ゼットン、旧メールシステムへの不正アクセスで18,553件の顧客個人情報が流出——マルウェア感染から検知まで約5ヶ月

項目	内容
発生日	2025年9月18日（マルウェア感染）／2026年2月18日（検知）／2026年4月7日（公表）
対象組織・業界	ゼットン（アダストリア子会社・飲食業）
攻撃手法	店舗PCのマルウェア感染による認証情報窃取→旧メールアカウントへの不正ログイン
情報源	Security NEXT（2026年4月7日）

概要

飲食チェーンを展開するゼットン（アダストリア子会社）は、旧メールシステムのアカウント2件が不正アクセスを受け、18,553件の顧客個人情報が流出したと公表しました。流出情報には、氏名・住所・電話番号・メールアドレスに加え、アレルギー情報・予約内容が含まれます。

侵入の起点は岐阜市内店舗のパソコン1台がマルウェアに感染し、そこで使用していたメールアカウント2件の認証情報が窃取されたことでした。マルウェア感染は2025年9月18日、不正アクセスの開始は同年11月27日、検知は2026年2月18日、公表は2026年4月7日と、感染から公表まで約6ヶ月半を要しています。

経緯

• 2025年9月18日: 岐阜市内店舗のPC1台がマルウェアに感染
• 2025年11月27日: 攻撃者による旧メールアカウントへの不正アクセス開始
• 2026年2月18日: 取引先などから不審なメールに関する報告があり、事案を検知
• （検知後）: フォレンジック調査、対象者への通知、個人情報保護委員会への報告
• 2026年4月7日: 事案を公表

原因

店舗PCへのマルウェア感染が起点であり、感染したPCで利用していた旧メールシステムの認証情報が窃取されたことが判明しています。マルウェアの侵入手口（メール添付・不正サイト経由・USBメモリ経由等）は公表内容から特定できません。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同社が公表したものではありません。

1. 店舗PCのセキュリティ運用の脆弱性: 店舗端末は本社PCと比べて監視・更新の網が薄くなりがちで、EDRの導入・OSやアプリの更新・不審な挙動の監視が本社水準になっていない可能性があります
2. 旧システムの管理・監視が手薄だった: 「旧メールシステム」が引き続き稼働していた背景には、移行の過渡期であることに加え、新システムに比べ監視・アラートが手薄になっていた可能性が考えられます
3. 感染から検知までの5ヶ月が示す監視不足: 店舗PCの異常な通信・メールアカウントの海外/時間外ログイン・大量メール送信などが検知できていれば、より早期の遮断が可能だった可能性があります

対策

組織が学ぶべきこと

1. 「旧システム」を残す判断は監視と一体で行う: 業務都合で旧システムを並行運用する時、認証・ログ収集・監視のいずれかが新システム基準で維持されていないと、攻撃者にとって最も入りやすい経路になります。旧システムの廃止スケジュールと、廃止までの監視強化計画をセットで持つべきです。

2. 店舗・拠点PCも本社水準の監視対象に含める: 飲食・小売のように多店舗を持つ組織では、店舗端末が最も攻撃を受けやすく、かつ本社と比べて監視が手薄になりがちです。店舗端末のEDR配備・不審通信の検知・特権利用の制限が事業全体のリスクを大きく左右します。

3. アレルギー情報のような機微な情報の取り扱いを見直す: 飲食店の予約情報にはアレルギーなど健康関連情報が含まれることがあり、通常の氏名・連絡先より高い保護レベルが求められます。保管場所・保管期間・アクセス制限の設計を見直す必要があります。

ヤグラの視点 — 発見までの時間：気づかない5ヶ月が18,553件を作る

このインシデントで注目すべきは、マルウェア感染（2025年9月18日）から検知（2026年2月18日）までの約5ヶ月間、攻撃者が旧メールアカウントを継続的に利用できたことです。この期間、店舗PCの異常な挙動、旧メールアカウントの通常業務では発生しない時間帯のログインや大量送信、外部への不審な通信など、検知の手がかりは複数存在したはずですが、いずれも監視の網に引っかからなかった結果、18,553件の個人情報流出という規模に至りました。侵入は避けられない前提で考えると、勝負は「侵入から検知までの時間をどれだけ短縮できるか」に集約されます。人依存のログ監視では検知から初動まで数時間〜数日かかるところを、AIによる24時間365日の横断監視は数分レベルに引き下げられます。侵入から検知までの時間差が被害規模を決めます。人手で全ログを監視するのは現実的でなく、AIによる24時間365日の横断ログ監視と自動封じ込め（検知から初動まで平均数分）が現実解になりつつあります。→ ヤグラ AI SOC

今後の対応

対象顧客への個別連絡の進捗、旧メールシステムの完全廃止スケジュール、二次被害（フィッシング・不正利用）の状況について続報を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-04-07	第一報を掲載