トイポアプリに不正アクセス、APIの脆弱性から個人情報漏えい―JR九州フードサービスの約2万6,900人に影響の可能性

店舗向け顧客管理アプリ「トイポアプリ」を提供する株式会社トイポへの不正アクセスを巡り、同アプリを導入するJR九州フードサービス株式会社は2026年10月13日、顧客の個人情報が漏えいしたと発表しました。同社の登録者約6万1,500人のうち、約2万6,900人が漏えいの可能性がある対象とされています。

トイポによる調査では、一部のAPIに脆弱性があり、本来アクセス権限を持たない第三者が別の利用者の情報を取得できる状態だったことが判明しました。原因となった脆弱性は修正済みです。JR九州フードサービスは、対象となる可能性のある利用者に10月16日までにアプリ通知で案内するとしています。

トイポアプリ不正アクセスのサマリー

• 公表日：2026年10月13日（JR九州フードサービス）
• 不正アクセスを受けたサービス：株式会社トイポの「トイポアプリ」
• トイポが不正アクセスを確認した日：10月4日
• JR九州フードサービスがトイポから連絡を受けた日：10月7日
• 確認された問題：一部APIで、アクセス権限のない第三者が他の利用者情報を取得可能だった
• 対応：原因となった脆弱性は修正済み
• JR九州フードサービスでの利用：うまや、たんやなど24店舗で導入
• 同社の会員登録者：約6万1,500人
• 同社の漏えい可能性がある対象：約2万6,900人
• 対象情報：ユーザーID、電話番号。登録内容によって氏名、性別、メールアドレス、住所、生年月日も対象
• 対象外：パスワード、クレジットカード番号、その他決済情報、購買履歴
• 利用者への連絡：トイポから10月16日までにアプリ通知を順次送信予定

10月4日に不正アクセスを確認、APIの権限管理に問題

JR九州フードサービスの公表によると、トイポは10月4日に自社サービスへの不正アクセスを確認しました。その後の調査で、一部のAPIについて、本来アクセス権限のない第三者がほかの利用者の情報を取得できる状態だったことが判明しています。

APIは、スマートフォンアプリとサーバーとの間でデータをやり取りする仕組みです。アプリ側でユーザーがログインしていても、サーバーが「要求された情報をこの利用者に返してよいか」を適切に確認しなければ、本来は別の利用者だけが閲覧できる情報へアクセスされるおそれがあります。

今回の公式発表が示すのは、こうしたアクセス権限の境界を越えて情報が取得可能だったという事実です。一方、問題が生じたAPIの具体的な仕様や、不正な要求の方法、脆弱性が存在した期間、第三者による実際の取得件数の全体像は、今回参照した公表資料には示されていません。特定のCVEや攻撃ツールが使われたと断定することもできません。

トイポは原因となった脆弱性を修正し、同じ方法では情報を取得できない状態にしたと説明しています。

「うまや」「たんや」など24店舗で約2万6,900人が対象

JR九州フードサービスは、来店促進用のスタンプカードやクーポン配信にトイポアプリを導入しています。導入先は「うまや」「たんや」など計24店舗です。

同社が公表した登録者の規模は約6万1,500人で、そのうち約2万6,900人について個人情報が漏えいした可能性があります。この数字はJR九州フードサービスの店舗で会員登録した利用者を対象としたものであり、トイポアプリを採用する全事業者・全利用者の影響人数を示すものではありません。

対象となる可能性がある情報は以下のとおりです。

パスワード、クレジットカード番号などの決済情報、購買履歴について、JR九州フードサービスは今回の漏えい対象に含まれないと説明しています。漏えいの可能性がある項目は利用者の登録内容によって異なります。

新規会員募集を停止、10月16日までにアプリ通知

JR九州フードサービスは、対象店舗での新規会員募集を停止しています。影響を受けた可能性がある利用者には、トイポから10月16日までに順次、アプリ通知でお詫びと案内を送付する予定です。同社ホームページと店頭でも周知するとしています。

問い合わせは、トイポが専用窓口「0120-546-030」（平日9時～18時）で受け付けています。JR九州フードサービスの対象店舗についての問い合わせ先は「092-452-5777」です。

利用者が情報漏えいに関するメッセージを受け取った場合、通知内容を公式アプリや事業者の公式サイトから確認してください。パスワードやカード情報の流出は今回公表されていないため、これらが漏れたことを前提にした一律の対応は不要ですが、氏名・電話番号・メールアドレスなどを組み合わせた不審な連絡には注意が必要です。

具体的な対処方法は、個人情報が漏えいした場合の項目別の対策で整理しています。

会員アプリを狙った別事案との共通点

会員アプリやWebサービスの不正アクセスを巡っては、2026年9月から10月にかけて別の事業者でも被害が公表されています。

セイコーマートアプリへの不正アクセスでは、会員情報サーバーへの不正アクセスにより57万4,647人分が影響対象とされました。また、ローソンID・アプリ予約の不正アクセスでは、本人向けに情報を表示する仕組みが悪用され、会員情報が第三者に取得されています。

これらはトイポへの不正アクセスと同一の攻撃者・侵入手法による事案と確認されたものではありません。ただし、認証後に「本人が閲覧できる情報の範囲」をどこまで制限しているかは、各サービスで共通して点検すべき項目です。

情報システム部門・アプリ導入企業が確認したい点

今回のように、会員アプリ提供会社が共通のデータ基盤を運用している場合、導入企業が直接管理しないAPIの不備が自社の顧客への通知や店舗運営に影響します。

確認対象としては、APIごとの利用者・店舗・企業単位での認可、他人のユーザーIDを指定したリクエストに対する拒否、アクセスログの保存、異常な取得回数の検知、個人情報の登録項目の最小化、委託先からの事故連絡と影響範囲の照合手順が挙げられます。特に複数の店舗・企業が同じシステムを使うサービスでは、別の契約企業の顧客情報を取得できないかをテストする必要があります。

JPCERT/CCの国内Web・API攻撃への注意喚起では、国内のWebサービスで相次ぐAPI悪用などが整理されています。原因となった脆弱性の修正に加え、攻撃前から保存されているログを使い、何件・どの情報が実際に取得されたか確認できる体制も必要です。

出典

• 株式会社トイポにおける不正アクセスに伴う当社お客さま情報の漏えいについて－JR九州フードサービス株式会社（2026年10月13日）
• 同社の公式発表PDF（2026年10月13日）－JR九州フードサービス株式会社
• トイポアプリへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ－株式会社トイポ（2026年10月13日、同社公開ページ）