コンビニエンスストアのセイコーマート（北海道札幌市）、アプリのサーバ経由で会員情報サーバに不正アクセス — 「セイコーマートクラブ」約57万アカウントが閲覧された可能性

2026/09/30 続報を注視中重大小売・EC #不正アクセス

項目	内容
発生日	2026年9月24日に1件の不正な退会処理を確認。9月28日17時すぎに会員情報サーバへの不正アクセスの可能性が判明（侵入が始まった時期は公表されていない）
公表日	2026年9月29日
対象組織・業界	株式会社セイコーマート（北海道札幌市中央区／コンビニエンスストア「セイコーマート」のチェーン本部事業・店舗運営事業。持株会社は株式会社セコマ）
影響件数	約57万アカウント（会員制サービス「セイコーマートクラブ」のユーザーID数）
攻撃手法	「セイコーマートアプリ」のサーバを経由した、会員情報を保管するサーバへの不正アクセス。侵入経路の詳細は公表されていない
情報源	株式会社セイコーマート「お客様各位」（2026年9月29日・seicomart.co.jp）、ITmedia NEWS（2026年9月29日）、INTERNET Watch（2026年9月29日）、Security NEXT（2026年9月29日）

概要

株式会社セイコーマート（北海道札幌市中央区／コンビニエンスストア「セイコーマート」のチェーン本部事業・店舗運営事業）は2026年9月29日、会員制サービス「セイコーマートクラブ」の情報を保有するサーバが不正アクセスを受け、情報が漏えいした可能性があると公表しました。

攻撃は、スマートフォン向けの「セイコーマートアプリ」のサーバを経由して行われたと説明されています。不正アクセスを受けた可能性があるユーザーIDの数は約57万アカウントです。

第三者に閲覧された可能性がある情報は、セイコーマートクラブ会員の氏名、性別、生年月日、住所、電話番号、メールアドレス、および会員用ポイントカードへの入会年月日と退会年月日です。パスワードは漏えいしていないとしています。

発覚のきっかけは、2026年9月24日に1件のアカウントで不正な退会処理が行われていたことでした。調査を進めた結果、9月28日17時すぎに会員情報を保管するサーバが不正アクセスを受けた可能性が判明し、同日20時に当該サーバへの接続を停止しています。

経緯

2026年9月24日: 1件のアカウントで不正な退会処理が行われていたことを確認し、調査を開始
2026年9月28日17時すぎ: 会員情報を保管するサーバが「セイコーマートアプリ」のサーバを経由して不正アクセスを受けた可能性が判明
2026年9月28日20時: 当該サーバへの接続を停止
2026年9月29日: 事案を公表。対象は約57万アカウント、パスワードの漏えいはないと説明
2026年9月30日時点: 侵入経路の詳細と、侵入が始まった時期は公表されておらず調査が継続

対策

本件では「セイコーマートアプリ」のサーバを経由して、会員情報を保管するサーバへ到達したと公表されています。アプリが必要とするのは、通常はログイン中の本人の情報だけです。アプリのサーバから会員情報サーバへ問い合わせられる範囲を、その機能で必要な項目と件数に絞っておけば、アプリ側を踏まれても取り出せる範囲がその分に収まります。

もうひとつは、1件の不審な操作を全件の調査につなげる手順です。発端は9月24日に確認された1件の不正な退会処理でした。退会・住所変更・パスワード変更のように本人の操作でなければ説明がつかない変更は、1件でも検知の対象にし、見つかったら同じ経路を通った操作を全期間で洗い直すと決めておきます。最初の1件から全体像に届くまでの時間が、そのまま影響が広がる時間になります。

ヤグラの視点 — 1件の不正な退会処理から、57万アカウントに届くまでの4日間

この事案で最初の異常は捉えられていました。9月24日に1件の不正な退会処理が見つかり、そこから調査が始まっています。停止の判断も速く、9月28日17時すぎに会員情報サーバへの不正アクセスの可能性が判明してから、同日20時には接続を止めています。一方で、最初の1件から「約57万アカウントが対象かもしれない」というところに届くまでには4日かかっています。

ここを縮める鍵は、1件のアラートが出たときに関連するログを突き合わせる作業にあります。アプリのサーバのアクセス記録、会員情報サーバへの参照記録、会員の操作履歴は、それぞれ別の場所に別の形で残ります。同じ経路・同じ時間帯の操作を横断して並べてはじめて、影響の広がりが見えます。この突き合わせをAIが担えば、アラートの一次調査と関連ログの照合が自動で進み、検知から初動までを数分の単位に縮められます（→ ヤグラ AI SOC）。

今後の対応

侵入経路の詳細と、侵入が始まった時期
約57万アカウントのうち、実際に閲覧・取得された件数の確定
9月24日の不正な退会処理と今回の不正アクセスの関係
漏えいした情報を使ったなりすましや不審な連絡など、二次被害の有無
個人情報保護委員会への報告と、同社が公表する再発防止策
停止した会員情報サーバの復旧とサービスへの影響

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-09-30	第一報を公開