MrMax（最大1,735,154人）と焼肉きんぐ（登録約1,081万件のうち約1,079万件）で相次いだ会員情報流出。使うシステムは違うのに、漏れたのは会員ID／会員番号・氏名・メール・電話のほぼ同じ4項目で、住所・生年月日・パスワード・購入履歴といった奥の情報には届いていない。会員DBの奥ではなく、本人確認や通知のためのIdentity層が、通常より強い資格情報＝『鍵』で横断的に読まれたのではないか。被害範囲から『鍵が先』の侵入像を読み解く。
2026年10月、MrMaxと焼肉きんぐで、大規模な会員情報流出が相次いだ。
MrMaxは最大1,735,154人。
焼肉きんぐは、登録10,808,784件のうち10,788,963件。ほぼ全会員だ。
使っているシステムは違う。
MrMaxはECを中心とした会員基盤。
焼肉きんぐはアプリを中心とした会員基盤だ。
普通なら、別々の事件として読む。
ところが、公表された漏えい項目を並べてみると、妙に似ている。
会員ID／会員番号。氏名。メールアドレス。電話番号。
ほぼ、この4項目だ。
MrMaxでは、住所、生年月日、クレジットカード情報、パスワード、購入履歴は流出していない。
焼肉きんぐでも、ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は漏えいしていない。
違うシステムなのに、なぜ同じような4項目だけが抜かれたのだろう。
ここから先は推測になる。
私は、狙われたのは会員データベースそのものではなく、そのもっと表面にある、「この会員は誰か」「どこへ本人確認や通知を送るか」を持つIdentityの層だった可能性を考えている。
MFAそのものだった、と言いたいわけではない。
メール確認、SMS、本人確認、アカウント復旧、通知。そうした仕組みと地続きにある、本人と連絡先を結びつける層だ。
そう考えると、今回の「広いのに浅い」被害が少し違って見えてくる。
MrMaxのオンラインストアは、EC-CUBEをベースにカスタマイズされた会員システムとして動いている。
EC-CUBEと聞けば、まず脆弱性を考える。
広く使われるEC基盤だけに、これまでも脆弱性を突かれ、侵入、改ざん、情報窃取といった攻撃の対象になってきた。
だから今回も、「EC-CUBEの脆弱性を突かれたのではないか」と考えたくなる。
しかし、公表された被害の形を見ると少し違う。
漏えいしたのは、会員ID、氏名、メール、電話。
住所、生年月日、パスワード、購入履歴には届いていない。
会員データベースの奥まで入り、そのまま丸ごと持ち出したのであれば、少し不思議な境界だ。
もちろん、データベースから4項目だけを選んで取得することはできる。だから「データベースではない」と断定することはできない。
ただ今回の形は、会員プロフィール全体よりも薄い、本人確認や連絡先のための層だけを横に広く読んだ、ようにも見える。
そしてMrMaxの公表文には、さらに気になる表現がある。
第三者が「本サービスを構成するソフトウェアの機能を不正に利用」して侵入したという。
「EC-CUBEの脆弱性を突いた」とは書かれていない。
公表文から分かるのは、正規に存在する何らかの機能が不正に利用された、というところまでだ。
ここで、EC-CUBEそのものを攻撃の目的と考える必要はなくなる。
EC-CUBEをこじ開けて奥へ進んだのではなく、すでに何らかの鍵を持っていて、その鍵が通る正規の機能を使った、という可能性はないだろうか。
会員制サービスにはログイン機能がある。
そして正規のブラウザやアプリが認証機能を使う以上、その仕組みを外から完全に隠すことはできない。
カスタマイズされたEC基盤でも同じだ。利用者が正規にログインできるなら、認証機能とのやり取りはどこかに存在する。
だから本当に難しいのは、入口の存在を見つけることではない。そこを通れる鍵を手にすることだ。
正面の一般会員用ログインは、本来、自分自身の情報を見るためのものだ。そこから173万人分を横断して読むことはできないはずだ。
それでも最大173万人分に届いた。
ならば、一般利用者より広い範囲を読める何らかの資格情報が使われた可能性を、まず疑いたくなる。
サービスアカウントなのか。管理用資格情報なのか。API用トークンなのか。セッションなのか。
そこまでは分からない。重要なのは名前ではない。
通常の利用者とは違う立場から、横に広く読むことができたのではないか。ということだ。
焼肉きんぐは、さらに分かりやすい。
10,808,784件の登録に対し、漏えいしたのは10,788,963件。ほぼ全件である。
それなのに漏えいしたのは、会員番号、氏名、メール、電話だけだった。
生年月日、性別、郵便番号、ポイント、店舗利用履歴、ログインパスワードは漏れていない。
ここで重要なのは、焼肉きんぐの会員プロフィール自体が4項目しかないわけではないことだ。
会員本人が利用するプロフィールには、生年月日、性別、郵便番号など、もっと厚い情報がある。
プロフィールは厚い。なのに、抜かれたのは識別と宛先の薄い層だけだった。
この差は大きい。
プロフィール全体を丸ごと持ち出したというより、本人を識別し、メールやSMSの送信先を知り、アカウントを管理するための、Identity／宛先情報の層を読まれた、と見るほうが無理がない。
ここで4項目をもう一度見る。
ID、氏名、メール、電話。
配送には足りない。購買分析にも足りない。ポイント管理にも足りない。
しかし、「このアカウントは誰か」「どこへ確認コードや通知を送るか」という用途には、かなり近い。
メール。SMS。本人確認。パスワードリセット。アカウント復旧。各種通知。
こうした仕組みは、購買履歴やポイントを知る必要はない。必要なのは、誰なのかと、どこへ連絡するかだ。
だから私は、この2件を並べて初めて、MFAそのもの、あるいはMFA・本人確認・通知と地続きのIdentity層を考えた。
同じMFA製品を使っていたという意味ではない。同じ認証基盤だったという意味でもない。
製品が同じなのではなく、役割が同じなのではないか。という話だ。
焼肉きんぐでもう一つ気になるのが、事故対応だ。
10月2日、第三者からの不正アクセスを確認。その後、「通信遮断および防御措置」を実施した。
しかし、アプリそのものは、防御措置を講じたうえでサービス提供を継続している。
ここは重要だと思う。
通信を止めた。だが、システム全体は止めなかった。
ならば、止めた通信は利用者が普段使うサービスそのものではなかった可能性がある。
通常利用の経路は残す。一方で、管理・連携側からIdentity情報へ届く経路を止める。あるいは、その経路で使われていた資格情報を無効化する。
そうした対応なら、サービス継続と通信遮断は同時に成立する。
もちろん、実際に何を遮断したのかは公表されていない。物語コーポレーションも、原因と不正アクセスが可能になった経緯については現在調査中としている。
だから、ここは仮説だ。
ただ、
ほぼ全件。
4項目だけ。
通信を遮断。
サービスは継続。
この四つを並べると、正面のログインを一人ずつ突破した姿には見えにくい。
むしろ、全会員のIdentity情報を横断して読める正規の仕組みがあり、そこを通れる何らかの鍵が使われたのではないか。
そう考えると、今回の「広いのに浅い」という被害境界が説明できる。
ここでMrMaxと焼肉きんぐを並べる。
システムは違う。運営会社も違う。同じ脆弱性だったという証拠もない。
それでも被害の形は似ている。
深くない。だが、広い。会員全体に近いところまで横に届く。
しかし、住所、購買、ポイント、パスワードといった奥の情報には届いていない。
もしこれがIdentity層を読む権限だったとすれば、説明がつく。
その権限は全会員を知っている。だが、その先の業務データまでは持っていない。
だから全件取れる。でも4項目しか取れない。
広さと浅さを、同じ権限が決めた。ということになる。
もう一つ、この型なら検知の考え方も変わる。
4項目だけなら、1人あたりのデータ量は大きくない。人数が多いからといって、必ずしも巨大な通信量になるとは限らない。
むしろ見るべきなのは、同じ種類の参照が、通常ではあり得ない密度で繰り返されていないか、だ。
MrMaxは10月3日夕方に不審なアクセスを確認し、サービスを一時停止。その日のうちに外部からのアクセスを遮断している。
焼肉きんぐも、不正アクセス確認後すぐに通信遮断と防御措置を行っている。
実際に何を見て検知したのかは分からない。
しかし、この種の「浅く広い」取得では、転送量そのものより、同じ正常機能の異常な反復を見ることが重要になる。
ここからが、本当に分からないところだ。
外部の委託先や開発会社から漏れたのかもしれない。
インターネットに接している開発・検証環境を探索され、設定やSecretを拾われたのかもしれない。
古いサーバ。CI/CD。ログ。設定ファイル。管理画面。フィッシング。セッション窃取。
可能性はいくつもある。
そして両社とも、外形を見るかぎり、本番環境一つだけで閉じた単純なシステムには見えない。開発・検証に使われていると考えられる接面も存在する。
焼肉きんぐについては、過去の公開情報から、現在とは別世代の公開・管理系の接面が存在していたことも確認できる。
ただし、そこから今回の資格情報が漏れたという証拠はない。まして、特定の開発会社や委託先が原因だという証拠もない。ここは明確に分けたい。
それでも、複数の組織をまたいで開発・運用するシステムには、一つ避けられない問題がある。
鍵を扱う場所が増える。
DEV用の資格情報。STG用のAPIキー。CI/CDに保存したSecret。テスト用アカウント。外部ベンダーが使う管理資格情報。システム間連携用のトークン。
正規の目的で作ったものばかりだ。
問題は、誰が発行し、誰に渡し、どこへコピーされ、いつ失効したのか。そのライフサイクルを、組織をまたいで追えているかだ。
今回の2件について、私はここをまだ分けられない。
最初から攻撃者の手元へ資格情報が漏れていたのかもしれない。あるいは、インターネット上のシステムを探る途中で設定やSecretを見つけ、そこから鍵を得たのかもしれない。
つまり、鍵が外から漏れたのか。それとも、システムを探られる中で鍵を拾われたのか。そこまでは分からない。
ただ、本来の一般利用者権限を越えて、ほぼ全会員のIdentity情報を横断的に読めたのであれば、通常より広い権限を持つ何らかの資格情報が使われた可能性は考えるべきだと思う。
そして、その場合、攻撃の順序が変わる。
従来、Webへの攻撃というと、脆弱性を探す。侵入する。権限を上げる。データベースを探す。データを持ち出す。という順番を想像する。
しかし今回のような形なら、もっと短い。
正規システムが使う認証機能は存在する。その入口自体は完全には隠せない。そして、そこを通れる強い資格情報を手に入れる。あとは正規の仕組みを使う。
サーバを壊す必要もない。データベースの奥まで降りる必要もない。システムから見れば、正常な処理にかなり近い。
だから深く入らない。そして、Identityだけが横に広く抜ける。
MrMaxは、公表文で「ソフトウェアの機能を不正に利用」としている。焼肉きんぐは、不正アクセス確認後に通信を遮断した一方、サービスを継続した。
そして2件とも、抜かれたのはほぼ同じ4項目だった。
偶然かもしれない。続報が出れば、まったく別の侵入だったと分かるかもしれない。それでいい。
今回、公表情報と外形から見えてきた問いは、「どの脆弱性だったのか」ではない。「全会員を読める鍵は、どこから来たのか」だ。
攻撃者が脆弱性を見つけた瞬間が、攻撃の開始ではなかったのかもしれない。APIを見つけた瞬間でもない。
鍵が攻撃者の手に渡った瞬間。そこが、本当の攻撃開始点だったのではないか。
そして守る側に残る問いも、そこにある。
鍵を盗ませない。それは当然だ。しかし、それだけでは足りない。
もし一本の鍵を取られたとき、その鍵で何人分まで読めるのか。
MrMaxと焼肉きんぐから抜かれた「同じ4項目」は、その権限の天井を、かなり鮮明に写しているように見える。
本稿は、両社の公表情報と公開情報から確認できる外形をもとにした分析です。両事案とも、資格情報の窃取やIdentity層へのアクセスが原因だったと公表されているわけではありません。「鍵が先だった」という部分は被害範囲から立てた仮説であり、続報で新たな事実が判明すれば改めて検証します。
Aikido Community Japan
公開日: 2026/10/6
最終更新: 2026/10/6
セキュリティの最新情報をお届けします。