ドトールの通販サイトに不正アクセス｜会員情報など2.4万件

ドトールコーヒーは2026年11月6日、公式通販サイト「ドトール オンラインショップ」の管理画面が第三者の不正アクセスを受け、会員の情報が流出した可能性があると公表しました。 対象は会員情報24,762件と届け先の情報9件の計24,771件です（ドトールコーヒーの2026年11月6日の発表）。 10月25日までに「ドトール オンラインショップ」に会員登録した人に関係します。

公表された内容

• どう分かったか：10月28日に決済代行会社から「サイトに不審な動きがある」と連絡があり、サイトの開発・保守の委託先が調べたところ、10月24日〜25日に第三者が管理画面に入り、会員情報を出力・閲覧していたことが分かりました。ドトールが報告を受けたのは10月30日です
• 流出した可能性がある情報：会員ID・氏名・住所・メールアドレス・電話番号・購買情報・届け先の情報（氏名と都道府県）。会社名・生年月日・性別・職業などは登録した人のみ。計24,771件（ドトールコーヒーの2026年11月6日の発表）
• 含まれない情報：ログインのパスワードとクレジットカードの情報は漏えいしていないと確かめたとしています
• 原因・侵入の経路：管理画面に入られた方法は公表されていません。委託先と詳しく調べています
• 二次被害：11月6日の時点で確認されていないとしています

経緯

• 2026年10月20日：社内システムへの不正アクセスを検知（従業員・退職者の情報。通販サイトとは別の事案）
• 2026年10月26日：従業員・退職者951人の情報が流出したおそれを公表
• 2026年10月24日〜25日：通販サイトの管理画面に不正アクセス
• 2026年10月28日：決済代行会社から不審な動きの連絡
• 2026年11月6日：通販サイトの件を公表。同じ日に、従業員・退職者の件で流出したおそれのある項目（従業員番号・国籍情報・社会保険の状況・保護者の情報など）を追加した更新版を公表

会社の対応

• 通販サイトを一時止め、定期購入を休止。受注が決まっていた商品は発送するとしています
• アクセスの制限を強め、個人情報保護委員会に報告し、警察に相談しています
• 11月11日10時から電話の窓口を開くとしています。パスワードやカード番号をメール・電話で聞くことはないとしています

中小企業が今日からできること

• 通販サイトの管理画面の入口を絞る：管理画面に入れる人と接続元（社内・委託先の決まった場所）を限り、多要素認証をかける。退職者や使っていないアカウントを消す
• 会員情報を一括で出力できる権限を見直す：今回は会員情報が出力されています。CSV などで一括出力できるアカウントを最小にし、出力したら通知が来るかを確かめる
• 決済代行会社やカートの会社からの連絡の受け口を決める：「不審な動きがある」という連絡を受けたときに、誰がすぐ委託先に調べさせるかを決めておく
• 委託先との報告の期限を決める：委託先が見つけた事故を何日以内に知らせるかを、契約や運用の決まりに書いておく