au PAY、加盟店が知らないまま店舗情報を公開か個人事業主最大45万8,508人が対象|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月21日更新日時: 2026年10月21日

KDDI株式会社は2026年10月20日、決済サービス「au PAY」の加盟店を検索できるウェブサイト「au PAYの使えるお店」で、一部の個人事業主の店舗情報を、本人が掲載を明確に認識していないまま公開していた可能性があると発表しました。対象となる個人事業主は最大45万8,508人で、このうち最大4,417人については、個人の氏名と推測される名称が店舗名として掲載されていたとしています。

問題となったのは第三者によるシステム侵入ではなく、加盟店契約とウェブサイトへの情報掲載に関する認識のずれです。掲載サイトは2026年8月下旬からメンテナンスを続けており、再開時期は未定です。

au PAY加盟店の情報掲載問題のサマリー

KDDIは10月20日、「au PAYの使えるお店」における加盟店情報の掲載について謝罪しました。
対象は、包括代理加盟店を経由して契約した個人事業主の加盟店の一部です。
掲載されていた店舗情報には店舗名、連絡先、所在地などが含まれます。
掲載に関する認識が十分でなかった可能性のある個人事業主は最大45万8,508人です。
このうち、個人の氏名と推測される名称が店舗名として掲載されていた人数は最大4,417人です。
加盟店規約への同意のみでは、店舗検索サイトへの掲載を十分に認識していなかった可能性があるとしています。
KDDIが直接契約する加盟店や、一部の包括代理加盟店経由の契約では、掲載意向の確認を行っていました。
対象サイトは8月下旬からメンテナンス中で、再開日は決まっていません。
KDDIは掲載を規約に明記する方向で修正し、今後は個人事業主が明確に認識した場合のみ掲載する方針です。

項目	2026年10月20日付公表の内容
発表元	KDDI株式会社
対象サイト	「au PAYの使えるお店」（利用可能な店舗の表示・検索）
主な掲載項目	店舗名、連絡先、所在地など
対象となる加盟店	包括代理加盟店経由で加入した個人事業主の一部
影響規模	個人事業主最大458,508人
氏名と推測される名称の掲載	最大4,417人（上記の内数）
対象サイトの状況	2026年8月下旬からメンテナンス中、再開時期未定
対応予定	加盟店規約の明確化、個人事業主への掲載認識の確認

※最大45万8,508人は「氏名が掲載されていた人数」や「外部に不正流出した人数」を意味しません。最大4,417人も、氏名と推測される名称が店舗名として掲載されていた人数であり、全員の本人氏名であることが確定した数字ではありません。

加盟店規約への同意と、店舗検索サイトへの掲載認識にずれ

「au PAYの使えるお店」は、利用者がau PAYを使える店舗を調べられるウェブサイトです。KDDIは同サイトで、加盟店の店舗名、連絡先、所在地などを公開していました。

加盟店はau PAY加盟店規約に同意して契約します。しかしKDDIによると、規約への同意だけでは、店舗情報が一般利用者向けの検索サイトに掲載されることを加盟店が明確に認識しているとは限らないと判明しました。

対象はすべてのau PAY加盟店ではありません。複数の決済手段をまとめて契約できる「包括代理加盟店」を通じてau PAYに加盟した個人事業主の一部です。KDDIが直接契約する加盟店や、一部の包括代理加盟店を通じた契約では、契約締結時などに掲載の意向を確認していたと説明しています。

今回の発表は、加盟店の掲載に関する説明・認識の問題を扱ったものです。第三者による不正アクセスやサイバー攻撃が発生したとの公表ではありません。また、同社は本件について法令違反が確定したとは発表していません。

最大4,417人は、個人氏名と推測される名称が店舗名に掲載

KDDIが示した対象規模は、個人事業主最大45万8,508人です。そのうち最大4,417人は、個人の氏名と推測される名称が店舗名として表示されていたとしています。

店舗名が事業者本人の氏名だった場合、所在地や連絡先と組み合わせることで個人を識別しやすくなる場合があります。とりわけ自宅と事業所を兼ねる個人事業主は、公開する所在地や電話番号の範囲に注意が必要です。ただし、今回公表された所在地がすべて自宅住所だったという情報はありません。

一般公開された店舗情報は、営業連絡やなりすましに利用されるリスクがありますが、今回の掲載を起点とする具体的な不正利用や二次被害が確認されたとの発表ではありません。

「使えるお店」検索サイトは8月下旬からメンテナンス、再開日未定

KDDIによると、今回の問題に伴い、「au PAYの使えるお店」は2026年8月下旬からメンテナンスを実施しています。10月20日付の発表時点で再開時期は未定です。10月21日に検索サイトを確認した際も、メンテナンス中の案内が表示されていました。

停止について公表されているのは店舗の検索・表示サイトです。au PAYのコード決済や加盟店への入金を含む決済サービス全体が停止したという発表ではありません。利用者は検索機能の停止と、決済機能の利用可否を区別する必要があります。

KDDIは今後、加盟店規約に店舗検索サイトへの情報掲載を明確に記載する方向で修正するとしています。個人事業主の店舗情報については、掲載を明確に認識した場合に限って表示する運用に変更する予定です。

個人事業主・決済事業者が確認したい事項

au PAYの加盟店となっている個人事業主は、過去に登録した店舗名、住所、電話番号が一般向けに公開される想定だったかを確認できます。とくに包括代理加盟店を通じて契約した場合、直接契約とは案内の経路が異なるため、代理店からどのような説明を受けたかが確認の手掛かりになります。

au PAY加盟店向けの公式FAQでは、管理サイトの「設定」から「店舗情報」を開き、登録内容を確認・変更する手順が案内されています。ただし、加盟店管理画面上の登録内容変更と、公開ウェブサイトへの掲載停止・再開条件は別の問題です。掲載方針については、KDDIまたは契約した包括代理加盟店へ確認してください。

決済サービスや加盟店情報を取り扱う事業者にとっては、契約時に収集した情報を第三者が閲覧できる店舗検索サイトへ二次利用する場合、利用目的や公開対象項目、加盟店への説明方法が適切かを点検する事例となります。店舗の所在地・連絡先が個人の生活拠点や私用の連絡先と一致していないかも、公開前の確認項目です。

なお、au PAYを装う不審なメールやSMSへの対応については、セキュリティ対策Labのau PAYの偽キャンペーンメールに関する注意喚起でも整理しています。ただし、同記事のフィッシング事例と今回の加盟店情報掲載問題との関連が確認されているわけではありません。