松屋公式アプリ管理システムへの不正アクセス（237万7,127件ほか）：氏名・電話番号・届け先住所が漏れた会員がやること

漏えいしたのは、氏名・電話番号に加えて、届け先住所（松弁ネット等）や生年月日・メールアドレス（アプリ会員）などです。これだけそろうと、宛名も住所も正しい、本物らしい連絡が作れます。

「ポイントが失効する」「会員ランクの再設定」「お詫びのクーポン」「補償の手続き」といった名目の連絡が来ても、本文のリンクは開かず、自分で公式サイトや公式SNSを開いて確かめてください（見分け方は フィッシングとは）。

同社は別のお知らせで、アプリ版MATSUYA PASSを購入した人（2026年9月26日〜10月28日の購入者）に、券売機で使える専用QRコードを2026年11月1日までにメールで送るとしています。こうした「同社から届くはずのメール」は、偽物が紛れ込みやすい場面です。

届いたメールのリンクは開かず、同社の公式サイトで案内を確認してから対応してください。同社は、メールや電話でパスワードやクレジットカード情報を尋ねることはないとしています。

アプリ会員の分は、暗号化されたパスワードと、メールアドレス・生年月日が漏えいしました。暗号化の方式や強度は公表されていないため、松屋と同じパスワードを他のサービスで使っているなら、そちらを先に変えます。

棚卸しは パスワードマネージャー が現実的です。使い回したパスワードが過去の漏えいに含まれていないかは パスワード漏えいの確認方法 で調べられます。松屋のアプリは停止中なので、アプリ側のパスワード変更は、復旧後に公式の案内に従います。

松弁ネット・モバイルオーダー・松弁デリバリーの分には、お届け先住所と電話番号が含まれます。「不在のため持ち帰りました」「住所が確認できません」といった配送業者を装うSMSは、松屋と無関係な名目でも、住所と氏名が合っていれば本物に見えます。

電話番号と住所は簡単には変えられないため、今後も届く可能性があります。迷惑SMS・迷惑電話のフィルターを有効にしておくと、届く数を減らせます（スマホを安全に使う基本）。

同社は本件の問い合わせ窓口として「個人情報お問い合わせ窓口」を案内しています（電話 0422-38-1121、平日10:00〜16:00、土日祝日休業、音声案内後に「1」。メールアドレスも同社のお知らせに載っています）。問い合わせ先は、届いた連絡に書かれたものではなく、松屋フーズの公式サイトのお知らせに載っているものを使います。

今回の対象は、アプリや注文サービスの利用者の情報を持つ管理システムでした。管理画面や管理用APIは、一般の利用者向けの画面より強い権限を持つため、誰がどこから開けるかを棚卸しします。

インターネットから誰でも開ける状態にせず、接続元の制限と多要素認証をかけます（考え方は 多要素認証ガイド）。

今回は、アプリ会員と、モバイルオーダー・デリバリーなどの注文サービスの利用者が、同じ管理システムの対象として発表されています。サービスをまたいで共通の基盤を使うと、1か所の侵害が複数のサービスの利用者に及びます。

共通基盤にどのデータを置いているか、サービスごとに閲覧できる範囲を分けられているかを確認します。件数の上限と通知の考え方は 焼肉きんぐアプリの事案 でも整理しました。

同社は、クレジットカード情報は保持していないとしています。同じように、注文に必須でない項目（生年月日、過去の住所など）を持ち続けていないかを定期的に見直します。

パスワードは平文で持たず、ソルト付きの強い方式で保存します（パスワードの保存とハッシュ化）。