【JR九州フードサービス／トイポ】会員アプリ「トイポアプリ」の脆弱性を突かれ、約2万6,900人の電話番号・氏名・住所などが漏えいの可能性

公表：2026年10月13日（JR九州フードサービス）

3行でわかるポイント

1. JR九州フードサービスが店舗で使う顧客管理アプリ「トイポアプリ」の提供会社、株式会社トイポのシステムが不正アクセスを受けました。
2. 同社の店舗で会員登録した約6万1,500人のうち、約2万6,900人の電話番号・氏名・住所・生年月日などが漏えいした可能性があります。
3. パスワードやクレジットカード番号などの決済情報、購買履歴は対象外です。不審なメール・SMS・電話に注意してください。

何が起きたか

株式会社トイポは2026年10月4日、自社システムへの第三者による不正アクセスを確認しました。調べたところ、一部のシステム（API）に、ログインした利用者が本来見る権限のない他の利用者の情報を取得できてしまう「アクセス制御」の脆弱性があり、第三者がこれを使って利用者の情報を取得した記録が見つかりました。

トイポアプリを導入しているJR九州フードサービスは、10月7日にトイポ社から連絡を受け、10月13日に公表しました。対象は、同社でトイポアプリを導入している24店舗（うまや、たんや等）の会員です。

漏れた可能性のある情報

影響／原因

原因はアクセス制御の脆弱性で、すでに修正され、同じ方法では情報を取得できない状態になっています。トイポ社は不正アクセスに使われたアカウントを停止し、個人情報保護委員会へ報告しました。公表時点で具体的な二次被害は確認されていません。JR九州フードサービスは新規会員の募集を止めています。対象となる可能性のある人には、トイポ社から10月16日までにアプリの通知で順次お詫びが届く予定です。

利用者が今すべきこと

1. JR九州フードサービスの店舗（うまや、たんや等）でトイポアプリの会員になった人は、アプリの通知を確認してください。
2. 漏れた情報を使った不審なメール・SMS・電話が来る可能性があります。心当たりのない連絡のURLは開かず、パスワードなどを入力しないでください。
3. 問い合わせはトイポ社の専用窓口（0120-546-030、平日9時〜18時）へ。

私たちが学べること

1. ログインした人が他人の情報まで取れてしまう「アクセス制御の不備」は、アプリの裏側のAPIで起きやすい典型的な弱点です。
2. お店が外部のアプリサービスを使っていても、お客さんの情報を預かる責任はお店にもあります。任意の登録項目は必要な分だけにとどめることが被害を小さくします。

経過

出典

1. JR九州フードサービス「株式会社トイポにおける不正アクセスに伴う当社お客さま情報の漏えいについて」（2026年10月13日）
2. JR九州フードサービス「お詫びとお知らせ」（PDF、2026年10月13日）
3. トイポ「トイポアプリへの不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」
4. セキュリティ対策Lab（2026年10月14日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。