セイコーマートアプリの不正アクセス（約57万人）：住所・生年月日などが見られた会員がやること

流出したのは、姓名・住所・生年月日・電話番号・メールアドレスがそろった情報です。これだけそろうと、宛名も住所も正しい、本物らしい連絡が作れます。

「お詫びのポイント付与」「会員情報の再登録」「ペコママネーの残高確認」といった名目の連絡が来ても、本文のリンクは開かず、必要なら自分で公式アプリを開くか店頭で確かめてください。SMSで届く偽の通知（スミッシング）や、電話で個人情報を聞き出す手口も同じ考え方で対処します（見分け方は フィッシングとは）。

同社は、メールでパスワード、ペコマカードのPIN、クレジットカード情報、預金情報などを聞くことは絶対にないとしています。

相手が氏名や生年月日を正しく言えても、それは本物である証拠になりません。今回まさにその情報が閲覧されたからです。

生年月日は、カードの暗証番号や「秘密の質問」の答え、電話窓口での本人確認によく使われます。今回は生年月日と住所・電話番号が一緒に閲覧されました。

ペコマカードや銀行のカード、他のサービスの暗証番号に生年月日の数字を使っているなら、関係のない数字に変えておきます。電話窓口で合言葉や追加の確認を設定できるサービスなら、設定しておくと安心です。

同社はパスワード情報は漏えいしていないと発表しており、パスワード変更は呼びかけていません。マイページへのログイン自体も、10月3日時点では停止中です。

ただし、セイコーマートと同じパスワードを他のサービスでも使っているなら、この機会に分けておきます。棚卸しは パスワードマネージャー に任せるのが現実的です。

同社は、現時点でペコママネーの不正な利用は確認されていないとしています。ペコママネーの利用・チャージ、ポイント付与、会員価格での購入は通常どおり使えます。

レシートなどで残高に覚えのない減りに気づいたら、お客様相談室（0120-89-8551、月〜土 9:00〜17:00）に連絡してください。電話番号は、届いた連絡に書かれたものではなく、公式サイトに載っているものを使います。

アプリの画面に必要なのは、通常はログインしている本人の情報だけです。アプリ用のサーバーが全会員の住所・生年月日を一度に読める権限を持っていないか確認します。

本人以外のレコードを返さない、一度に返す件数に上限を設ける、といった制限を、アプリ側とデータベース側の両方で設けます（考え方は 認証と認可の違い）。

今回の発覚のきっかけは、1件のアカウントで不正に退会処理が行われたことでした。退会、登録カードの変更、連絡先の変更のように、会員の状態を変える操作は件数が少ないため、普段と違う動きが目立ちます。

まずは、こうした操作の1時間あたりの件数を記録し、普段の数倍になったら担当者に通知する設定から始めます。上限を設けたうえで到達を通知する考え方は レート制限と濫用対策 にまとめています。

法令や会計上の理由で残す必要がある項目と期間を整理し、それ以外は退会から一定期間で自動的に消す仕組みにします。手作業の削除は続きません。