B漏えい判明・対象範囲はおそれを含む暫定評価

JR九州フードサービス／トイポアプリ事案の概要と評価

記事更新 2026/10/14

JR九州フードサービスは2026年10月13日、トイポアプリへの不正アクセスに伴う顧客情報の漏えいを公表しました。漏えいした可能性がある対象は約26,900名で、ユーザーIDや電話番号等が含まれます。

事案の概要

JR九州フードサービスは2026年10月13日、導入するトイポアプリへの不正アクセスに伴い、一部顧客の情報が漏えいしたことが判明したと公表しました。一方、同じ資料は人数と項目を「漏えいした可能性のある情報等」として示しており、約26,900名全員の流出が確認されたとの記載ではありません。

同社は2026年10月7日にトイポから連絡を受けました。トイポが不正アクセスを確認したのは10月4日としていますが、検知日から実際の侵入日を補うことはできません。アプリはうまや・たんや等の24店舗で、スタンプカードやクーポン配信等に使用していました。

対象は、同社店舗で会員登録した約61,500名のうち約26,900名です。ユーザーIDと電話番号のほか、任意登録の氏名、性別、メールアドレス、住所、生年月日が漏えいした可能性があるとしています。

パスワード、クレジットカード番号、その他の決済情報、購買履歴情報は、本件による漏えいの可能性がないとしています。

一部のAPIで、権限を持たない第三者が他のユーザー情報を取得できる状態だったとしています。原因の脆弱性は修正済みで、同じ方法による情報取得はできなくなったとしています。

2026年10月13日の発表では、同社店舗での新規会員募集を停止し、対象の可能性がある利用者へトイポから10月16日までにアプリ通知を順次送るとしています。通知完了を確認したものではありません。

利用者の問い合わせ先はトイポの専用窓口0120-546-030（平日9時〜18時）と案内しています。

氏名・連絡先等の通常の登録情報が対象となるおそれをB1で評価。約26,900名でA2の規模条件には届かず、決済・購買履歴は対象外。取得可能なAPIを管理・更新権限の侵害と推定せず、実流出の個別範囲が未確定のため暫定。

Bの評価基準
氏名・連絡先等の露出、又は不正侵入を確認したが業務影響の範囲が不明・重要な影響が未確認の事案。