ドトール オンラインショップに不正アクセス｜管理画面から会員情報2万4,771件が流出の可能性——EC運営者にとっての意味と今やるべきこと
- 対象
- 管理画面を持つすべてのお店
- 期限
- 期限の案内はなし
- 対応
- 管理画面の入口と連絡先を確認
ECサイトの異変に最初に気づくのは、お店自身とは限りません。株式会社ドトールコーヒー（以下、ドトール）は2026年11月6日、公式通販サイト「ドトール オンラインショップ」の管理画面に外部の第三者が不正アクセスし、会員情報など合計24,771件が流出した可能性があると公表しました。きっかけは、決済代行会社からの連絡でした。
入口は管理画面、気づいたのは決済代行会社でした
発表の事実
ドトールが2026年11月6日に公表したお知らせの内容です。数字は公表文のままです。
| 項目 | 公表された内容 |
|---|---|
| 発覚のきっかけ | 10月28日、決済代行会社から「不審な動き」の連絡 委託先（開発・保守管理の会社）が調査 |
| 判明したこと | 10月24日から25日にかけて、外部の第三者が管理画面に不正アクセス 会員情報が出力・閲覧されていた |
| 対象 | 10月25日までの会員登録者 会員情報24,762件とお届け先情報9件、合計24,771件 |
| 主な項目 | 会員ID・氏名・住所・メールアドレス・電話番号・購買情報など お届け先は氏名と都道府県のみ |
| 流出していない情報 | ログインパスワードとクレジットカード情報 |
| サイトの状況 | ECサイトを一時停止、定期購入も一時休止 受注が確定した商品は順次発送 |
会社名・生年月日・性別・職業などは、登録していた人のみが対象とされています。ドトールが委託先から報告を受けたのは10月30日で、原因と影響範囲の詳しい調査は続いていると説明しています。
対応として、アクセス制限の強化などのセキュリティ対策、個人情報保護委員会への報告、警察への相談を挙げています。公表の時点で二次被害は確認されていないとしたうえで、同社を装った不審なメール・SMS・電話への注意を呼びかけています。お客さま向けの電話窓口は11月11日から開設されています。
EC運営者にとっての意味
今回の公表は、カード情報を守る仕組みとは別に、会員情報の集まる管理画面そのものが狙われうることを示す例だとみられます。不正アクセスの手口は公表されていないため、ここからは一般的な備えとして整理します。
管理画面は情報の出口になる
管理画面には、会員情報をまとめて出力できる機能があることが多いです。入れる人が限られていても、ログイン情報が知られると一度に多くの情報に触れられてしまいます。
外部の連絡が入口になる
今回は決済代行会社が不審な動きに気づきました。決済代行会社やカード会社からの連絡を、誰が受けてどこに回すかを決めておくと、初動が早くなりやすいです。
委託先との役割分担
サイトの開発や保守を外部に任せている場合、調査は委託先と一緒に進めることになります。連絡先や、ログの保存期間を事前に確かめておくと安心です。
この時期にサイトを止めると、年末に向けた注文や定期購入のお客さまへの案内が重なりやすくなります。万一のときの動き方は不正アクセスされたときの対応に、決済画面の改ざんが判明した例はエディオンの速報にまとめています。
今やるべきこと
- 管理画面の入口を絞る……管理画面のパスワードを使い回していないか確かめ、2段階認証を設定します。アクセスできる場所を制限できるカートなら、その設定も見直します。
- アカウントを棚卸しする……退職者や取引が終わった会社のアカウント、共有で使っているIDが残っていないかを確かめます。
- カートの公式のお知らせを確認する……使っているカートや保守の会社から、セキュリティに関する案内が出ていないかを見ておきます。
- 連絡の受け先を決める……決済代行会社・カード会社・委託先から連絡が来たときの担当者と、相談先の窓口を控えておきます。
日ごろの対策の全体像はECサイトのセキュリティ対策ガイド、各社の公表内容はEC情報漏えいの公表事例台帳にまとめています。
出典・確認日
1件
- 株式会社ドトールコーヒー「当社公式通販サイトにおける個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年11月6日）
※本記事は2026年11月11日時点で確認した公表情報をもとにしています。調査は続いているため、最新の情報は公式のお知らせでご確認ください。