リンツ＆シュプルングリージャパンは10月23日、オンラインショップと公式アプリで共通して使う会員情報の漏えいを発表しました。対象は314万7,377件。通知を待つ間にも確認できることと、サービス再開後に行うことを分けて整理します。
初回確認：2026年10月24日11:00、更新確認：10月30日09:42（日本時間）。公表は10月23日で、攻撃・情報取得は17日夜～18日未明です。以下の時刻は日本時間です。
- 漏えいは「可能性」ではなく、確認された事案です。数字の単位は会員情報の「件数」です。
- オンラインショップは停止中。公式アプリは、ログイン済みなら店舗でのポイント利用を続けられます。
- 10月26日にパスワードを強制リセット。通知予定は27日からに変更され、利用者の再設定はショップ再開時です。
10月26日追記：リセット実施とアプリの注意点
リンツは26日、対象者のログインパスワードをシステム側で強制リセットしたと発表しました。利用者が再設定するのはオンラインショップ再開時で、方法は改めて案内されます。リセット実施は、ショップの復旧完了を意味しません。
同日から、ショップと新規登録が再開できるまで公式アプリのストア公開も一時停止しました。現在ログイン済みの人は、リセット後も店舗でのポイント付与・利用を続けられるとしています。
対象者へのメールは、当初の26日開始予定から27日より順次へ変更されました。送信完了を確認したものではありません。リンツ公式の10月26日追記
何が起きたのか：委託先のサーバーから会員情報を取得
会員情報を管理する委託先は、ECシステムを提供するフューチャーショップです。同社の第一報では、10月17日23時02分に不正アクセスが始まり、18日0時16分に利用店舗1店の会員情報が取得されました。監視で不審なアクセスを確認したのは19日15時30分ごろです。
原因として公表されているのは、サーバーで使用するソフトウェアの脆弱性の悪用です。具体的な攻撃者やソフトウェア名は、この発表では特定されていません。ほかのサイバー被害と同じ原因だと結び付けることはできません。
フューチャーショップは侵入経路の遮断と管理画面サーバーへの対策を実施し、同じ方法ではアクセスできないことを確認したと説明しています。他店舗のデータへの同様のアクセスの痕跡は確認されていないとしていますが、調査は続きます。フューチャーショップの10月23日第一報
対象情報と、数字を読むときの注意
対象は会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、登録店舗情報などと、ハッシュ化されたログインパスワードです。クレジットカード情報は含まれません。ハッシュ化済みの情報をそのまま入力してログインすることはできない、というのが委託先の説明です。
314万7,377件は1店舗の会員情報の件数で、futureshop全利用店舗の合計ではありません。リンツと委託先が公表する数字は同じ対象を指すため、足し合わせるものでもありません。対象範囲・情報項目の公式説明
リンツは、情報取得時点の10月18日0時16分ですでに退会していた会員は含まないとしています。10月26日15時時点では情報の悪用は確認されていませんが、今後の被害がないことを保証する意味ではありません。リンツの対象条件と対応案内
買い物とアプリはどうなる？
リンツのオンラインショップは10月21日16時から停止しています。再開日は未定で、安全性を確認してから案内する予定です。停止前に受け付けた注文は予定どおり届けると説明しています。
アプリにログイン済みの利用者は、店舗でポイントをためたり使ったりできます。一方、新規登録、新たなログイン、会員情報の変更や購入・ポイント履歴などのMy Page機能は停止期間中に利用できません。単に「アプリが使える・使えない」ではなく、利用したい機能ごとに確認が必要です。リンツのサービス別案内
いま行うこと、再開後に行うこと
- ほかのサービスでも同じパスワードを使っている場合は、そちらの公式画面から変更する。
- リンツを名乗る不審なメール、SMS、電話などに注意し、心当たりのないリンクや添付を開かない。
- 案内はブラウザから公式サイト「lindt.jp」を直接開いて確認する。リンツはメールや電話でパスワードやカード情報を尋ねないと説明しています。
10月26日の追記では、対象者への通知予定は10月27日から順次に変更されました。現時点で「通知済み」とは扱えません。会員専用窓口は0120-713-065、受付は土日祝日を含む9時～21時です。再開時の変更方法、新たな調査結果も同じ公式告知で案内される予定です。リンツのお願い・通知予定・問い合わせ先
続報で確認したいこと
外部専門機関による調査、対象情報の追加判明、ショップの再開日、通知の進捗が次の確認点です。個人情報保護委員会への報告や警察への相談が行われていますが、それだけで原因調査や復旧が完了したわけではありません。
本件はセキュリティ専門メディアのロケットボーイズも10月24日に報道しています。本文は両社の一次資料を軸に整理しました。
当サイトの企業の個人情報流出と利用者対応の解説では、件数・人数の違いや、公式経路から確認する際の注意点も扱っています。10月6日公開、10月23日更新の別記事であり、そこで取り上げた事案と今回の攻撃に共通原因があると示すものではありません。
コメント