スターバックス、従業員向けアカウントへの不正アクセスで従業員の個人情報漏洩 偽サイトで認証情報を窃取、顧客の情報漏洩は否定

スターバックスは、米メイン州司法長官向けのデータ侵害通知で、同社の情報侵害により889人が影響を受けたと届け出ました。うちメイン州居住者は5人で、侵害が起きた期間は2026年1月19日から2月11日、発見日は2月6日、対象者への書面通知日は3月10日とされています。

侵害経路は 従業員向けサイトを装った偽サイト

BleepingComputerが確認した通知内容によると、侵害を受けたのは Starbucks Partner Central のアカウントです。Starbucks Partner Central は、従業員の雇用情報、個人情報、福利厚生、人事関連情報を管理するための社内向けアカウントで、外部の専門家を交えた調査の結果、889件のアカウントが侵害されたとされています。スターバックスは、第三者が Partner Central を装った偽サイトを使ってログイン認証情報を入手し、その情報を使って一部アカウントへ不正アクセスしたと説明しています。

漏えいした情報は氏名や社会保障番号、口座情報

BleepingComputerによると、今回の侵害で露出した個人情報には、氏名、社会保障番号、生年月日、金融口座番号とルーティング番号が含まれます。スターバックスは、事案を把握後に法執行機関へ通知し、影響を受けた従業員に対して不審な取引やなりすまし被害の有無を口座レベルで監視するよう促しています。

なお、顧客の個人情報には影響していないとしています。

過去インシデント

スターバックスでは今回の従業員向け Partner Central 侵害以前にも、委託先起点の情報漏えい事案が発生しています。2025年9月、スターバックス コーヒー ジャパンは、Blue Yonder のSaaS Work Force Management に関連して、同社およびライセンシーの従業員・退職者らの個人情報が漏えいしたと公表しました。セキュリティ対策Labの整理では、当初は約3万1,500人分が対象とされ、その後の追加調査で約4万700人分の従業員ID漏えいが判明し、最終的に合計約7万2,200人分へ拡大したとされています。

出典

Starbucks discloses data breach affecting hundreds of employees

関連記事

パナソニックコネクトの米独立子会社、ブルーヨンダーへTermiteが不正アクセスとデータ窃取を主張 スターバックス、ブルーヨンダーへのサイバー攻撃で約7万人以上の従業員と退職者の個人情報漏洩 パナソニックコネクトの米独立子会社、ブルーヨンダーがランラムウェアによりサプライチェーンへ影響が発生 西友、ブルーヨンダーへのサイバー攻撃で約3万人の従業員の個人情報が漏洩-ランサムウェア グループが犯行声明 発表済み スマレジ、外部連携アプリへの不正アクセスで約13万件の個人情報漏洩の恐れ TableCheck、特集ページの誤設定で誤って別のユーザーの個人情報が表示される 米国の大手医療保険会社の470万人の健康に関する個人情報がGoogleに漏洩 ランサムウェアの事例 【2025年】 QNAP、NAS 連携ツールの危険度の高い脆弱性(CVE-2025-57714)を含む複数の脆弱性を修正

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)