日本脆弱性総合ポータル

ドトールコーヒー：ドトールコーヒーの社内システムと通販サイトで不正アクセス、個人データが漏えいした可能性

重要度
業務やサービスの停止・合計24,771件
公表日
2026.10.26
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 社内システムと通販サイトが外部から不正アクセスを受けた
  2. 従業員と会員の個人データが漏えいした可能性がある
  3. 不審なメールやSMS、電話に注意するよう呼びかけられている

ドトールコーヒーは、社内システムと公式通販サイトへの外部からの不正アクセスを確認した。通販サイトでは管理画面から会員情報が出力・閲覧されており、会員情報・お届け先情報など合計24,771件の個人データが漏えいした可能性がある。従業員・退職者951名の個人データも流出した可能性がある。ログインパスワードとクレジットカード情報は漏えいしていないと確認している。

確認された経路・公表元の推定

  1. 2026年10月20日、同社は社内システムへの不正アクセスを検知し、保存されていた従業員・退職者の個人データが外部へ流出した可能性があると確認した。
  2. 2026年10月24日から25日にかけて、外部の第三者が通販サイトの管理画面に不正アクセスし、会員情報が出力・閲覧されていた。
  3. 2026年10月28日、決済代行会社から同社に、通販サイトで不審な動きが確認されたと連絡があった。
  4. 2026年10月30日、同社は委託先から調査結果として本件の報告を受けた。

根拠の要点

同社は、通販サイトの管理画面への外部第三者による不正アクセスと、社内システムへの不正アクセスを説明している。通販サイトについては、委託先の調査で会員情報が出力・閲覧されていたことが判明したとしている。侵入経路、攻撃手法、利用された脆弱性は資料に記載されていない。

資料の基準時点：2026年11月6日公表のニュースリリース時点（従業員向け報は2026年10月26日公表、取得日2026-11-11）

当時、対策できたのか

判定保留

資料は、委託先と協力して原因および影響範囲の詳細調査を進めている段階だとしている。侵入口、利用された弱点、攻撃時点の防御条件は示されていないため、対策の欠落や発覚時の未発見かどうかは判断できず、判定を保留した。

公表された対策

  • 通販サイトを一時停止した。
  • アクセス制限の強化など、必要なセキュリティ対策を実施している。
  • 被害拡大防止措置を講じ、事実関係を調査している。
  • 個人情報保護委員会へ報告し、所轄警察に相談・連携している。
  • 個人データが漏えいしたおそれのある従業員へ順次連絡し、退職者へは公表をもって知らせるとしている。
  • 受注が確定した商品は随時発送し、定期購入は一時休止している。
  • 同社または関係会社を装った不審なメール、SMS、電話等に注意するよう呼びかけている。

この事例を理解するための動画

まだ分からないこと

  • 侵入口と侵入に使われた手法（資料に記載がない）
  • 社内システムへの侵入日時（資料には2026年10月20日の検知日しかない）
  • 会員情報が出力・閲覧された範囲と、漏えいが確定したかどうか
  • 従業員・退職者の個人データが実際に外部へ流出したかどうか（可能性の段階）
  • 二次被害の有無（公表時点では確認されていないが、その後の状況は資料にない）
  • 通販サイトの再開時期と、定期購入の再開時期

関連する事例

同じ原因分類の事例

事例の一覧に戻る