MrMaxアプリ・オンラインストア最大173万人の情報漏えい、漏れた電話番号とメールで何をされるのかまとめました

2026年10月6日、株式会社ミスターマックスは、「MrMaxアプリ」とオンラインストアのサーバーが不正アクセスを受け、会員情報の一部が外部に流出したと公表しました[1]。対象は最大1,735,154人で、流出の可能性があるのは会員ID・氏名・メールアドレス・電話番号です。住所・生年月日・クレジットカード情報・パスワード・購入履歴は流出していないことを確認したとしていますが、それで安心とは言い切れません。

「自分の電話番号とメールで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた4つの情報が悪用されうる場面と、アプリやオンラインストアの中で狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• パスワードは流出していないとされる一方、名前や会員IDまで正しく入った偽メール・偽SMSが届きやすくなります。
• アプリとオンラインストアは同じメールアドレスとパスワードでログインします。他のサービスと同じパスワードを使っている人は、変えておくと安心です。
• 会社側がまず見直したいのは、問い合わせ窓口での本人確認と、パスワード再設定のしかたです。

なお、本記事は公表文や公式のよくある質問など、公開情報だけをもとにしています。ログイン画面などを実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社は、同社を名乗る不審なメール・SMS・電話・郵便物への注意を呼びかけ、パスワードやクレジットカード番号を尋ねることはないとしています[1]。

漏れた4つの情報で、何ができてしまうか

パスワードが流出していないとされている点は、不幸中の幸いです。ただ、漏れた4項目には共通点があります――いずれも「本人らしさ」を示すために、さまざまな場面で使われている情報だということです。

加えて、同社のオンラインストアには、デザインを似せた模倣サイトについての注意書きがすでに掲載されています[3]。偽サイトの存在がすでに知られている中で、名前入りの案内が届けば、見分けはさらに難しくなる可能性があります。

このサービスで認証が使われる場所

公開情報で確認できた機能から、認証が関わる場所を並べました。アプリとオンラインストアは、同じアカウントでログインできると案内されています[4]。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

この表から見えるのは、ミスターマックスがすでに「電話番号を持っているか」を確かめる手段（SMS）を一部で使っている一方、ログインとパスワード再設定はメールアドレスが中心だという点です。今回漏れたのは、まさにそのメールアドレスでした。

会社がまず見直すとよい所（優先順）

公表文では、監視体制の強化と、調査結果を踏まえたシステムの安全対策の強化が挙げられています[1]。一方で、ログインやパスワード再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 問い合わせ窓口の本人確認から、漏れた項目を外す。ID調査や生年月日の登録依頼で、「会員ID・メールアドレス・氏名・電話番号が合っていれば本人」という扱いになっていないか。これは仕組みを作り直さなくても、運用の見直しから始められます。
2. パスワード再設定に、メール以外の確認をもう一つ足す。生年月日が未登録の人は、メールだけで再設定まで進めます。すでにある電話番号の確認を、再設定の場面にも広げるという考え方です。
3. 価値が動く場面に、追加の確認を入れる。機種変更でのログイン、会員情報の変更、クーポンの利用などです。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回、最大173万人分の電話番号が流出した可能性があります。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

前者は、もう多くの第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[14]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。会社から届くSMSは、送り主を偽ったSMSと同じ画面に並びうる点にも注意が要ります[2]。

当社Infront Securityの電話番号認証は、向きが逆です。利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら