ミスターマックスのアプリとオンラインストアに不正アクセス。最大173万5,154人の氏名や電話番号が流出

01発表されている事実

1. 2026年10月3日夕方

   サーバーへの不審なアクセスを検知。直ちにサービスを一時停止し、外部からのアクセスを遮断

2. その後の調査

   第三者がサービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入し、会員の個人情報の一部が流出したことを確認

3. 10月6日

   公表

流出した可能性があるのは、会員ID、氏名、メールアドレス、電話番号です（登録内容により異なる）。住所、生年月日、クレジットカード情報、パスワード、購入履歴は流出していないことを確認したとしています。同社は侵入経路の遮断、個人情報保護委員会への報告、警察への相談を行い、外部の専門機関と調査を進めています。発表時点で、流出した情報の悪用は確認されていません。

02読者への影響

パスワードは流出していないため、アカウントに勝手にログインされる心配は小さいと考えられます。気をつけたいのは、氏名・電話番号・メールアドレスを使った偽の連絡です。同社は、同社や関係者を装うメール・SMS・電話・郵便に注意し、不審なメールや添付ファイルは開かずに削除するよう求めています。同社がパスワードやカード番号を尋ねることはありません。対象者への個別のお詫びメールは noreply@mrmax.jp から送るとしています。それ以外の差出人から「お詫び」「補償」をうたうメールが来たら疑ってください。問い合わせ先は incident-desk@mrmax.co.jp です。

03今すぐやること

1. ミスターマックスを名乗るメール・SMSは、差出人を確かめ、リンクから個人情報を入れない
2. 不審な電話で「会員情報の確認」を求められても答えない
3. 警察庁のフィッシング対策のページを参考に、携帯会社の迷惑メッセージ対策を有効にする

04同じことを防ぐには（アプリやECサイトを運営する小売業）

同社は、ソフトウェアの「機能」を不正に使われたと説明しています。脆弱性だけでなく、本来の機能が想定外の使われ方をすることも入口になります。

• サイトやアプリを構成するソフトウェア（CMS、ECパッケージ、ライブラリ）の一覧を持ち、更新や設定を定期的に点検する
• 管理機能やデバッグ用の機能が外から使えないようにする
• 夕方や週末に異常に気づける監視と、すぐサービスを止める判断の手順を決めておく

今回、同社は検知した当日のうちにサービスを止め、3日後に公表しています。対象者へのお詫びメールの差出人アドレスを先に知らせたことも、偽メールとの見分けに役立ちます。事故時に使う差出人や連絡手段を、あらかじめ決めておいてください。図鑑では、脆弱性診断とWAFのサービスを比べられます。