ディスカウントストア「MrMax」を展開するミスターマックス・ホールディングスは10月6日、サーバーへの不正アクセスにより、公式アプリ会員・オンラインストア会員を中心に最大約173万5,154人分の個人情報が流出した可能性があると発表した。住所・生年月日・クレジットカード情報・パスワード・購入履歴は対象に含まれていない。
事案の詳細
ミスターマックスによると、2026年10月3日夕方にサーバーへの不審なアクセスを確認し、直ちに対象サービスを停止した。調査の結果、10月3日時点でMrMaxアプリおよびオンラインストアに登録していた会員情報の一部が、第三者に取得された可能性があることが判明した。
流出した可能性がある情報は、会員ID、氏名、メールアドレス、電話番号で、会員の登録状況によって対象となる項目は異なる。住所、生年月日、クレジットカード情報、パスワード、購入履歴については流出していないことを確認済みとしている。対象者数は最大で約173万5,154人に上る。
不正アクセスの具体的な手口、侵入経路、悪用された脆弱性の詳細については、本記事執筆時点で明らかにされていない。10月6日時点で、流出した情報を悪用した被害は確認されていないという。
影響と背景
福岡を拠点に九州・中国地方で店舗展開するミスターマックスは、公式アプリやオンラインストアを通じて多くの会員を抱えており、今回の流出規模はその会員基盤の大きさを反映している。クレジットカード情報やパスワードが対象外であるため直接的な金銭被害のリスクは相対的に低いと見られるが、氏名・メールアドレス・電話番号の組み合わせは、同社を装うフィッシングメール・SMSの材料として悪用される可能性がある。
「被害が確認されていない」という発表は、あくまで発表時点で確認できた事実であり、将来にわたって被害が生じないことを保証するものではない点にも留意が必要だ。
対策・今後の展望
- 利用者側：MrMaxアプリ・オンラインストアの会員である場合、公式からの案内を確認する。同社を装う「お詫び」「ポイント進呈」などのメール・SMSのリンクを安易に開かない。
- フィッシングへの警戒：会員ID・氏名・連絡先が流出した可能性があるため、本人を特定した上での精巧なフィッシングに注意する。
- 事業者側の対応：ミスターマックスは不正アクセスの発覚後、直ちにサービスを停止する対応を取っている。今後、外部専門機関と連携した原因調査、再発防止策の公表が見込まれる。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用でも、「被害は確認されていない」という発表段階で対応を終えてしまい、その後の経過観察が手薄になる例が見られる。実際には、流出した情報が時間を置いてから悪用されるケースもある。
【平易な解説】「被害が確認されていない」は「被害が起きない」という意味ではない。例えるなら、空き巣に入られた形跡はあるが、まだ何も盗まれていないことが確認できた段階に近い。油断せず、しばらくは不審な連絡への警戒を続ける必要がある。
【今週中にできること】MrMaxの会員である場合、しばらくの間、同社を名乗るメール・SMS・電話に対して警戒を継続する。自社で会員向けアプリやECサイトを運営している場合は、不正アクセスを検知した際に即座にサービスを停止できる体制（エスカレーション手順、権限を持つ担当者の明確化）が整っているか、今回の事例を参考に点検したい。