株式会社セブン＆アイ・ホールディングスは2026年8月21日、共通会員ID「7iD」を退会した一部の顧客について、ハッシュ化したメールアドレスをX（旧Twitter）およびGoogleへ誤って提供していたと公表しました。
対象は9,758人で、誤提供の期間は2024年9月から2026年2月までです。
セブン＆アイは、7iDの登録促進広告を配信する際、すでに7iDへ登録している顧客に広告が表示されないよう、登録済み顧客のメールアドレスをハッシュ化してXとGoogleへ提供していました。しかし、広告配信用データを抽出する設定に、7iD会員窓口で退会手続きを行った顧客を除外する条件が含まれておらず、退会済み顧客の一部も提供対象となっていました。
7iDの会員情報取扱規程では、退会後の個人情報は一部の例外を除いて利用を停止すると定めています。セブン＆アイは今回の取扱いについて、利用規約の規定に則らないものだったと説明しています。
誤って提供されたのはハッシュ化されたメールアドレスのみで、氏名、住所、電話番号、クレジットカード情報などは提供されていません。情報の公開や不正利用などの二次被害も、8月21日時点では確認されていません。
7iD退会者情報の誤提供のサマリー
- 【確認済み】セブン＆アイ・ホールディングスは2026年8月21日、XおよびGoogleへの提供情報に誤りがあったと公表しました。
- 【確認済み】対象は、7iD会員窓口で退会手続きを行った顧客9,758人です。
- 【確認済み】誤提供された情報は、ハッシュ化されたメールアドレスのみです。
- 【確認済み】氏名、住所、電話番号、クレジットカード情報などは提供されていません。
- 【確認済み】誤提供の期間は2024年9月から2026年2月までです。
- 【確認済み】事案が判明したのは2026年8月3日で、同日に個人情報保護委員会へ速報を報告しています。
- 【確認済み】原因は、広告配信用データの抽出条件に、7iD会員窓口で退会した顧客を除外する条件が含まれていなかったことです。
- 【確認済み】Webサイトまたはアプリ上で7iDを退会した顧客のメールアドレスは、今回の誤提供対象ではありません。
- 【確認済み】提供先はXおよびGoogleに限定されています。
- 【確認済み】情報の公開や不正利用などの二次被害は、8月21日時点で確認されていません。
- 【確認済み】セブン＆アイは、今回の取扱いが7iD会員情報の取扱規程に則らないものだったと説明しています。
- 【確認できず】XまたはGoogle側で実際に何件が既存アカウントと照合されたかは公表されていません。
- 【確認できず】ハッシュ方式、提供回数、配信先側での保持期間などの技術的詳細は公表されていません。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年8月21日 |
| 判明日 | 2026年8月3日 |
| 対象組織 | 株式会社セブン＆アイ・ホールディングス |
| 対象サービス | 共通会員ID「7iD」 |
| 事案 | 退会済み顧客のハッシュ化メールアドレスをX・Googleへ誤提供 |
| 対象人数 | 9,758人 |
| 誤提供期間 | 2024年9月～2026年2月 |
| 提供情報 | ハッシュ化したメールアドレス |
| 提供していない情報 | 氏名、住所、電話番号、クレジットカード情報など |
| 提供先 | X、Google |
| 原因 | データ抽出設定に退会者を除外する条件がなかった |
| 不正アクセス | 確認されていません |
| 情報公開・不正利用 | 8月21日時点で確認されていません |
| 個人情報保護委員会への報告 | 8月3日に速報を実施 |
| 再発防止策 | 従業員教育、抽出条件の確認、複数部門による複層チェック |
7iD登録済み顧客への広告表示を避けるためX・Googleへ提供
セブン＆アイは、グループ各社の店舗や通販サイトなどで利用できる共通会員ID「7iD」の登録を促進するため、XとGoogleで広告を配信していました。
その際、すでに7iDへ登録している顧客へ登録促進広告を表示しないよう、登録済み顧客のメールアドレスをハッシュ化したうえで配信先へ提供していました。
広告プラットフォームでは、広告主が保有するメールアドレスなどをハッシュ化し、プラットフォーム側のユーザーデータと照合することで、広告の配信対象や除外対象を設定する仕組みが利用されています。
今回問題となったのは、この広告配信の仕組みそのものではなく、提供対象の抽出条件です。
本来は除外すべき退会済み顧客の一部が、広告配信用のデータセットへ残っていました。
対象は9,758人、2024年9月から約1年半
対象人数は9,758人です。
誤った提供が行われていた期間は2024年9月から2026年2月まででした。
対象となるのは、2026年2月までに「7iD会員窓口」で退会手続きを行った顧客の一部です。
一方、Webサイトまたはアプリ上で7iDの退会手続きを行った顧客のメールアドレスは、XおよびGoogleへ提供されていなかったとしています。
つまり、「7iDを退会した全顧客」が対象ではありません。
退会経路によって処理が異なっていたことが、今回の事案を理解するうえで重要です。
原因は退会者を除外する抽出条件の設定漏れ
セブン＆アイによると、原因はデータベースから広告配信用のメールアドレスを抽出する際の設定でした。
7iD会員窓口で退会手続きを行った顧客について、メールアドレスを提供対象から除外する条件が含まれていませんでした。
その結果、会員としては退会処理が行われていたにもかかわらず、広告配信用データを生成する別の処理では退会状態が反映されず、ハッシュ化されたメールアドレスがXとGoogleへ提供されました。
本件は、不正アクセスや攻撃者による情報窃取ではありません。
データベースから広告配信用データを抽出する業務処理の条件設定が、退会情報と正しく連動していなかったデータ管理上の事案です。
7iD規程は退会後の個人情報について「利用を停止」
7iDの「会員情報の取扱いについて」では、退会後の7iD会員の個人情報について、原則として利用を停止すると定めています。
例外として認められているのは、商品の配送や請求など契約履行が完了していない場合、問い合わせやトラブル対応が必要な場合、法令上必要な場合です。
今回の広告配信に向けたデータ提供はこれらの例外には該当せず、セブン＆アイ自身も「利用規約の規定に則らない取扱い」だったと説明しています。
重要なのは、情報が外部へ公開されたかだけではなく、「退会したら利用を停止する」という顧客との約束が、広告データ処理の工程まで一貫して反映されていたかという点です。
ハッシュ化されていても「何を提供してもよい」わけではない
今回提供されたメールアドレスは、そのままの文字列ではなくハッシュ化されていました。
ハッシュ化は、元データを一定のアルゴリズムで別の値へ変換する処理です。広告プラットフォームとの照合などでは、メールアドレスそのものを平文で渡さずに照合するために利用されます。
一方、「ハッシュ化しているから利用規約上の制約を受けない」ということにはなりません。
今回、セブン＆アイ自身がハッシュ化したメールアドレスの提供を規約に則らない取扱いとして公表し、個人情報保護委員会にも報告しています。
個人情報保護委員会も、メールアドレスについて、それ自体から特定個人を識別できる場合や、他の情報と容易に照合して個人を識別できる場合には個人情報に該当し得ると説明しています。
ハッシュ化されたデータの法的な位置付けは、加工方法や保有する他の情報、提供先での取扱いなど個別の状況によって判断する必要があります。
企業側では「ハッシュ化＝個人情報管理の対象外」と機械的に判断せず、利用目的、本人同意、退会・オプトアウト状態まで含めて管理する必要があります。
氏名・住所・カード情報の漏えいは確認されず
誤ってXとGoogleへ提供されたのは、ハッシュ化したメールアドレスのみです。
氏名、住所、電話番号、クレジットカード情報などは提供していません。
また、セブン＆アイは、情報の公開や不正利用などの二次被害も8月21日時点では確認されていないとしています。
そのため、本件について「9,758人の氏名・住所が漏えいした」「クレジットカード情報が流出した」とするのは誤りです。
同社によると、顧客側でパスワード変更やカード停止などの手続きを行う必要もありません。
8月3日に判明、同日に個人情報保護委員会へ速報
セブン＆アイが本事案を把握したのは2026年8月3日です。
同社は同日、個人情報保護委員会へ速報を報告しています。
8月21日の公表までに、対象人数、提供期間、原因、提供情報の範囲を整理したうえで発表した形です。
公表資料では、本件に関する警察への相談や被害申告については記載されていません。
本件はサイバー攻撃ではなく、社内のデータ抽出条件に起因する誤提供であるため、インシデント対応の焦点も侵入経路の封じ込めではなく、データ処理工程と管理プロセスの是正にあります。
再発防止は「複数部門による複層チェック」
セブン＆アイは再発防止策として、個人情報を取り扱う従業員への再教育に加え、広告配信用のメールアドレスを抽出する各工程で、適切な除外条件が設定されているかを複数部門で確認するプロセスを整備するとしています。
今回の原因は、抽出処理に「7iD会員窓口で退会した顧客を除外する」という条件がなかったことです。
この種の問題では、担当者がSQLや抽出条件を一度確認するだけでは十分ではありません。
会員状態、退会経路、広告同意、利用停止、配信停止など、複数のステータスが異なるシステムやテーブルで管理されている場合、データ連携時に一部の条件だけが欠落することがあります。
再発防止では、広告部門だけでなく、システム部門、法務・プライバシー部門、会員基盤を管理する部門が横断的に確認する仕組みが重要です。
広告配信では「配信対象」だけでなく「除外対象」の品質管理も必要
デジタル広告のデータ活用では、誰に広告を配信するかが注目されがちです。
しかし今回の事案は、「誰を配信対象から除外しなければならないか」というデータ品質も同じくらい重要であることを示しています。
退会済み会員、広告利用に同意していない利用者、配信停止を申し出た利用者などが正しく除外されなければ、元データをハッシュ化していても目的外利用や規約との不整合が発生する可能性があります。
セキュリティ対策Labでは、広告データの管理に関する別の事案として、LINEヤフー、LINE広告の第三者提供記録を約3年半分にわたり誤削除を取り上げています。
LINEヤフーの事案は、法令上保存すべき第三者提供記録を誤削除したものであり、今回のセブン＆アイの誤提供とは原因も問題点も異なります。一方で、広告配信の裏側で行われる顧客データの照合・提供・記録まで含めたデータガバナンスが必要という点では共通する管理課題があります。
情報システム・プライバシー部門への示唆
今回の事案で情報システム部門やプライバシー担当者が確認したいのは、「退会」という一つの状態がすべての下流システムへ正しく伝播しているかです。
会員基盤で退会済みになっていても、広告基盤、CRM、CDP、メール配信、分析環境、データウェアハウスなどに過去の情報が残り、別の目的で利用され続ければ、利用停止の実効性は確保できません。
特に確認したい項目は次の通りです。
- 退会・利用停止・オプトアウトの状態を一元管理できているか
- Web、アプリ、電話窓口など退会経路によって処理が分岐していないか
- 下流の広告・分析・CRM基盤へ退会状態が自動反映されるか
- 広告用データ抽出時に除外条件をテストしているか
- 本番投入前に件数差分やサンプルデータを検証しているか
- 抽出ロジックの変更を複数部門でレビューしているか
- 広告プラットフォームへ何のデータをいつ提供したか追跡できるか
- ハッシュ化を理由にプライバシー審査を省略していないか
- 退会後も利用が許される例外データと、利用停止すべきデータを分離しているか
また、会員退会時には、元データを即座に削除できない場合でも、「保持すること」と「利用すること」を分けて制御する必要があります。
法令対応、契約履行、問い合わせ対応などを理由に情報を保持する必要があっても、広告配信やマーケティング分析への利用まで継続してよいとは限りません。
今回のセブン＆アイの事案は、外部から侵入されたインシデントではありません。
9,758人分のデータが対象となった原因は、広告データ抽出処理に一つの除外条件が不足していたことでした。
個人情報保護では、不正アクセス対策だけでなく、本人の退会・同意撤回・利用停止という意思を、データ基盤の最下流まで正しく反映できる仕組みが必要です。
出典
- XおよびGoogleへの提供情報における誤りについて – 株式会社セブン＆アイ・ホールディングス
- 7iD会員情報の取扱いについて – 株式会社セブン＆アイ・ホールディングス
- 7iDアカウントサービス 会員規約・利用規約 – 株式会社セブン＆アイ・ホールディングス
- メールアドレスだけでも個人情報に該当しますか – 個人情報保護委員会
- メールアドレスは個人関連情報に該当しますか – 個人情報保護委員会
- LINEヤフー、LINE広告の第三者提供記録を約3年半分にわたり誤削除 – セキュリティ対策Lab
