ドトール通販サイトで10月24日から25日に不正アクセス、会員情報2万4762件が流出の可能性

ドトールコーヒーの通信販売サイト「ドトールオンラインショップ」が不正アクセスを受け、会員情報2万4762件と届け先情報9件が流出した可能性があります。第三者が管理画面にアクセスし、顧客の氏名や連絡先、購買情報などを参照しており、同社はサイトを一時停止してセキュリティ対策を実施しました。

10月25日までの登録会員の情報が対象

不正アクセスがあったのは、2026年10月24日から翌25日にかけてです。第三者がサイトの管理画面にアクセスし、10月25日までに会員登録した顧客の個人情報を参照しました。

流出した可能性がある情報には、氏名、住所、電話番号、メールアドレス、会員ID、届け先情報、購買情報などが含まれます。一部の会員については、生年月日、性別、職業、会社名なども対象です。

発覚のきっかけは、10月28日に決済代行会社から寄せられた連絡でした。サイトで不審な動きがあるとの連絡を受けて調査した結果、侵害が判明しました。ドトールコーヒーは11月6日、ドトールオンラインショップでの個人情報漏えいの可能性について告知しました。

サイトを一時停止し、アクセス制限を強化

ドトールコーヒーは、ドトールオンラインショップを一時停止し、アクセス制限の強化などのセキュリティ対策を実施しました。警察への相談と、個人情報保護委員会への報告も行っています。

通販サイトの運営業務に使う管理画面と、購入者が使う会員向け画面では、扱う機能が異なります。例えば、企業間取引向けの通販システム「Bカート」では、管理画面は売り手が受注処理、商品登録、会員管理に使い、会員向け画面は買い手が商品閲覧、発注、注文履歴の確認に使います。

別の通販サイト構築システム「EC-CUBE4」でも、会員向けのマイページと、運営側の会員管理機能が分かれています。会員はマイページで購入履歴や商品の出荷状況などを確認でき、運営側は会員一覧で登録された会員情報を検索し、登録内容を編集できます。

こうした管理機能には、複数の会員データを扱う仕組みがあります。EC-CUBE4では、会員登録に伴って会員一覧にデータが保存され、問い合わせや注文状況の確認などに合わせて検索・編集するほか、会員データをCSV形式のファイルとして出力できます。

氏名や利用サービスを知る連絡にも、なりすましの手口

情報流出後の不審な連絡には、氏名や利用サービス名を使うものや、実際の情報流出を口実に安全確認のための再登録を求めるものがあります。注文、配達、返金、本人確認などを装う文面も、フィッシングの手口に含まれます。

フィッシングは、実在する企業などを装ったメールやSMSで偽サイトへ誘導し、ID、パスワード、カード番号などを入力させて盗む犯罪です。SMSは、電話番号を宛先にメッセージを送受信するサービスで、通販サイトやカード会社、宅配業者などになりすます際にも使われます。

不正アクセスへの対応を装い、カード番号などの再登録を求める文面もあります。差出人名やメールアドレスを偽装したり、正規サイトに似た文字列のURLを使ったりするほか、本物のサイトを模した画面で情報入力を求める手口があります。

対応を急がせたり不安をあおったりする内容に加え、表示されているURLと実際のリンク先が異なる場合もあります。また、偽サイトでも通信を暗号化できるため、URLが「https」で始まることや、ブラウザの鍵マークだけでは、正規サイトかどうかを判別できません。