コープやまぐち LINEミニアプリへの不正アクセス、対象範囲を確定　個人情報漏洩 対象は合計21万7,295件 ここカード番号・PINも対象

生活協同組合コープやまぐちは2026年9月7日、「コープやまぐちLINEミニアプリ」への不正アクセスについて第二報を公表し、漏えいのおそれがある個人情報の対象範囲を確定しました。

対象は、組合員情報、ここカード情報、ギフト・店頭受け取り商品の予約情報、アンケートやプレゼントなどのWebフォーム情報です。公表された4区分の対象件数を単純合計すると21万7,295件となります。

ただし、区分間の重複有無は公表されていません。このため「21万7,295人の個人情報が漏えいした」と表現することはできません。

また、第三者が個人情報を閲覧・取得して外部へ持ち出した事実も、9月7日時点では確認されていません。コープやまぐちは、流出の可能性を完全には否定できないとして調査を継続しています。

今回の対象には、電子マネー機能付き「ここカード」のカード番号とPIN番号も含まれます。コープやまぐちは、カード番号とPIN番号だけでは電子マネー残高の照会や支払いはできない仕組みであり、不正利用も確認されていないと説明しています。不安がある利用者には、無料でカード再発行を受け付けています。

コープやまぐちLINEミニアプリ不正アクセスのサマリー

確認できている内容：

• 2026年8月27日、「コープやまぐちLINEミニアプリ」のデータベースへ第三者による不正アクセスが行われました。
• データベース内のすべてのデータが削除されました。
• 対象システムの開発・運用は外部事業者へ委託されています。
• コープやまぐちは外部アクセスを遮断し、同日中にバックアップからデータを復元しました。
• 必要なセキュリティ対策を実施したうえでサービスを復旧しています。
• 9月7日の第二報で、漏えいのおそれがある情報の対象範囲が確定しました。
• 公表された4区分の対象件数を単純合計すると21万7,295件です。
• ただし、区分間の重複有無は公表されておらず、21万7,295人という意味ではありません。
• 電子マネー機能付きここカードを持つ組合員14万3,126件では、ここカード番号とPIN番号も対象です。
• クレジットカード情報、金融機関の口座情報、各種ログインパスワード、要配慮個人情報は含まれていません。
• 9月7日時点で、第三者による個人情報の持ち出しは確認されていません。
• 個人情報の不正利用、なりすまし、迷惑メールなどの二次被害も確認されていません。
• 個人情報保護委員会への報告、所轄警察署への相談・被害届提出を行っています。
• 侵入経路と原因は引き続き調査中です。
• 9月14日以降、対象者への個別通知を順次開始します。

項目	内容
発生日・確認日	2026年8月27日
第一報	2026年8月28日
第二報	2026年9月7日
対象組織	生活協同組合コープやまぐち
対象システム	コープやまぐちLINEミニアプリ
インシデント	データベースへの第三者による不正アクセス、全データ削除
開発・運用	外部事業者へ委託
対象件数	4区分の単純合計21万7,295件
情報流出	9月7日時点で確認されず。可能性を否定できず
ここカード情報	カード番号・PIN番号が一部対象
決済情報	クレジットカード、銀行口座情報は対象外
二次被害	9月7日時点で確認されず
侵入経路	調査中
原因	調査中
個人情報保護委員会	第一報時点で報告済み。第二報の確定内容も再報告予定
警察	所轄警察署へ相談・被害届提出済み

第二報で対象範囲を確定

第一報では、データベースに保存されていた個人情報の対象件数や範囲は精査中でした。

9月7日の第二報で、コープやまぐちはデータベースの内容を精査し、対象となる4区分と情報項目を確定しました。

対象範囲は次のとおりです。

対象区分	件数	主な対象情報
電子マネー機能付きここカードを持たない組合員	69,586件	組合員コード、名字、電話番号、郵便番号
電子マネー機能付きここカードを持つ組合員	143,126件	組合員コード、名字、電話番号、郵便番号、ここカード番号、PIN番号
組合員登録をしていない利用者等	365件	氏名、電話番号、郵便番号、住所、メールアドレス
アンケート、プレゼント、各種Webフォーム利用者	4,218件	氏名・ニックネーム、郵便番号、住所、電話番号、メールアドレス、組合員コード
単純合計	217,295件	重複有無は公表されていません

第一報では「氏名、住所、電話番号、メールアドレス」などが保存されているとされていましたが、第二報では、どの対象区分にどの情報が含まれるかが具体化されました。

LINEミニアプリを利用していない組合員も対象

今回の対象範囲で注意したいのは、LINEミニアプリを利用していない組合員も含まれる点です。

コープやまぐちによると、対象データベースにはLINEミニアプリの利用情報だけでなく、組合員情報の一部も保存されていました。

このため、

• LINEミニアプリを使っていない
• LINEアカウントと連携していない

場合でも、組合員情報が対象データベースに保存されていれば影響対象になる可能性があります。

具体的には、電子マネー機能付きここカードの有無に応じて、6万9,586件と14万3,126件の組合員情報が対象とされています。

ここカード14万3,126件ではカード番号とPIN番号も対象

電子マネー機能付きここカードを持つ組合員14万3,126件については、

• 組合員コード
• 氏名（名字のみ）
• 電話番号
• 郵便番号
• ここカード番号
• PIN番号

が対象です。

ここカード番号とPIN番号が含まれることから、不正利用を懸念する利用者も考えられます。

コープやまぐちは、ここカード番号とPIN番号だけでは、

• 電子マネー残高の照会
• 電子マネーでの支払い

はできない仕組みであり、9月7日時点で不正利用も確認していないと説明しています。

一方、不安を感じる利用者にはカードの再発行を受け付けています。

再発行するとカード番号とPIN番号が変更され、電子マネー残高はそのまま引き継がれます。再発行手数料はかからず、発行まで1週間程度としています。

一部の注文者は氏名・住所・メールアドレスも対象

ここカードを持つ組合員14万3,126件のうち、一部の利用者については追加情報も対象になっています。

LINEミニアプリを通じた、

• 梨ギフト
• りんごギフト
• 母の日特別ギフト
• 自宅直送！贅沢グルメ

の利用者のうち一部62件では、氏名、住所、メールアドレスが追加で対象です。

また、ホームページから、

• 節分
• 土用の丑の日
• クリスマス
• 迎春
• こことセレクトスイーツ
• ミールキット

などの店頭受け取り商品を予約した利用者のうち102件についても、同様に氏名、住所、メールアドレスが対象となる場合があります。

この62件と102件は、14万3,126件の内数です。

そのため、全体件数へ追加して合計することはできません。

組合員登録をしていない利用者365件も対象

組合員登録をしていない利用者についても365件が対象です。

対象となるのは、

• LINEミニアプリのギフト企画利用者
• ホームページから店頭受け取り商品を予約した人
• ギフトの届け先として情報を登録された人

などです。

情報項目は、

• 氏名
• 電話番号
• 郵便番号
• 住所
• メールアドレス

です。

注文内容によって含まれる情報項目は異なります。

特に贈答品の届け先については、本人がコープやまぐちへ登録した情報ではなく、依頼主が注文時に入力した情報が対象になる場合があります。

Webフォーム利用者4,218件も対象

コープやまぐちのアンケート、プレゼント、各種申し込みフォームを利用した人の情報も対象です。

対象は4,218件で、

• 氏名またはニックネーム
• 郵便番号
• 住所
• 電話番号
• メールアドレス
• 組合員コード

が含まれる可能性があります。

回答内容によって対象項目は異なります。

この区分が既存組合員の区分と重複しているかは公表されていません。

したがって、4区分を単純合計した21万7,295件を「対象人数」と表現しない方が正確です。

クレジットカード・口座情報・パスワードは含まれず

第二報では、漏えいのおそれがある情報に含まれない項目も明示されました。

対象外とされているのは、

• クレジットカード情報
• 金融機関の口座情報
• 各種ログインパスワード
• 要配慮個人情報

です。

ここカード番号とPIN番号は対象ですが、クレジットカードや銀行口座の情報とは別です。

個人情報の外部流出は引き続き未確認

8月27日に確認されているのは、第三者によるデータベースへの不正アクセスと、データベース内の全データ削除です。

一方、個人情報については、第三者が閲覧・取得して外部へ持ち出したかを調査しています。

9月7日時点で、情報流出の事実は確認されていません。

ただし、流出の可能性を完全に否定できないため、個人情報漏えいのおそれがある事案として対応を続けています。

なりすまし・迷惑メールなどの二次被害も未確認

コープやまぐちは9月7日時点で、

• 個人情報の不正利用
• なりすまし
• 迷惑メール
• その他の二次被害

を確認していません。

ただし、対象情報には組合員コード、名字、電話番号、住所、メールアドレスなどが含まれます。

攻撃者がこれらを取得していた場合、コープやまぐちの職員を装って本人しか知らないように見える情報を提示し、信用させる手口へ悪用される可能性があります。

コープやまぐちは、

• 組合員コードや氏名を正確に言われても、それだけでコープやまぐちからの連絡と判断しない
• 電話、メール、SMSで銀行口座番号や暗証番号、パスワード、クレジットカード番号、ここカード番号、PIN番号を尋ねることはない
• ATM操作や送金を依頼することはない
• 不審なメールやSMSのURL・添付ファイルを開かない

よう注意を呼びかけています。

ここカード利用者は残高・利用履歴を確認

電子マネー機能付きここカードを持つ利用者については、レシートや店舗で電子マネー残高を確認し、身に覚えのない利用がないか確認するよう案内しています。

不審な利用が確認された場合は、コープやまぐちの問い合わせ窓口へ連絡する必要があります。

9月7日時点で不正利用は確認されていませんが、不安がある場合はカードの無料再発行も可能です。

9月14日から対象者への個別通知を開始

コープやまぐちは対象者へ順次個別連絡を行います。

宅配「ここくる」を利用している人には、2026年9月14日から9月18日にかけて配達便で通知します。一部は郵送となる場合があります。

宅配ここくるを利用していない人には、9月24日頃に郵送する予定です。

アンケート、プレゼント、各種Webフォームでメールアドレスを登録した人には、メールで通知します。

今回の第二報は9月7日に公表されましたが、対象者への個別通知は9月14日以降に本格化します。

データベースの全データは削除されたが同日復旧

今回の不正アクセスでは、第三者によって対象データベースのすべてのデータが削除されました。

コープやまぐちは事象確認後、

• 外部からのアクセスを遮断
• バックアップからデータを復元
• 必要なセキュリティ対策を実施

し、8月27日中にLINEミニアプリのサービスを復旧しています。

バックアップから業務を早期復旧できた点と、個人情報が外部へ取得されたかどうかの調査は別の論点です。

データを復元できても、不正アクセス中に第三者が閲覧・取得していなかったことが証明されるわけではありません。

侵入経路と原因は第二報でも調査中

9月7日時点でも、侵入経路と原因は公表されていません。

コープやまぐちは、事象確認後に認証情報の変更などの緊急対策を実施したとしています。

ただし、

• 認証情報が盗まれた
• 脆弱性が悪用された
• 委託先アカウントが侵害された
• APIキーが流出した
• 管理画面の設定不備があった

といった具体的な原因は確認されていません。

認証情報を変更したという対応だけを根拠に、認証情報漏えいが原因だったと断定することはできません。

外部事業者へ開発・運用を委託

対象となったLINEミニアプリのシステムは、コープやまぐちが外部事業者へ開発・運用を委託しています。

第二報では、侵入経路と原因について外部専門家と調査し、その結果を踏まえて委託先事業者とともに、

• アクセス制御の強化
• 監視体制の強化
• その他の再発防止策

を実施するとしています。

委託先が侵入経路だったかは公表されていません。

そのため「委託先から侵入された」と表現することはできません。

一方、委託システムに組合員情報が保存されていたことから、委託元企業側でも、

• どの個人情報を委託先環境へ保存するか
• LINEミニアプリ機能に必要なデータだけに限定されているか
• 管理者アカウントの権限
• アクセスログの保存
• バックアップ
• 事故時の報告体制

を確認する必要があります。

LINEミニアプリ利用情報以外のデータも保存されていた

今回の第二報で明らかになった点の一つが、対象データベースにLINEミニアプリ利用情報以外の組合員情報も保存されていたことです。

LINEミニアプリを利用していない組合員も対象となったため、インシデント対応では「侵害されたサービスの利用者数」だけを基準に影響範囲を推定できません。

企業の情報システム部門では、SaaS、Webアプリ、ミニアプリごとに、

• 実際にどのデータベースを参照しているか
• 本来不要な属性を複製していないか
• 別サービスの顧客情報が同じDBへ保存されていないか
• データ保持期間が必要以上に長くないか

をデータフローとして把握する必要があります。

インシデント時に影響範囲を早く特定するためにも、アプリ名だけでなく「どのデータがどこに保存されているか」の管理が必要です。

情報システム部門が確認したいポイント

今回の事案から、外部委託したWebアプリやミニアプリを運用する企業では次の項目を確認できます。

• 委託先システムへ渡す個人情報を必要最小限にしているか
• 利用していない機能の顧客情報まで同一DBへ保存していないか
• 管理者・運用者アカウントにMFAを設定しているか
• 認証情報やAPIキーを定期的にローテーションしているか
• 管理画面・DBへのアクセス元を制限しているか
• 大量削除や大量参照など異常操作を検知できるか
• DB操作ログをフォレンジックに必要な期間保存しているか
• バックアップを本番環境から分離しているか
• バックアップからの復元手順を定期的にテストしているか
• 委託先との契約でインシデント報告期限を定めているか
• 個人情報保護委員会への報告に必要な情報を委託先から迅速に取得できるか
• 本人通知の対象を特定できるようデータの所在を管理しているか

今回の事例ではバックアップによってサービスは同日中に復旧しましたが、影響範囲の確定には約10日を要しています。

BCPとしての復旧だけでなく、データの所在やアクセスログを使って「誰の、どの情報が対象か」を短時間で特定できる設計も必要です。

 

出典

• コープやまぐちLINEミニアプリへの不正アクセスによる個人情報漏えいのおそれについて（第二報） – 生活協同組合コープやまぐち
• コープやまぐちLINEミニアプリへの不正アクセスによる個人情報漏えいのおそれについて（第一報） – 生活協同組合コープやまぐち