対象：店舗の会員アプリ（スタンプカード・クーポンなど）に電話番号などを登録していて、そのアプリが「トイポ」を使っている人。本記事は株式会社トイポと、利用店舗の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月29日時点まだ分かっていないこと
- 対象の店舗・企業の全体像
- 原因の詳細
- 第三者機関による評価の結果
- 悪用の有無
- 補償の有無
トイポは、「今後、新たに重要な事実が判明した場合には、本ページ等を通じて速やかにお知らせいたします」としています。続報の時期は書かれていません。10月29日に、同社の2つのお知らせページ（10月14日付のものと、日付のないもの）と、利用店舗（JR九州フードサービス・西鉄ウェルネス・萬野屋）のお知らせの両方を確認し、新しい発表は見つかりませんでした。
トイポのアプリを使う店舗の利用者が今日やること
自分が対象かを、アプリ内のお知らせで確かめる
トイポは、店舗向けに会員アプリ（顧客管理アプリ）を提供する会社で、店舗ごとのアプリの裏側で使われています。アプリの見た目や名前は店舗ごとに違うため、アプリ名だけでは分からないことがあります。当サイトが確認した範囲では、トイポは利用店舗の一覧を公表していません。
トイポの10月14日付のお知らせは、対象かどうかを次のように案内しています。
- 対象のお客様は同社が特定済みで、10月13日から順次、アプリ内のPush通知等で「【公式】株式会社トイポ」から個別に連絡している
- ご利用のアプリ内のお知らせに本件のお知らせが届いていれば対象。届いていなければ対象ではない
- 個別に確認したいときは、トイポの窓口へ
店舗に問い合わせても答えられない場合があります。西鉄ウェルネスは、本件はトイポのシステムで起きたため詳細は答えられないとして、トイポの窓口に問い合わせるよう案内しています。
店舗やトイポを名乗る連絡のリンクや番号は使わない
漏えいした可能性のある項目に電話番号とメールアドレス、氏名が含まれます。トイポと西鉄ウェルネスは、この情報を使った不審なメール・SMS・電話・フィッシングが行われる可能性があるとして注意を呼びかけています。
「会員情報の確認」「クーポンの期限」「お詫びの返金」などの連絡が来ても、本文のリンクや書かれた電話番号は使わず、アプリ内の窓口か、発表に載っている窓口で確かめます。トイポは、パスワード、認証コード、クレジットカード番号の入力をお願いすることはないとしています。
パスワードの扱いを決める
トイポは、パスワード等の認証情報は含まれないため、本件を理由としてパスワード変更等のアプリ上の操作は必要なく、アプリやポイント・クーポンもこれまでどおり使えるとしています。同社のよくある質問は、他のサービスで同じパスワードを使っている場合や不審なログインがある場合は変更を検討するよう案内しています。
当サイトは、同じパスワードを複数のサービスで使っているなら、この機会に分けることを勧めます（パスワード漏えいの確認方法／パスワードマネージャーの選び方）。
覚えのない連絡を受けたら、トイポに知らせる
トイポは、届いた連絡が本件に起因するかは同社で断定できないが、関連を確認するため、可能であれば送信元の電話番号、受信日時、内容を窓口に知らせてほしいとしています。URLを開いたり情報を入力したりした場合は、パスワードの変更や、カードを入力したならカード会社への連絡を急ぎます（フィッシングとは）。
もう使わないアプリは、アカウントを削除する
トイポは、アプリの「マイページ」最下部の「アカウントの削除について」から削除できると案内しています。削除すると登録情報を含むすべてのデータが消え、復元できません。反映まで約1週間かかり、その間に再ログインすると削除が取り消されます。契約済みのサブスクや受け取り前の注文があると削除できません。スタンプやクーポンが残っていないかを確かめてから行ってください。
① 店舗・トイポを名乗るメール／SMS／電話
氏名・電話番号が合っている → ここでは判断しない
↓
② リンク・番号は使わず、アプリ内の窓口か、発表の窓口に自分で連絡する
トイポ お客様窓口 0120-546-030（平日9〜18時）
↓
③-A 確かめられない要求
パスワード・認証コード・カード番号の入力、送金 → 応じない
③-B 窓口でも同じ案内がある
手続きは公式の案内に沿って行う
何が起きたのか（トイポと利用店舗の発表より）
以下は、株式会社トイポの2つのお知らせページと、利用店舗のお知らせにもとづきます。一つは「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月14日付、対象人数あり。以下「10月14日付のお知らせ」）、もう一つは「トイポアプリへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（日付の記載なし、人数なし。以下「別のお知らせページ」）です。後者は「漏えいしました」と断定する書き方で、前者は「漏えいした可能性がある」としています。トイポは、店舗向けの顧客管理アプリ「トイポアプリ」を提供する会社です。
2026年10月4日（日）
トイポが、同社システムへの第三者による不正アクセスを確認。一部のシステムに、認証されたユーザーが本来権限のない他のユーザーの情報を取得できるアクセス制御上の脆弱性があり、第三者がこれを利用してユーザー情報を取得した記録を確認10月7日（水）
トイポが、利用店舗の一つ（JR九州フードサービス）に連絡（同社のお知らせ）10月13日までに
不正アクセスに使われたアカウントの停止と、脆弱性の修正を完了。個人情報保護委員会へ報告（いずれも同社の発表。日付は書かれていない）10月13日（火）
専用窓口を13:00に開設し、アプリ内Push通知で対象の人への個別連絡を順次開始（同社の案内）。JR九州フードサービス・西鉄ウェルネスもお知らせを掲載10月14日（水）
トイポが10月14日付のお知らせで、対象ユーザーを697,209名と公表（漏えいした可能性）。萬野屋もお知らせを掲載10月28日
ScanNetSecurityが「69万7,209名のユーザーの登録情報が漏えいした可能性」と報道
- 漏えいした（可能性がある）情報
- 電話番号、ユーザーID等の識別情報。登録している場合は、氏名、氏名カナ、メールアドレス、生年月日、性別、住所（登録している項目は人によって異なり、すべての人にすべてが漏えいしたものではない）
- 含まれない情報（同社）
- パスワード等のログインに必要な認証情報、クレジットカード番号その他の決済情報、ポイント情報、来店履歴、購買・利用履歴（別のお知らせページはさらに、パスワードハッシュ、認証トークン、セッション情報を挙げている）
- 預かっていない情報（同社）
- 本人確認書類の画像やマイナンバー等は、同社のサービスでは預かっていない
- 退会済みの人
- 漏えいが発生した時点で退会済みだった人の個人情報の漏えいは確認されていない（同社）
- 現在の対応（同社）
- 脆弱性の修正を完了。同様の問題が他にないかの確認、アクセス制御の見直し、監視・検知体制の強化。第三者機関によるセキュリティ評価・診断は実施に向けて調整中。個人情報保護委員会へ報告済み。別のお知らせページは、不正アクセスに使われたアカウントの停止とログの保全も挙げている
- 問い合わせ
- 株式会社トイポ お客様窓口：0120-546-030、平日9:00〜18:00。コールセンターの受付は10月30日（金）18:00まで、以降はアプリ内の問い合わせ窓口（同社）
利用店舗のお知らせ
トイポのアプリは、店舗ごとの会員アプリとして使われており、各店舗が自社の対象人数を公表しています。以下は、当サイトが各社の公式お知らせを開いて確認したものです。トイポの697,209名との関係（合計になるか）は、どの発表にも書かれていません。人数は店舗ごとに別の数字で、足し合わせていません。
| 店舗・企業 | お知らせの内容 | 状態 |
|---|---|---|
| JR九州フードサービス（10月13日） | 対象24店舗の会員登録約61,500名のうち、約26,900名の情報が漏えいした可能性。新規会員の募集を停止 | 可能性（同社） |
| 西鉄ウェルネス（西新パレスドーム、10月13日） | 会員アプリ「トイポ」のユーザー情報の一部が漏えい。人数の記載なし | 漏えいを確認（トイポからの連絡として） |
| 萬野屋（10月14日） | 同社がブランド展開に携わる「杵屋萬野」公式アプリの会員212名のうち、12名の登録情報が対象。新規会員登録を一時停止 | 影響対象（同社） |
トイポの発表には、これらのほかにどの店舗・企業が利用しているかは書かれていません。
分かっていること・分かっていないこと
2026年10月29日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスがあったこと | 10月4日に確認。第三者が脆弱性を利用してユーザー情報を取得した記録を確認 | 確定（同社） |
| 電話番号・ユーザーID等の識別情報 | 漏えい | 可能性（同社の10月14日付）。別のお知らせページは「漏えいしました」 |
| 氏名・氏名カナ・メールアドレス・生年月日・性別・住所 | 登録している場合に漏えい | 可能性（同社の10月14日付）。別のお知らせページは「漏えいしました」 |
| パスワード等の認証情報 | 含まれない（別のお知らせページはパスワードハッシュ、認証トークン、セッション情報も挙げる） | 含まれない（同社） |
| クレジットカード番号などの決済情報 | 含まれない | 含まれない（同社） |
| ポイント情報・来店履歴・購買・利用履歴 | 含まれない | 含まれない（同社） |
| 対象の人数 | 697,209名（10月14日付のお知らせ）。ScanNetSecurityも同数を報道。別のお知らせページには記載なし | 公表（同社） |
| 対象かどうかの確認 | アプリ内のお知らせに本件の連絡が届いていれば対象、届いていなければ対象ではない（10月14日付のお知らせ） | 確定（同社） |
| 対象の店舗・企業 | 全体の一覧は記載なし。JR九州フードサービス、西鉄ウェルネス、萬野屋が自社のお知らせを掲載 | 記載なし |
| 原因 | アクセス制御上の脆弱性（認証されたユーザーが他のユーザーの情報を取得できる）。詳細は記載なし | 確定（同社、概要のみ） |
| 脆弱性の修正 | 完了。同様の方法では取得できない | 確定（同社） |
| 同様の問題が他の箇所にあるか | 追加の調査中 | 調査中 |
| 第三者による評価 | 第三者機関によるセキュリティ評価・診断は、実施に向けて調整中（10月14日付のお知らせ） | 調整中（同社） |
| 悪用・二次被害 | 具体的な二次被害は確認されていない。不審な連絡の可能性への注意を呼びかけ | 確認されていない（同社） |
| 補償 | 記載なし | 記載なし |
読み方の注意：697,209は「名」であって「件」ではなく、「漏えいした可能性」の対象
トイポの10月14日付のお知らせは、「今回の不正アクセスの対象となったユーザーは、697,209名です」と書き、情報は「漏えいした可能性がある」としています。単位は人数（名）で、件数ではありません。もう一つの別のお知らせページ（日付なし）には人数がなく、「漏えいしました」と断定する書き方です。当サイトでは、この違いを踏まえ、「漏えいした可能性」を基本に書いています。また、利用店舗ごとの人数（JR九州フードサービスの約26,900名など）の合計が全体の697,209名になるかは、どの発表にも書かれていません。
漏えいした項目の組み合わせで何が起きうるか
以下は、今回の項目の組み合わせから一般に起きうることで、本件で起きたと公表されているものではありません。トイポは具体的な二次被害は確認されていないとしています。
- 電話番号＋氏名：店舗やサービスを名乗るSMS・電話で、名前を呼んで本人を装う連絡が作れる
- メールアドレス＋氏名・住所：「会員情報の更新」「ポイントの失効」を装い、本物らしいメールが作れる
- 生年月日＋氏名＋住所：他のサービスで本人確認の質問に答える材料として使われうる。トイポもこの点（他のサービスでの本人確認）に注意するよう案内している
- ユーザーID＋電話番号：トイポはパスワードなどが含まれないため、この情報だけで直ちにサービスへログインできるものではないとしている
一般に、電話番号とメールを使った偽の連絡は、リンクや番号を使わずに自分で確かめれば防げるものが中心です。
運営者が見直すこと
トイポが公表した範囲は、認証されたユーザーが他のユーザーの情報を取得できるアクセス制御上の脆弱性です。細部は公表されていないため、ここでは公表された経緯と、一般に言えることだけを挙げます。
- 一般に、ログインしているだけでは足りない：「ログインしているか」だけでなく、「そのデータを見てよい本人か」を、取得のたびにサーバー側で確かめる必要があります（IDORとは。これは一般論で、本件の原因がこれと同じと公表されているわけではありません）。
- 多数の店舗の利用者が1つの基盤に集まる：1つの基盤の不備が、複数の店舗・企業の利用者に同時に及びます。トイポの事案では、利用店舗がそれぞれお知らせを出しましたが、問い合わせ先はトイポに一本化されました。店舗側は、基盤の事業者から検知時にすぐ連絡を受けられるか、利用者への通知を誰がどの経路で出すかを、事前に決めておくことが助けになります。
- 持たない情報は漏れない：トイポは、パスワード等の認証情報、カード番号、来店履歴、本人確認書類を、漏えいした範囲に含まれない（または預かっていない）としています。集める項目を、機能に必要なものに絞る設計は、事故のときに対象を狭めます。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない原因の詳細・店舗の全体像は推測していません。
- 株式会社トイポ「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月14日付、対象697,209名。10月29日に確認） — toypo.notion.site
- 同「トイポアプリへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（日付の記載なし、人数の記載なし。10月29日に確認） — toypo.notion.site
- 同「トイポアプリへの不正アクセスに関するご質問と回答」（上記ページから案内）
- JR九州フードサービス株式会社「株式会社トイポにおける不正アクセスに伴う当社お客さま情報の漏えいについて」（2026年10月13日） — jrfs.co.jp ／ お知らせ本文（PDF）
- 西鉄ウェルネス株式会社「西新パレスドームの会員アプリ「トイポ」への不正アクセスに伴う個人情報流出の可能性および注意喚起のお知らせ」（2026年10月13日） — nishitetsu-wellness.com（お知らせ一覧）
- 株式会社萬野屋「株式会社トイポへの不正アクセスに伴う『杵屋萬野』公式アプリ会員情報の漏えいについて」（2026年10月14日） — mannoya.com
- ScanNetSecurity「行動データプラットフォーム「トイポアプリ」に不正アクセス、69万7,209名のユーザーの登録情報が漏えいした可能性」（2026年10月28日、報道。697,209名） — scan.netsecurity.ne.jp
- 西日本新聞「顧客管理アプリ運営のトイポ 不正アクセスで69万7千人分の情報流出の可能性」（掲載日は記事で確認できず、有料記事のため冒頭のみ確認。約69万7千人分と報道） — nishinippon.co.jp
更新履歴
2026-10-29：初版。トイポの2つのお知らせページ（10月14日付と日付なし。10月29日に両方を確認）と、利用店舗3社のお知らせ、報道2社にもとづく。原因の詳細、第三者機関の評価の結果、補償が公表されたときに更新します。
次に読む
- 同じ項目（氏名・電話・メール）の国内事案：ミスターマックス ／ 宿泊予約システム「手間いらず」の事案
- 同じ時期の国内の事案：Joshin（旧・上新電機）への不正アクセス
- 偽の連絡への備え：フィッシングとは ／ スマホを安全に使う基本
- 認可の不備という型：IDORとは
- アカウントを守る：パスワードマネージャーの選び方 ／ 多要素認証の選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）