- 株式会社松屋フーズホールディングスが運営する松屋公式アプリの管理システムが、第三者から不正アクセスを受けました。10月28日（水）に、アプリに登録された会員情報などが漏えいしたことが分かったと、10月30日13時に適時開示で発表しています。
- 漏えいが確認された件数は、発表では2つに分けて書かれています。松弁ネット・モバイルオーダー・松弁デリバリーの利用者 2,377,127件と、松屋公式アプリの登録者 2,000件（最大3,000件となる可能性）です。
- アプリ登録者の分には「暗号化されたパスワード」が含まれます。松弁ネットなどの利用者の分にはお届け先住所が含まれます。
- クレジットカード情報は、松屋フーズHDでは持っていないとしています。
- 原因と、不正アクセスができてしまった経緯は調査中です。
- 漏えいした人には順次連絡する予定とされています。松屋フーズHDは、メールや電話でパスワードやカード情報を尋ねることはないとしています。お詫びをかたる偽メール・SMS・電話に注意してください。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
この記事は、松屋フーズホールディングス（以下、松屋フーズHD）が10月30日に出した適時開示（東京証券取引所の情報開示）と、松屋フーズのホームページに出ているお知らせをもとにまとめたものです。続報が出たら更新します。
何が起きたか（時系列）
| 日時 | 発表の内容 |
|---|---|
| 10月28日（水） | 松屋公式アプリの管理システムが第三者から不正アクセスを受け、アプリに登録されている会員情報などが漏えいしたことが判明した |
| 10月30日（金）13時 | 松屋フーズHDが「松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）管理システムに対する第三者からの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」を適時開示 |
出典：［松屋フーズHD 適時開示（PDF）］
発表によると、松屋フーズHDは関係各社などの協力を得てシステムの早期復旧に取り組んでいて、個人情報保護委員会への報告など必要な対応を進めています。詳しい内容は別に告知するとしています。
10月30日13時台に確認したところ、松屋フーズのホームページ（matsuyafoods.co.jp）はどのページを開いても「【松屋アプリ等のサービス停止のお知らせ】」だけが表示される状態でした（サーバーは「503」＝一時的に使えない、という応答を返しています）。お知らせには、外部からの不正アクセスが検知されたため、松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）およびホームページ等の関連サービスを停止していること、原因と影響範囲の特定を進めていること、確認の状況と復旧の見通しはあらためて知らせることが書かれています［松屋フーズ ホームページのお知らせ］。
漏えいした情報と件数、持っていない情報
発表では、利用していたサービスによって、漏えいした項目と件数が分けて書かれています。
| 対象 | 漏えいが確認された情報 | 件数 |
|---|---|---|
| 松屋公式アプリに登録した人 | 会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、松屋ポイント | 2,000件（最大3,000件となる可能性がある） |
| 松弁ネット・モバイルオーダー・松弁デリバリーを利用した人 | 会員ID、お届け先住所、氏名、電話番号、松屋ポイント | 2,377,127件 |
2つの件数は、発表で別々に書かれています。両方に当てはまる人がいるかどうかは書かれていないため、この記事では足し合わせていません。
クレジットカード情報については、「当社で保持しておりません」とされています。
「暗号化されたパスワード」は、パスワードがそのままの文字ではなく、読めない形に変えて保存されていたものです。ただし、どんな方式で暗号化していたかは発表に書かれていません。漏れたものが元のパスワードに戻されるおそれがまったくないとは言い切れないので、次の「やること」に目を通してください。
対象になる人
発表から読み取れる対象は、次の2つです。
- 松屋公式アプリに登録した人（2,000件、最大3,000件の可能性）
- 松弁ネット（お弁当の予約）、モバイルオーダー、松弁デリバリーを利用した人（2,377,127件）
いつからいつまでに登録・利用した人が対象なのかは、発表に書かれていません。松屋フーズHDは、情報が漏えいした人には順次連絡する予定としています。自分が対象かどうかは、その連絡か、今後の公式の告知で確かめてください。
また、アプリ会員には、サービスを止めている期間中の補償をする予定とされています。中身はまだ発表されていません。
利用者がやること
松屋フーズHDが発表でお願いしているのは、次の2点です。
- 漏えいした個人情報が、なりすましなどに悪用されるおそれがある。不審なメール、SMS、電話などには十分に気をつける
- 松屋フーズHDから、メールや電話でパスワードやクレジットカード情報などを尋ねることはない
発表には、パスワードの変更やリセットについての案内は書かれていません。以下の2〜4は、個人情報が漏れたときの一般的な対処で、松屋フーズHDの指示ではありません。公式の案内が出たら、そちらを優先してください。
1. お詫びや補償をかたる偽の連絡に注意する
- メールやSMSの中のリンクは使わない：補償、ポイント付与、返金、本人確認などをうたうメッセージが届いても、リンクは押さず、公式サイトや公式アプリで同じ告知が出ているかを確かめます。
- パスワードやカード番号を聞かれたら偽物と考える：松屋フーズHDは、メールや電話でパスワードやカード情報を尋ねることはないとしています。尋ねてきたら、それは松屋フーズHDからの連絡ではありません。
- 電話にも気をつける：今回は電話番号と氏名が漏えいしています。松弁ネットなどの利用者はお届け先住所も含まれます。松屋や公的機関を名乗る電話で個人情報やお金の話をされたら、その場で答えず、発表に書かれた問い合わせ窓口（この下に載せています）に自分でかけて確かめます。
2. 同じパスワードをほかで使っていたら変える
アプリ登録者の分には、暗号化されたパスワードが含まれます。松屋公式アプリと同じパスワードをほかのサービスでも使っている場合は、そちらのパスワードを変えておくと安心です。メール、ネットバンキング、通販など、大事なものから順に変えます。2段階認証（パスワードに加えて、スマホなどで確認する仕組み）が使えるところは設定しておきます。
松屋公式アプリ自体のパスワードは、いまはサービスが止まっていて変えられない可能性があります。再開時の案内を待ってください。
3. 松屋ポイントを確かめる
漏えいした項目には「松屋ポイント」も含まれます。サービスが再開したら、ポイントの残高や履歴に覚えのない動きがないかを見ておきます。
4. 偽サイトに入力してしまったら
同じパスワードを使っていたサービスのパスワードをすぐ変えます。カード番号を入れてしまった場合は、カード会社に連絡します。
メール：[email protected]
電話：0422-38-1121（平日10時〜16時、土日休業。音声案内のあと「1」を押す）
届いたメールや電話で別の番号を案内されても、こちらの番号に自分でかけて確かめてください。
原因について
発表では、第三者による不正アクセスによるものと確認しているとしたうえで、原因と、不正アクセスができてしまった経緯などの詳細は調査中としています。
このサイトでは10月21日に公表されたPHPの脆弱性「php2shell」を追っていますが、今回の発表にPHPに関する記述はありません。この記事では、今回の件をPHPの脆弱性と結びつけて扱いません。
よくある質問
松屋の店でアプリを使わずに食べただけです。対象ですか？
発表で対象とされているのは、松屋公式アプリに登録した人と、松弁ネット・モバイルオーダー・松弁デリバリーを利用した人の情報です。発表の書き方からは、店頭で注文して支払っただけの場合は、この2つに当てはまらないと読めます。気になる場合は、下の問い合わせ窓口で確かめてください。
モバイルオーダーで1回だけ注文しました。対象ですか？
モバイルオーダーの利用者の情報は、2,377,127件の中に含まれています。ただ、いつの利用者が対象なのかは書かれていません。松屋フーズHDは、漏えいした人に順次連絡するとしています。
2つの件数を足した数が、漏れた人数ですか？
発表では、アプリ登録者の2,000件（最大3,000件）と、松弁ネットなどの利用者の2,377,127件が別々に書かれています。両方に当てはまる人がどれくらいいるかは書かれていないので、足した数が人数になるとは限りません。
クレジットカードは止めたほうがいいですか？
松屋フーズHDは、クレジットカード情報を保持していないとしています。念のため、利用明細に覚えのない請求がないかを見ておき、あればカード会社に連絡してください。
パスワードは漏れましたか？
松屋公式アプリの登録者については、「暗号化されたパスワード」が漏えいした情報に含まれています。松弁ネット・モバイルオーダー・松弁デリバリーの利用者の分には、パスワードは挙げられていません。同じパスワードをほかで使っているなら、変えておくと安心です。
アプリやモバイルオーダーはいつ使えるようになりますか？
10月30日13時台の確認時点では、アプリやホームページなどの関連サービスは止まっていて、復旧の見通しはあらためて知らせるとされています。
原因はPHPの脆弱性ですか？
原因は調査中とされていて、発表にPHPについての記述はありません。原因が示されたら更新します。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。今回の件での会員情報の扱いについては、松屋フーズHDの公式の案内を確かめてください。相談はこちら
参考にした情報
- 株式会社松屋フーズホールディングス「松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）管理システムに対する第三者からの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月30日 13時、適時開示・PDF）
- 株式会社松屋フーズ・株式会社松屋フーズホールディングス「【松屋アプリ等のサービス停止のお知らせ】」（ホームページ。10月30日13時台の確認時点で、どのページを開いてもこのお知らせが表示される状態）
