ミスターマックスに不正アクセス｜アプリ会員など最大173万人の情報流出

ディスカウントストアを展開するミスターマックス・ホールディングスは、2026年10月6日、グループのミスターマックスが運営する MrMax アプリとオンラインストアのサーバーが不正アクセスを受け、会員の情報の一部が流出したと公表しました。 対象は最大1,735,154人（2026年10月3日時点の会員数）で、会員 ID・氏名・メールアドレス・電話番号です（同社の2026年10月6日の発表）。 MrMax アプリやオンラインストアの会員と、アプリやネットショップを運営する会社に関係する話です。

公表された内容

• 対象：MrMax アプリ会員とオンラインストア会員。最大1,735,154人（2026年10月3日時点で登録している会員）
• 流出した情報：会員 ID・氏名・メールアドレス・電話番号。登録の状況によって対象の項目は異なるとしています
• 流出していない情報：住所・生年月日・クレジットカード情報・パスワード・購入履歴は流出していないと確認したとしています
• 原因：第三者が、サービスを構成するソフトウェアの機能を不正に使ってサーバーに侵入したとしています。ソフトウェアの名前は公表されていません
• 悪用：発表の時点で、流出した情報を使った被害は確認されていないとしています
• 連絡：対象の会員には、noreply@mrmax.jp からメールで個別に連絡するとしています

経緯

• 2026年10月3日夕方：サーバーへの不審なアクセスを確認。すぐにサービスを止め、同日中に外部からのアクセスを遮断
• その後の調査：ソフトウェアの機能を不正に使った侵入と、会員の個人情報の一部の流出が判明
• 2026年10月6日：適時開示とミスターマックスのサイトで公表。個人情報保護委員会へ報告し、警察にも相談しているとしています

続報は、2026年10月27日の時点で公表されていません。

中小企業が今日からできること

• ネットショップやアプリの部品の設定を見直す：今回は「ソフトウェアの機能」を不正に使われたとしている。使っていない管理画面・API・ファイルの読み出し機能が外から呼べる状態になっていないか、制作会社に確かめる
• 不審なアクセスに気づいたら止める手順を決める：同社は気づいた当日にサービスを止めて遮断している。止める判断を誰がするか、止めたときのお客様への案内文を先に用意しておく
• お客様への連絡に使う送信元を決めて公表しておく：同社は連絡に使うアドレスを明記した。自社でも正式な送信元のアドレスを決めておくと、なりすましのメールと見分けてもらいやすい
• 会員の連絡先がそろって流出したときの詐欺に備える：氏名・電話番号・メールアドレスを使った、それらしいメールや SMS が届くことがある。社内にも、リンクを開かず公式サイトから確かめるよう伝える