チョコレートブランド「リンツ（Lindt）」、フューチャーショップへのサイバー攻撃でオンラインショップの会員 314万7,469件の個人情報漏洩

スイス発のチョコレートブランド「リンツ（Lindt）」の日本法人、リンツ＆シュプルングリージャパン株式会社は2026年10月23日、公式オンラインショップと公式アプリで共通利用する会員情報3,147,469件が、第三者によって取得されたと発表しました。ECプラットフォーム「futureshop」を提供する委託先の株式会社フューチャーショップが管理するサーバーで、ソフトウェアの脆弱性が悪用されたものです。

漏えいした情報には氏名、住所、電話番号、メールアドレス、生年月日、会員ID、ハッシュ化されたログインパスワードなどが含まれます。一方、クレジットカード番号などの決済情報は含まれていません。リンツは10月21日16時からオンラインショップを停止し、10月26日から対象会員へのメール連絡を始める予定です。

リンツの個人情報漏えいのサマリー

• 公表日：2026年10月23日。発表元はリンツ＆シュプルングリージャパンとフューチャーショップ。
• 対象：リンツのオンラインショップ・公式アプリで共通利用される会員アカウントの情報3,147,469件。2026年10月18日0時16分時点の退会済み会員は含みません。
• 確認状況：第三者による情報の取得・漏えいを確認。単に閲覧や流出の可能性を公表した段階ではありません。
• 発生日時：10月17日23時02分に委託先サーバーへの侵入、18日0時16分に対象情報を取得。
• 原因：フューチャーショップのサーバーで使用していたソフトウェアの脆弱性の悪用。
• 検知と対処：10月19日15時30分ごろに委託先が不審なアクセスを検知。同日に侵入経路を遮断し、脆弱性への対策を実施。
• 決済情報：クレジットカード番号、有効期限、セキュリティコードなどは漏えい対象外。
• サービス：10月21日16時からリンツのオンラインショップを停止。公式アプリでは新規登録・新規ログインなどに制限。
• 通知：対象会員への連絡を10月26日から順次開始予定。10月23日11時時点で情報の悪用は確認されていません。

※「3,147,469件」はリンツが発表した会員情報の件数です。独立した3,147,469人という実人数の認定や、各情報項目が全件に含まれるとの断定は避ける必要があります。オンラインショップとアプリは共通アカウントのため、両サービス分を別々に足した件数ではありません。

10月17日深夜に侵入、18日未明に会員情報を取得

委託先のフューチャーショップは、10月17日23時02分にサーバーへの不正アクセスが始まり、翌18日0時16分にfutureshopを利用する1店舗の会員情報が取得されたと公表しました。その対象店舗がリンツの日本向けオンラインショップです。「1店舗」は同プラットフォーム上の契約店舗を指し、リンツの全国の実店舗1店だけが被害を受けたという意味ではありません。

フューチャーショップは10月19日15時30分ごろ、システム監視によって不審なアクセスを把握。同日、リンツへ報告するとともに、侵入経路を遮断して脆弱性への対策を行いました。同社は、当該店舗以外のデータについて同様の手法による不正アクセスの痕跡は確認されていないと説明しています。ただし、これはサービス全体に影響が一切ないことを保証するものではなく、外部専門機関を交えた調査を継続する方針です。

両社は個人情報保護委員会に連名で報告し、フューチャーショップから所轄警察署にも相談しています。被害範囲や攻撃手法の詳細については、二次被害や再発防止を考慮して公表を控えています。

氏名・住所・生年月日・ハッシュ化パスワードが対象、カード情報は含まず

今回取得されたのは、公式オンラインショップおよび公式アプリの共通会員情報です。連絡先だけでなく、生年月日、会員登録店舗、登録日時、最終ログイン日時、メールマガジンの受信設定など、会員に関連する複数の項目が含まれます。2026年10月18日0時16分時点で退会済みだった会員は対象に含まれていません。

ログインパスワードはハッシュ化された状態で保存されていました。ハッシュ値は平文のパスワードとは異なり、そのまま通常のログインに使用できるものではありません。ただし、パスワードの強度やハッシュ化の方式によっては、取得された値を用いた推測・解析のリスクが残るため、ほかのサービスで同じパスワードを使用している利用者は使い回し先の変更を検討する必要があります。今回の発表でハッシュ値の解析成功や、会員アカウントへの二次侵入が確認されたわけではありません。

クレジットカード番号・有効期限・セキュリティコードなどの決済情報については、決済代行会社が直接処理する仕組みで、リンツおよびフューチャーショップ側の対象サーバーで保管していないため、今回の漏えい対象に含まれていません。

公式オンラインショップは停止、アプリの店頭ポイント利用は一部継続

リンツは10月21日16時からオンラインショップを一時停止しています。再開時期は安全性を確認したうえで発表する方針です。停止前に受け付けた注文については、予定どおり商品を配送すると説明しています。

一方、公式アプリはすべての機能が停止しているわけではありません。すでにログインしている会員は、店舗でのポイント付与・利用を引き続き行えます。ただし、オンラインショップの停止期間中は、新規会員登録、新規ログイン、アプリ内での会員情報の確認・変更、ポイント履歴・購入履歴の閲覧などが利用できません。

また、オンラインショップの停止期間中はリンツのログインパスワードを変更できないため、同社はサイト再開時に変更方法を案内する予定です。会員側が停止中に無理に再設定を試みたり、第三者から届いた「臨時のパスワード変更ページ」にアクセスしたりしないよう、公式告知の更新を直接確認する必要があります。

10月26日から対象会員へ通知、なりすまし連絡に注意

リンツは登録メールアドレスに対し、10月26日から順次、本件の案内を送る予定です。メールが届かない対象者には公式サイトの告知をもって連絡に代えるとしています。通知予定日を利用した偽メールや、会員情報に含まれる氏名・住所を使ったもっともらしい電話・郵便物などに注意が必要です。

想定される二次被害には、リンツを装った「会員情報の再登録」「注文確認」「ポイント失効」「補償受け取り」などの名目で、偽サイトへ誘導してパスワードや決済情報を入力させる行為があります。これらは漏えい項目から考えられる悪用例であり、10月23日11時時点に実際に発生したと確認されたものではありません。

リンツは、メールや電話でパスワード、クレジットカード情報を尋ねないと明示しています。届いたメールのリンクを起点に手続きするのではなく、公式サイト「https://www.lindt.jp/」をブラウザから直接開き、告知内容とサービスの再開状況を確認してください。

会員向けの専用窓口は電話「0120-713-065」（9時～21時、土日祝日を含む）、メール「[email protected]」です。公式サイトの問い合わせフォームも案内されています。

10月21日の「futureshop」サーバーへの不正アクセスとは公表日時と対象を区別

フューチャーショップは10月21日にも、運用サーバーの一部への不正アクセスを公表しています。この件では対象サーバーを停止して調査を進め、翌22日付の第二報では、同時点で個人情報の参照・外部持ち出しの痕跡は確認されていないと説明しました。さらに同時期にはPHPの重大な脆弱性への対応に伴うサービス全体の緊急メンテナンスも行われています。

今回のリンツの個人情報漏えいは、10月17～18日のアクセスによる3,147,469件の取得が確認された事案です。10月21日に確認されたアクセスや、PHP脆弱性対応に伴うメンテナンスの公表内容とは発生日・確認状況が異なります。両者の攻撃経路が同一だったとの説明や、リンツの事案で「PHP2Shell（CVE-2026-109618／CVE-2026-109619）」が使われたという公式発表はありません。

10月21日の停止事案については、フューチャーショップの4サーバーへの不正アクセスとECサービス停止で経緯を整理しています。10月23日の事業者発表では、リンツ以外の利用店舗のデータについて、今回と同じ手法での不正アクセスの痕跡は確認されていないとしています。

EC事業者が確認したい委託先管理と会員データ保護

今回の事例では、販売事業者自身の業務端末からではなく、会員情報を管理するEC基盤のソフトウェアの脆弱性が悪用されました。EC事業者の情報システム部門は、委託先における会員情報の保管範囲、管理画面へのアクセス制御、ソフトウェア更新、監視・通知の手順を契約・運用の両面で把握しておく必要があります。

また、委託先がインシデントを検知してから、利用店舗への連絡、顧客通知、サービス停止・再開判断に至るまでの責任分担も確認の対象です。会員情報と決済情報を別の事業者・システムで処理する構成は、漏えい時の影響範囲に関係します。ただし、カード情報を別管理していることだけで、氏名・住所・会員認証情報の流出リスクがなくなるわけではありません。

出典

• 委託先事業者への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（2026年10月23日）―リンツ＆シュプルングリージャパン
• 不正アクセスによる個人情報漏えいに関するお詫びとお知らせ・第一報（2026年10月23日）―フューチャーショップ
• 弊社サーバーへの不正アクセスに関するご報告・第二報（2026年10月22日）―フューチャーショップ
• PHP脆弱性対応のための緊急メンテナンス継続（2026年10月22日）―フューチャーショップ