サカイサイクルの顧客情報流出 — スマレジ連携アプリへの不正アクセスで会員データが公開された経緯と、小売店が外部アプリで確かめること

サカイサイクルの顧客情報流出とは

2026年1月8日、自転車販売店「サイクルヒーロー」を運営するサカイサイクル株式会社は、レジで使うPOSシステムの提供元である株式会社スマレジから、連携していた外部アプリで会員データが第三者に取得・公開されたとの報告を受けました。流出したのは顧客の氏名（フリガナを含む）と電話番号で、不正アクセスを受けたのはサカイサイクルではなく、アプリを提供する合同会社coastlineのデータベースでした。

対象のアプリは、スマレジのアプリマーケットで提供されていた見積書・請求書の作成アプリ「書類上手／見積・請求書＋invoice」です。同じアプリを連携していた8社の店舗の顧客情報が外に出ており、サカイサイクルはその1社にあたります。同社独自の会員アプリ「サイクルヒーローメンバーズアプリ」は、この件の影響を受けていません。

発覚から最終報告までの経緯

サカイサイクルは報告を受けた翌日に公表し、アプリとのデータ連携と通信をすぐに遮断しました。その後はスマレジ、coastlineとの3社で調査と問い合わせへの対応を分担し、3月10日に最終報告を出しています。

流出した情報と件数

流出したのは氏名と電話番号で、住所、メールアドレス、パスワード、クレジットカード情報などの決済に関わる情報は含まれていません。件数は、スマレジが1月13日の時点で公表した数と、coastlineが最終報告で示した数とで異なっています。最終報告の時点で、流出した情報を悪用した二次被害は確認されていません。

なぜ店舗のシステムではなく、連携アプリから流出したのか

顧客のデータは、サカイサイクルのシステムだけでなく、POSと連携するアプリの提供元のデータベースにも置かれていました。そのデータベースが外部から入れる状態になっていたことが、流出の原因です。coastlineの最終報告によれば、スマレジが運営するサーバーやシステムからの情報流出は確認されていません。

預けた会員データは、アプリ提供元のデータベースに保存されていた

見積書や請求書を作るアプリは、作成に必要な顧客の情報をPOSから受け取り、提供元が管理するデータベースに保存する仕組みです。サカイサイクルも最初の発表で、このデータベースに自社が預けた会員データが含まれていたことを確認したと説明しています。言い換えれば、店舗のシステムがどれだけ堅くても、連携先に渡したデータの安全は連携先の守りで決まる、ということになります。

原因は、データベースの設定とアクセス制御の不備

coastlineは最終報告で、アプリのバックエンドのデータベース環境において、外部からのアクセスに対する設定と運用管理の体制に不備があったと結論づけました。データベースの管理に関わるシステムの構成とアクセス制御の不備が、第三者の不正アクセスを許す要因になったとしています。そこで同社は、データベースをインターネットから直接接続できないように切り離し、許可した管理端末からだけ操作できる運用に改めました。あわせて、専門家による脆弱性診断の定期的な実施、設定ミスを自動で見つける監査の仕組み、24時間体制の監視を取り入れています。

発覚のきっかけは、SNSへの投稿だった

事態が分かったきっかけは、ソーシャルメディア上の投稿でした。そこからスマレジの調査と連絡を経て、アプリの利用停止と公開停止に至っています。連携先で起きていることは、店舗の側からはほとんど見えないことがよく分かる経緯です。

外部アプリを使う小売店が狙われる理由

攻撃者が標的を選ぶ基準は、会社の規模ではなく、外から見える穴があるかどうかです。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、自動のスキャンで見つかった穴から順に狙われる構造を取り上げ、2026年の被害に自転車小売や鞄店などの中小企業が含まれていることを示しました。

小売店は、POS、会員管理、EC、予約、見積・請求と、多くの外部サービスを組み合わせて店を回しています。そのうち1つの守りが弱いだけで、そこに預けた顧客の情報は外に出てしまいます。今回の事例は、店舗のシステムに一度も入られずに被害が起きた典型といえるでしょう。

外部アプリから顧客情報を守るには？小売店が取るべき3つの対策

外部アプリを使う小売店が優先すべきなのは、①連携アプリと渡しているデータを棚卸しして絞る、②提供元の守りを導入の前と後に質問して確かめる、③委託先で漏えいが起きたときの連絡と報告の手順を先に決めておく、の3つです。①で預ける量を減らし、②で預け先を選び直し、③で起きたときの混乱を抑える、という順番で効いてきます。

対策1：連携アプリと渡しているデータを棚卸しし、必要な分だけに絞る

最初にやるべきなのは、どのアプリに、どの顧客データを、何件渡しているかを把握することです。アプリマーケットから追加したアプリは数クリックで連携できる一方、どこにデータが渡っているのかが分からなくなりがちです。今回の8社も、見積・請求のためのアプリに顧客の氏名と電話番号が保存されていました。

棚卸しは、次の流れで進めると半日ほどで終わります。

1. POSやEC、会員管理の管理画面で、連携中のアプリと、それぞれに許可しているデータの範囲を書き出す
2. アプリごとに「渡している項目（氏名・電話番号・住所など）」「件数の目安」「誰が使っているか」を一覧にする
3. 使っていないアプリは連携を外し、提供元に預けたデータの削除を依頼して、削除の完了を書面で確かめる
4. 使い続けるアプリは、業務で使わない項目を渡さない設定に変える
5. 顧客の情報を見られる社員を、業務に欠かせない担当に絞る

判断の目安は、「アプリごとに、渡している項目とその理由を説明できる」状態です。サカイサイクルも再発防止策として、個人情報にアクセスできる人を業務に欠かせない担当に限り、アクセスできる人数を大幅に減らしました。落とし穴は、連携を外しただけで安心してしまうことでしょう。連携を外しても、それまでに渡したデータは提供元に残ります。削除の依頼と、その完了の確認までをひと続きの作業にしておくことが大切です。

対策2：提供元の守りを、導入の前と導入後に質問して確かめる

2つ目は、データを預ける相手の守りを確かめることです。今回の原因は、提供元のデータベースが外部から入れる状態だったことにありました。店舗の側から提供元のサーバーの中までは見られませんが、質問することで、守りの水準はかなり分かります。

導入の前に、次の点を提供元に聞いておくと判断材料になります。

導入した後も、年に1回は同じ質問をし直し、提供元のサイトや公開しているサービスの状態を外から確かめておくと安心です。答えが返ってこない、あいまいなまま、という提供元は、それ自体が判断材料になります。担当は店長か本部の業務担当で、質問票を一度つくっておけば、アプリを増やすたびに使い回せるはずです。

対策3：委託先で漏えいが起きたときの連絡と報告の手順を、先に決めておく

3つ目は、預け先で事故が起きたときの備えです。サカイサイクルは報告を受けた翌日に公表し、連携を遮断して、個人情報保護委員会への報告を進めました。報告を受けた翌日に動くには、誰が何を判断するかを前もって決めておく必要があります。

押さえておきたいのは、委託先で漏えいが起きても、委託元の店舗に報告の義務がかかる点です。個人情報保護委員会は、委託先で報告の対象となる漏えいが起きた場合、原則として委託元と委託先の双方が報告義務を負い、連名で報告することもできるとしています。委託先が委託元に事態を通知した場合は、委託先の報告義務は免除されます。委託先から通知を受けた店舗は、自ら報告と顧客への対応を進めることになります。

備えとして決めておきたいのは、次の4つの手順です。

1. 契約で、事故が起きたら提供元が何日以内に、誰に連絡するかを決める
2. 社内で、連絡を受けたら誰が連携の遮断、公表、報告を判断するかを決める
3. 個人情報保護委員会への報告の期限（速報は発覚からおおむね3〜5日以内、確報は30日以内。不正アクセスなど不正の目的によるおそれがある場合は60日以内）を、手順書に書いておく
4. 顧客に向けて、店を名乗る不審な電話やSMSへの注意を呼びかける文面のひな形を用意する

判断の目安は、「提供元から連絡が来た日のうちに、遮断と社内の招集までできる」状態です。落とし穴は、連絡先が提供元の営業担当1人だけになっていることでしょう。担当者が不在でも届くよう、会社としての窓口を契約に書いておくと確実です。

ガーディアンの3つの支援：連携先を確かめ、見続け、店の名前を守る

ここまでの3つの対策のうち、連携先の外から見える状態の確認と、店の名前を使った連絡への備えは、当社が手伝えます。連携先の状態を確かめるところから、店のホームページと店名を守るところまでを、3つのサービスで順に支えています。

1. SCAN DOG ライト版：連携先と取引先のWebを外から確かめる

SCAN DOG ライト版は、連携先や取引先のURLをお預かりするだけで、公開しているサイトの状態を外から診断するサービスです。SSLで通信が暗号化されているか、管理画面やログインIDが外から見えていないか、CMSが古いまま残っていないかを確かめ、急いで確認が要る先から順に並べたレポートを約10営業日でお届けします。初回は100社まで無料なので、対策2の質問と組み合わせて、アプリを導入する前の判断材料にも使えます。

2. SCAN DOG 正規版：導入した後も、Webアプリケーションを診断し続ける

導入した後の状態を見続ける段階では、SCAN DOG 正規版が向いています。自社と連携先、グループ会社の公開Webアプリケーションを、毎日から年1回までの頻度で継続して診断し、結果と対応の状況をダッシュボードで一元管理できます。連携先に改善を依頼するときの、具体的な資料にもなるでしょう。

3. SCSC Dog：店のホームページと、店を名乗るメールを守る

顧客の名前と電話番号が流出すると、店を名乗る詐欺の連絡が届くおそれが高まります。SCSC Dog は、ホームページの更新から24時間365日の有人監視、障害時の復旧までを当社が引き受けるサービスで、自社ドメインのなりすましメール対策（SPF・DKIM・DMARC）も標準で整えます。店の名前で届くメールが本物かどうかを、受け取る側が見分けやすくなるのが利点です。現在、76,325サイト（2026年10月時点）がこの基盤で動いています。

SCS評価制度で問われる、外部サービスの管理

2026年度末に★3・★4の申請受付が始まる予定のSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業のセキュリティ対策の水準を★の数で示すしくみです。参加は任意ですが、取引先から評価の取得や同じ水準の対策を求められる場面は出てくると考えられます。

今回の事例と重なるのは、★3の要求事項「3-1-3 外部情報サービスの管理」と「4-1-7 アクセス権の管理ルール」です。外部のサービスを使う前にセキュリティの要件を決めて満たしているかを確かめること、提供事業者と機密情報の取り扱いを合意しておくこと、システムを使う人のアクセス権の管理ルールを定めることが求められます（IPA「★3・★4 要求事項・評価基準」）。対策1と対策2は、この要求事項にそのまま対応しています。詳しくはSCS評価制度への対応をご覧ください。

まとめ

サカイサイクルの事例では、店舗のシステムではなく、POSと連携していた外部アプリの提供元のデータベースが不正アクセスを受け、預けていた顧客の氏名と電話番号が流出しました。原因はデータベースの設定とアクセス制御の不備で、同じアプリを使っていた8社の店舗に影響が及んでいます。

外部サービスを使う小売店が今日から取り組むべきなのは、次の3つです。

• 連携アプリと渡しているデータを棚卸しし、必要な分だけに絞る
• 提供元の守りを、導入の前と導入後に質問して確かめる
• 委託先で漏えいが起きたときの連絡と報告の手順を、契約と社内ルールで決めておく

自社のホームページの状態は、77's Check!! で無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応