MrMaxアプリ・オンラインストアに不正アクセス｜会員情報が流出、最大173万5,154人が対象

MrMaxアプリとオンラインストアで確認された情報流出

2026年10月6日、株式会社ミスターマックスは、同社が運営するMrMaxアプリとオンラインストアのサーバーが第三者による不正アクセスを受け、会員情報の一部が外部へ流出したことを公表しました。

対象となる可能性があるのは、2026年10月3日時点で登録されていたMrMaxアプリ会員とオンラインストア会員で、人数は最大173万5,154人です。

公表されている内容は次のとおりです。

項目	公表内容
対象サービス	MrMaxアプリ、オンラインストア
不審なアクセスの確認日	2026年10月3日夕方
公表日	2026年10月6日
対象となる可能性がある人数	最大1,735,154人
確認された事実	会員情報の一部が外部へ流出
公表時点の被害状況	流出情報の悪用による被害は確認されていない

「最大173万5,154人」は対象となる可能性がある会員の上限です。この人数の会員について、すべての情報項目が一律に流出したと公表されたわけではありません。登録状況により、対象となる情報は異なります。

流出した情報と流出していない情報

ミスターマックスの公式発表では、対象となる情報と、流出していないことを確認した情報が分けて示されています。

区分	情報の内容
流出の対象となる情報	会員ID、氏名、メールアドレス、電話番号
流出していないことを確認した情報	住所、生年月日、クレジットカード情報、パスワード、購入履歴

会員ID、氏名、メールアドレス、電話番号のうち、実際にどの項目が対象となるかは、会員ごとの登録状況によって異なります。

パスワードやクレジットカード情報が流出したという発表ではありません。一方、氏名や連絡先を知っている相手から連絡が届いても、正規の案内とは限らないため注意が必要です。

不正アクセスを確認してからの対応

公式発表によると、ミスターマックスは2026年10月3日夕方にサーバーへの不審なアクセスを確認しました。発覚後、ただちにMrMaxアプリとオンラインストアを一時停止し、同日中に外部からのアクセスを遮断しています。

その後の調査により、第三者がサービスを構成するソフトウェアの機能を不正に利用してサーバーへ侵入し、会員情報の一部が流出したことが判明しました。

日付	対応内容
2026年10月3日夕方	サーバーへの不審なアクセスを確認し、サービスを一時停止
同日中	外部からのアクセスを遮断
その後	会員情報の一部が流出したことを確認
10月6日	事案を公表し、対象となる会員への個別連絡を案内

同社は個人情報保護委員会へ報告し、警察にも相談しています。また、外部の専門機関と詳しい調査を進め、不正アクセスの経路を遮断する対策と監視体制の強化を実施しています。

不正アクセスの詳しい原因は公表されているか

公式発表では、第三者が「本サービスを構成するソフトウェアの機能を不正に利用」したと説明されています。

ただし、2026年10月8日時点で、次の情報は公表されていません。

• 対象となったソフトウェアの名称やバージョン
• 不正利用された機能の名称
• 既知の脆弱性が悪用されたかどうか
• 最初の侵入経路や具体的な操作手順
• 攻撃者や攻撃グループの情報

「ソフトウェアの機能を不正に利用」という説明だけから、特定の製品や脆弱性、設定不備を原因として挙げることはできません。同社は外部の専門機関と調査を続けており、新たに公表すべき事実が判明した場合は速やかに知らせるとしています。

MrMax利用者が確認したいこと

ミスターマックスは、対象となる会員へメールで個別に連絡するとしています。公式発表では、同社からの案内メールはnoreply@mrmax.jpから送信すると案内されています。

ただし、送信元の表示だけで正規のメールと判断せず、次の点に注意してください。

メールやSMSのリンクをすぐに開かない

ミスターマックスや関係者を名乗るメール、SMS、電話、郵便物であっても、内容を確認せずにリンクや添付ファイルを開かないようにします。最新情報は届いたメッセージ内のリンクではなく、公式サイトから確認してください。

パスワードやカード番号を伝えない

ミスターマックスは、利用者のパスワードやクレジットカード番号を尋ねることはないと案内しています。入力や返信を求められても応じないでください。

公式発表と個別連絡を確認する

2026年10月6日の公表時点では、流出情報を悪用した被害は確認されていません。身に覚えのない連絡を受けた場合や、個別案内について確認したい場合は、公式発表に記載された専用窓口へ問い合わせてください。

本件の問い合わせ先は、incident-desk@mrmax.co.jpです。

アプリやECサイトを運営する企業が確認したい5つの項目

以下は、今回の侵入原因を推測するものではありません。会員アプリやオンラインストアを運営する企業が、一般的な備えとして確認したい項目です。

1. 使用しているソフトウェアと機能を把握しているか

アプリ、ECサイト、API、管理画面で使用するソフトウェア、ライブラリ、外部サービスを一覧にします。利用していない機能や公開する必要のない機能が有効になっていないかも確認します。

2. APIと管理機能の権限を確認しているか

ログインしていない利用者や一般会員が、ほかの会員情報や管理機能へアクセスできないかを確認します。画面上でボタンを隠すだけでなく、サーバー側で利用者ごとの権限を検証することが重要です。

3. 保管する会員情報を必要最小限にしているか

サービス提供に必要な情報だけを収集し、保存期間を定めます。利用目的を終えた情報や、退会後も保管する必要のない情報を削除できる運用も必要です。

4. 不審なアクセスと大量取得を検知できるか

通常とは異なる接続元や時間帯からのアクセス、短時間での大量データ取得、想定外の機能実行を検知し、担当者へ通知できる仕組みを確認します。調査に必要な操作記録の保存も欠かせません。

5. アプリとオンラインストアを一体で点検しているか

スマートフォンアプリ、Webサイト、バックエンドAPI、管理画面が同じ会員情報を利用している場合、一部だけの確認では全体のリスクを把握できません。情報がどこを通り、どこに保存されるかを整理したうえで診断範囲を決めます。

アプリ・ECサイトの安全性を確認したい企業へ

今回の公式発表では、不正利用されたソフトウェアや機能の詳細は明らかにされていません。そのため、「特定の診断を実施していれば今回の事故を防げた」と断定することはできません。

一方、会員情報を扱うアプリやECサイトでは、アプリ本体だけでなく、Webサイト、API、認証機能、管理画面を含めた確認が重要です。

• アプリセキュリティ診断 — アプリと関連システムのセキュリティリスクを確認
• Webアプリセキュリティ診断 — ECサイト、API、認証機能、管理画面の弱点を確認
• 脆弱性診断 — 公開システムの既知の脆弱性や設定不備を確認
• ペネトレーションテスト — 弱点が悪用された場合の影響や会員情報への到達可能性を検証

アプリ、オンラインストア、APIのどこまでを対象にすべきか決まっていない場合でも、システム構成と扱っている情報を伺い、必要な確認範囲を整理できます。

よくある疑問

Q. MrMaxの情報流出は何人が対象ですか？

A. 2026年10月3日時点で登録されていたMrMaxアプリ会員とオンラインストア会員のうち、最大173万5,154人が対象となる可能性があります。この人数の会員について、すべての情報項目が一律に流出したと公表されたわけではありません。

Q. どのような会員情報が流出しましたか？

A. 会員ID、氏名、メールアドレス、電話番号が対象です。会員ごとの登録状況により、流出の対象となる情報は異なります。

Q. パスワードやクレジットカード情報も流出しましたか？

A. いいえ。ミスターマックスは、住所、生年月日、クレジットカード情報、パスワード、購入履歴について、流出していないことを確認したと説明しています。

Q. 流出した情報が悪用された被害は確認されていますか？

A. 2026年10月6日の公表時点では、流出した情報を悪用した被害は確認されていません。ただし、なりすましメールやフィッシングメールに利用される可能性があるため、不審な連絡には注意が必要です。

Q. 対象者にはどのように連絡されますか？

A. ミスターマックスは、対象となる会員へメールで個別に連絡するとしています。案内メールの送信元としてnoreply@mrmax.jpが公表されていますが、送信元表示だけで判断せず、公式サイトの情報と照合してください。

まとめ

MrMaxアプリとオンラインストアのサーバーが不正アクセスを受け、会員情報の一部が外部へ流出しました。対象となる可能性があるのは最大173万5,154人で、会員ID、氏名、メールアドレス、電話番号が対象です。

住所、生年月日、クレジットカード情報、パスワード、購入履歴は流出していないことが確認されています。利用者は、ミスターマックスや関係者を名乗るメール、SMS、電話、郵便物に注意し、パスワードやカード番号を求められても伝えないでください。

参考情報

• ミスターマックス「不正アクセスによる情報流出に関するお詫びとお知らせ」

関連ページ

• アプリセキュリティ診断 — アプリと関連システムのリスクを確認
• Webアプリセキュリティ診断 — ECサイト、API、認証機能、管理画面を診断
• 脆弱性診断 — システムの脆弱性や設定不備を幅広く確認
• ペネトレーションテスト — 攻撃者の視点で重要情報への到達可能性を検証