宮本むなしお持ち帰り注文サイトに不正アクセス 最大1,895件・1,030名分の個人情報流出の可能性

M&Sフードサービス株式会社が運営する「宮本むなしお持ち帰り注文サイト」で、外部からの不正アクセスが確認され、過去に同サイトを利用した顧客の登録情報が流出した可能性があることが公表されました。

対象となる可能性があるのは、2026年3月から2026年7月までに同サイトでお持ち帰り商品を注文した顧客で、キャンセルされた注文やゲスト注文も含まれます。流出した可能性があるデータは最大1,895件、対象者は1,030名とされています。クレジットカード情報などの決済情報については、外部決済代行サービスを利用しており、同サイトでは保持していないため流出の可能性はないと説明されています。

宮本むなしお持ち帰り注文サイト不正アクセスのサマリー

• 2026年7月29日、第三者による「宮本むなしお持ち帰り注文サイト」への不正アクセスが確認されました。
• 2026年3月から2026年7月までに同サイトで注文した顧客の氏名、氏名ふりがな、電話番号、メールアドレス、注文内容などが流出した可能性があります。
• 流出可能性のあるデータは最大1,895件、対象者は1,030名です。キャンセル注文やゲスト注文も対象に含まれます。
• クレジットカード情報などの決済情報は外部決済代行サービスを利用しており、同サイトでは保持していないため流出の可能性はないとされています。
• M&Sフードサービスは、当サイトの一時停止、アクセス制限、外部システム会社と連携した原因調査・ログ解析を進め、個人情報保護委員会にも報告済みとしています。
• 現時点で個人情報の公開や不正使用は確認されていませんが、注文情報と連絡先が組み合わさることで、不審なメール、SMS、電話、なりすまし連絡につながるおそれがあります。

何が起きたか

M&Sフードサービス株式会社は、同社が運営する販売サイト「宮本むなしお持ち帰り注文サイト」において、外部からの不正アクセスが発生し、顧客の個人情報が流出した可能性があると公表しました。

同社によると、2026年7月29日に第三者による不正アクセスの発生を確認し、過去に同サイトを利用した顧客の登録情報が漏えいした可能性が判明しました。これを受け、同社は直ちに当サイトの一時停止とアクセス制限を実施し、サイト運営を委託している外部システム会社と連携して原因調査およびシステムのログ解析を進めているとしています。

今回の公表では、攻撃経路や原因の詳細は明らかにされていません。外部システム会社と連携してログ解析を行っている段階であり、今後の調査で新たな事実が判明した場合には改めて知らせるとしています。

漏えいした可能性がある情報

漏えいした可能性があるのは、2026年3月から2026年7月までに「宮本むなしお持ち帰り注文サイト」でお持ち帰り商品を注文した顧客の情報です。対象には、キャンセルされた注文やゲスト注文も含まれます。

情報項目は、氏名、氏名ふりがな、電話番号、メールアドレス、注文内容、注文商品、金額等です。データ数は最大1,895件、対象者は1,030名とされています。

この種の情報は、クレジットカード番号そのものではなくても、悪用リスクが小さいとはいえません。氏名、電話番号、メールアドレス、注文内容が組み合わさると、実際の注文履歴に関連しているように見せかけたメールやSMS、店舗や運営会社を装った電話、返金や注文確認を名目にしたなりすまし連絡に使われる可能性があります。

外食チェーンのテイクアウト注文サイトでは、注文日時、注文商品、金額、連絡先が一体で扱われることがあります。攻撃者がこうした情報を得た場合、単なるメールアドレス一覧よりも、受信者が信じやすい文面を作りやすくなります。今回の事案で同社が不審なメールやSMSを開封せず削除するよう呼びかけているのは、この二次被害を想定した対応といえます。

決済情報は対象外とされる一方で、安心しきれない理由

今回のリリースで重要なのは、決済情報の扱いです。M&Sフードサービスは、顧客が購入時に利用したクレジットカード情報などの決済情報について、外部決済代行サービスを利用しており、当サイトでは保持していないため流出の可能性はないと説明しています。

ECサイトやモバイルオーダーでは、カード情報を自社サイト内に保存せず、決済代行サービス側で処理する構成が一般的になっています。この設計は、侵害時にカード情報の流出リスクを抑えるうえで有効です。

ただし、決済情報が含まれていないことと、利用者に実害が生じないことは同じではありません。今回のように、氏名、電話番号、メールアドレス、注文内容が含まれる可能性がある場合、フィッシング、スミッシング、なりすまし電話、偽の返金案内などの材料になり得ます。利用者側では、宮本むなしや決済事業者、配送・注文確認を装う連絡に注意する必要があります。

パスワード変更の呼びかけが意味すること

リリースでは、当サイトで利用したパスワードを他サイトでも使用している場合、念のため変更することを推奨しています。

今回、漏えいした可能性のある情報項目としてパスワードは明記されていません。一方で、同じパスワードを複数サービスで使い回している場合、仮に別の経路から認証情報が知られていたり、今後の調査で認証情報に関する追加事実が判明したりした際に、他サービスへの不正ログインへつながるおそれがあります。

利用者は、同サイトと同じパスワードをメール、ECサイト、SNS、決済関連サービスなどで使っていないか確認し、使い回しがある場合は速やかに変更すべきです。可能であれば、パスワードマネージャーを使い、サービスごとに異なるパスワードを設定することが望まれます。

過去の類似事例から見たポイント

外食・小売・ECの注文サイトは、近年も不正アクセスの対象になっています。セキュリティ対策Labでは、過去にすかいらーくグループのテイクアウトサイトに不正アクセスがあり、個人情報漏洩の可能性が公表された事案や、プレナスのほっともっとネット注文に関する不正アクセス事案を取り上げています。

これらの事案に共通するのは、オンライン注文サイトが単なる予約・注文窓口ではなく、氏名、連絡先、注文履歴、場合によっては会員情報や配送先情報を持つ顧客データベースになっている点です。店舗業務を効率化するためのシステムであっても、外部公開されている以上、攻撃者から見れば顧客情報へ到達する入口になります。

特にテイクアウトやモバイルオーダーは、短期間のキャンペーンや期間限定メニューに合わせて機能追加や外部サービス連携が行われやすい領域です。開発・運用を外部会社に委託している場合でも、委託元企業は自社ブランドの顧客情報を扱っているという前提で、脆弱性管理、ログ監視、アクセス権限、インシデント時の連絡体制を確認する必要があります。

原因は調査中、委託先を含めた責任分界の確認が必要

本件では、サイト運営を外部システム会社に委託していること、同社と連携して原因調査とログ解析を行っていることが説明されています。現時点では、脆弱性の種類、認証情報の悪用、管理画面への不正ログイン、アプリケーションの設定不備、インフラ側の問題など、具体的な原因は公表されていません。

この段階で原因を断定することはできませんが、情報システム部門としては、外部委託型の注文サイトで同様の事案が発生した場合に、どこまでを委託先が調査し、どこからを委託元が顧客対応・行政報告・再発防止策として管理するのかを事前に決めておくことが重要です。

ログの保存期間、管理者アカウントの発行ルール、多要素認証の有無、委託先の再委託状況、緊急時の連絡経路、証跡保全の責任者が曖昧なままだと、初動対応の遅れにつながります。顧客向けサイトを外部に任せる場合でも、事故が起きたときに説明責任を負うのはサービス提供企業側です。

利用者が取るべき対応

対象期間中に「宮本むなしお持ち帰り注文サイト」を利用した可能性がある人は、同社からの案内を確認し、不審なメール、SMS、電話に注意する必要があります。

特に、注文内容や金額を知っているかのように見せる連絡には注意が必要です。返金手続き、注文確認、クーポン付与、本人確認、アカウント再設定などを名目に、URLのクリックや個人情報の入力を求める連絡が届いた場合は、メール本文やSMS内のリンクからアクセスせず、公式サイトや公式アプリから確認することが安全です。

当サイトで利用したパスワードを他サービスでも使っている場合は、同じパスワードを使っているサービスを優先して変更してください。特に、メールアカウント、ECサイト、SNS、金融・決済関連サービスで同じパスワードを使っている場合は、被害拡大を防ぐため早めの変更が必要です。

情報システム部門への示唆

今回の事案は、飲食店のテイクアウト注文サイトであっても、情報漏えい時には顧客対応、行政報告、ブランド信頼、問い合わせ対応まで含むインシデントになることを示しています。社内の基幹システムだけでなく、キャンペーンサイト、モバイルオーダー、予約サイト、問い合わせフォーム、会員登録フォームなど、外部公開されている周辺システムも顧客情報を保持していれば重要な管理対象です。

企業側では、外部委託先が運営する顧客向けサイトについて、管理者アカウントの棚卸し、多要素認証の適用、不要な管理画面の公開制限、WAFや改ざん検知の導入、脆弱性診断の定期実施、ログ保全期間の見直しを行うべきです。特に、注文情報や問い合わせ情報をデータベースに長期間保存している場合、保存期間と削除ルールを見直すだけでも漏えい時の影響範囲を抑えられます。

委託契約の面では、インシデント発生時の報告期限、初動調査の範囲、ログ提出の条件、フォレンジック調査への協力義務、再委託先の管理、顧客通知に必要な情報提供を明文化しておく必要があります。平時に取り決めていない内容は、有事に確認しようとしても間に合いません。

二次被害対策としては、利用者向けの注意喚起文、問い合わせ窓口の想定問答、フィッシングメール発生時の追加告知、SNS上のなりすまし監視を準備しておくことも実務上重要です。情報漏えいの可能性がある段階では、技術調査と並行して、利用者が何に注意すべきかを早く、分かりやすく伝える体制が求められます。

出典

• 当社「宮本むなしお持ち帰り注文サイト」に対する不正アクセスに関するご報告とお詫び – 宮本むなし・M&Sフードサービス
• 漏えい等の対応とお役立ち資料 – 個人情報保護委員会
• すかいらーくグループのテイクアウトサイトに不正アクセス-個人情報漏洩の可能性 – セキュリティ対策Lab
• プレナス、ほっともっとネット注文への不正アクセスと個人情報漏洩の可能性 – セキュリティ対策Lab
• プレナス、ほっともっとネット注文への不正アクセスで一部の個人情報漏洩の可能性 – セキュリティ対策Lab

関連記事

Eストアー「ショップサーブ」に不正アクセス、最大885万3,839件の購入者の個人情報漏洩の恐れ 松竹のECサイトが倉業サービスのランサムウェアとサイバー攻撃により最大23万人の個人情報漏洩の可能性を発表 シャープ公式オンラインストア｢COCORO STORE｣と｢ヘルシオデリ｣で不正アクセス 最大約10万人の個人情報漏洩の可能性 山形市委託のYCC情報システム、ランサムウェア攻撃で約50万件・マイナンバーを含む個人情報が漏洩の恐れ-9組織以上に波及した攻撃の起点【2026年4月】 山形大学、YCC情報システムへのサイバー攻撃で8万件超の個人情報漏洩の恐れ-契約終了後のデータ残存が問題浮き彫りに 九州電力送配電、最大1,090万口分の顧客の個人情報入り外部記憶媒体を紛失-需要者名・住所・使用電力量データなど保存 アフラック 生命保険、不正アクセスで約438万人の顧客の個人情報漏洩-約23万人は保険料振替口座情報も対象 カシオ計算機がランサムウェア 被害により個人情報漏洩の可能性を発表 トヨタモビリティサービスがAWSアクセスキーの悪用で個人情報漏洩の可能性

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)