スマレジ外部連携アプリへの不正アクセスによるサイバー攻撃のまとめ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年01月19日更新日時: 2026年01月27日

2026年1月8日、POSサービス「スマレジ」と連携する外部アプリ（スマレジ・アプリマーケット提供）が不正アクセスを受け、外部アプリ提供元が管理していた会員データが第三者に不正取得・公開されたとする事案が表面化しました。スマレジ側は、スマレジ本体のシステムや同社サーバーへの不正アクセス、スマレジ側からの情報流出は確認されていないとの立場を示しつつ、連携アプリの停止やアクセス遮断などの対策を実施しています。

この記事では、同社を利用していた顧客のインシデントも含めて経緯をまとめて記事化しています。

1 概要
2 影響範囲
3 対象となった外部連携アプリ
4 被害企業（利用店舗）の状況
5 経緯の時系列

概要

2026年1月13日調査の結果としてスマレジ側の続報では、影響が確認できている範囲として、対象となる店舗のエンドユーザー情報について氏名136,346件、電話番号114,951件が流出した可能性がある旨が示されました（いずれも暫定・調査時点の数字です）。

影響範囲

スマレジの続報ベースでは、影響範囲は次のように整理されています。

対象：外部アプリ「書類上手／見積・請求書、＋invoice」と連携設定を行っていた8社のPOS契約店舗に属するエンドユーザー（会員）情報
流出した可能性がある情報（暫定）：
- 氏名：136,346件
- 電話番号：114,951件
多くの告知で対象外または未確認とされている情報：
- 住所、メールアドレス、パスワード、クレジットカード情報などの決済関連情報

対象となった外部連携アプリ

スマレジの説明では、問題が確認されたのはスマレジ・アプリマーケットで提供されていた合同会社coastlineが提供する外部アプリで、「書類上手／見積・請求書、＋invoice」が言及されています。
本件は、スマレジ本体やスマレジ公式アプリへの侵入ではなく、外部アプリ提供元側で管理されていた会員データが不正取得・公開されたことが中心とされています。

今回のポイントは、プラットフォーム本体が侵害されていない場合でも、連携先（外部アプリ／外部ベンダー）が侵害されることで利用企業と顧客に影響が及ぶ、典型的なサプライチェーン型のリスクが顕在化した点です。

被害企業（利用店舗）の状況

今回のインシデントでは、当該アプリを利用していた、あるいは導入を検討していた複数の企業が影響を受けました。

サカイサイクル株式会社（サイクルヒーロー）： 1月9日に第一報、1月16日に続報を公開。独自の会員アプリへの影響はないとしつつ、顧客への注意喚起を行っています。
株式会社釜浅商店： 1月12日にリリースを公開。スマレジ本体からの漏洩ではないことを強調しつつ、不審な連絡への注意を呼びかけています。
ノースバイシクル北海道： 導入を検討し、最終的に利用しなかったにも関わらず、テスト時などのデータが消去されずに残っていたため流出したことが判明しました。

経緯の時系列

2026年1月6日
ハッカーがスマレジへの不正アクセスによるサイバー攻撃の犯行声明
2026年1月8日
外部アプリベンダー側で「会員データが第三者により不正取得・公開された」との報告が関係者に共有され、スマレジ側も調査・対応に着手。対象となる契約店舗には個別連絡が行われたとされています。
2026年1月9日〜10日頃
利用企業側で第1報にあたる告知が出始めます。外部アプリ起因であること、スマレジ本体の不正アクセスではないこと、当該アプリは停止済みであることが共通して説明されています。
アプリ提供元側からも、アプリ停止や個別連絡、当局への報告・調査の検討が告知されています。
2026年1月12日
利用企業側から、流出項目が「氏名・電話番号」であること、住所や決済情報などは含まれない（または確認されていない）こと、二次被害への注意喚起がより明確に示されます。
2026年1月13日
スマレジが続報を公表し、外部アプリ提供元が管理していたデータが不正取得・公開された件について、影響件数などの追加情報（氏名・電話番号の件数）と、スマレジ側の対応（アプリ非公開化、アクセス遮断、調査継続）を整理して示します。
2026年1月15日〜16日
利用企業側で「調査の結果、氏名（フリガナ含む）・電話番号の流出が確認された」とする続報や、問い合わせ窓口の一本化、フィッシング注意喚起が更新されます。
また、導入を見送った（本格利用していない）とする事業者からも、「データ消去が徹底されておらず保管されたままだった可能性がある」との説明が出ており、影響範囲の捉え方に重要な示唆を与えています。