セイコーマートアプリ約57万件の情報漏えい、漏れた住所・電話番号・生年月日で何をされるのかまとめました

2026年9月29日、株式会社セイコーマートは、スマートフォンアプリ「セイコーマートアプリ」のサーバーを経由して、会員情報を持つサーバーに第三者が不正にアクセスし、セイコーマートクラブの会員情報が漏えいした可能性があると公表しました[1]。10月5日の第四報では、対象を574,647人分としています[4]。対象とされたのは、姓名・性別・生年月日・住所・電話番号・メールアドレス・クラブカードの入会年月日と退会年月日です[1]。パスワードと購買履歴は漏えいしていないとされていますが[1][2]、それで安心とは言い切れません。

「自分の住所や生年月日で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、会員サービスの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は報道が多いため、短くとどめます。

この記事の要点

• パスワードは漏れていないとされる一方、名前・住所・生年月日まで正しく入った偽メール・偽SMS・偽の電話が届きやすくなります。
• 他のサービスと同じパスワードを使っている人は、変えておくと安心です。セイコーマートを名乗ってパスワードやPINを聞かれても、答えないでください。
• 会社側がまず見直したいのは、電話窓口と受付フォームでの本人確認と、ログイン再開時の確認のしかたです。

なお、本記事は公表文や公式サイトの規約・Q&Aなど、公開情報だけをもとにしています。アプリやマイページの画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2][3][4]によると、概要は次のとおりです。

アプリに登録していない人は対象外とされています[3]。同社は、セイコーマートを名乗るメールに注意するよう呼びかけ、クレジットカード情報・パスワード・PINなどを聞くことはないとしています[1][4]。

漏れた情報で、何ができてしまうか

パスワードが漏れていないとされている点は、不幸中の幸いです。ただ、今回の対象には住所と生年月日が含まれています。「本人らしさ」を示す材料がそろっているのが特徴です。

大事なのは、どれも「知っていれば本人らしく見える情報」だという点です。しかも住所や生年月日は、パスワードと違って本人が変えることがほぼできません。知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。

このサービスで認証が使われる場所

公式サイトの規約・Q&A[5][6]と公表文から確認できた範囲で、認証や本人確認が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、サーバーへの接続停止、ログインなどの機能停止、アプリ・WEB上の会員情報変更機能の終了が挙げられています[1][4]。一方で、ログインや本人確認の方法を変えるといった記載は、第四報までの公表文にはありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 電話窓口と受付フォームの本人確認から、漏れた項目を外す。氏名・住所・電話番号・生年月日が合えば本人、という扱いになっていないか。ログインできない人や会員情報を変えたい人が窓口とフォームに回る今、ここが一番の入口になります。仕組みを作り直さなくても、運用の見直しから始められます。
2. ログイン再開の時に、パスワード以外の確認をもう一つ足す。パスワードは漏れていないとされていても、使い回しで入られる道は残ります。再開は、全員に新しい確認を足しやすい時でもあります。
3. 退会や登録情報の変更など、取り消しにくい操作に追加の確認を入れる。毎回のログインを重くせず、狙われる操作だけを固めるという考え方です。

認証の観点から：「生年月日を知っている」と「その電話を持っている」は違う

今回、約57万人分の住所・電話番号・生年月日が対象になりました。どれも、昔から本人確認の質問に使われてきた情報です。

ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。前者は、もう多くの第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[7]。禁止ではありませんが、端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。住所や生年月日を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインや窓口の流れを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら