [【重要】当社システムへの不正アクセスによる個人情報流出に関するお詫びとお知らせ](https://www.yojiyacosme.com/2026/11/09/%e9%87%8d%e8%a6%81%e3%81%aa%e3%81%8a%e7%9f%a5%e3%82%89%e3%81%9b-2/) — 株式会社よーじや（一次情報） - [京都発の化粧品・雑貨ブランド よーじや、サイバー攻撃で最大13万4,344人の個人情報漏洩の恐れ-会員情報取得APIを不正利用](https://rocket-boys.co.jp/security-measures-lab/yojiya_member_api_unauthorized_access_131557_confirmed_20261109/) — セキュリティ対策Lab（株式会社ロックトボーイズ） ## この記事に出てくるIT用語 - [APIキー](https://itpostjp.com/terms/api-key/): あるサービスのAPI(外部プログラムからの操作窓口)を、正当な利用者だけが呼び出せるようにするための、パスワードのような文字列です。 - [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。 - [フィッシング](https://itpostjp.com/terms/phishing/): 実在する企業になりすまして、パスワードやカード番号をだまし取る詐欺です。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/yojiya-member-api-unauthorized-access-131557-confirmed-leak/