米7-Elevenのフランチャイジー書類を保存するシステムへの不正アクセス
- タグ
- 国外
マサチューセッツ州消費者問題・事業規制局が掲載した7-Elevenの2026年5月1日付の通知書の見本によると、権限の無い第三者が、フランチャイジーの書類を保存する7-Elevenの一部のシステムにアクセスした［1］。書類には、フランチャイズの申請時に提供された氏名や住所などが含まれていた［1］。インディアナ州司法長官事務所の一覧では、影響を受けた人の総数は3,001である［4］。
経緯
SecurityWeekは5月18日の記事で、ShinyHuntersが個人情報と社内データを含む60万件超のSalesforceの記録を盗んだと主張したと報じた［7］。ShinyHuntersは4月21日までに身代金が支払われなければデータを公開すると脅し、その後ハッカーのフォーラムで25万ドルで売りに出した［7］。
TechRadarの5月19日の記事では、ShinyHuntersは期限の翌日に9.4GBのアーカイブを公開した［8］。
CCentralによると、ShinyHuntersは、自分たちの提示にもかかわらず7-Elevenが合意に至らなかったと述べた［13］。攻撃者が侵害したのはフランチャイジーの書類とSalesforceの記録を保存する社内システムで、カナダの顧客向けのPOSシステムではない［13］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 侵害が起き、同じ日に発見された | ［8］ |
| 2026年 | ShinyHunters | リークサイトに7-Elevenを載せた | ［7］ |
| 2026年 | ShinyHunters | 7-Elevenのものとされるデータを公開した | ［13］ |
| 2026年 | 7-Eleven | 影響を受けた人に通知書を送った | ［1、4］ |
| 2026年 | 7-Eleven | マサチューセッツ州消費者問題・事業規制局に報告した | ［2］ |
| 2026年 | 7-Eleven | バーモント州司法長官事務所に届け出た | ［3］ |
| 2026年 | 7-Eleven | 広報担当者がC-Store Diveに、フランチャイジーの一部の情報が露出したことを確認した | ［11］ |
影響範囲
The Recordは、7-Elevenが日本のSeven & I Holdingsの傘下にあり、19か国に約86,000店を持つと報じた［6］。米国の店舗のうち1万店近くはフランチャイズである［6］。
| 州 | 影響を受けた州の住民 | 侵害された項目 | 資料 |
|---|---|---|---|
| マサチューセッツ州 | 47 | 社会保障番号、運転免許証（医療記録、金融口座、クレジット・デビットカードの番号は該当なし） | ［2］ |
| バーモント州 | 1 | 社会保障番号 | ［3］ |
| インディアナ州 | 6 | - | ［4］ |
| メイン州 | 2 | 不特定の個人情報 | ［7］ |
Bitdefenderの5月26日の記事では、Have I Been Pwned（HIBP）の流出データの分析で、185,300人〔注1〕が露出していた［5］。流出した記録には氏名、固有のメールアドレス、電話番号、住所、生年月日が含まれていたとされ、少数の記録には追加の項目があった［5］。
SecurityWeekは5月26日の記事で、HIBPが流出した情報を7-Elevenの説明と整合するとしたと報じた［12］。
Fox Newsの5月28日の記事では、HIBPは、7-Elevenが4月にShinyHuntersに関連する「pay or leak」の恐喝の標的になったとした［9］。
対応と現状
7-Elevenは通知書で、問題を知ってすぐに、評価と是正のため大手のフォレンジック企業と調査を始めたと説明した［1］。IDXを通じて、個人情報の盗用を防ぐサービスとCyberScanの監視を最大24か月、無償で受けられるようにした［1］。このサービスの登録の期限は8月1日で、信用監視を有効にするには社会保障番号の提供が要る［1］。受取人には、口座の明細と無料の信用報告書を定期的に確かめるよう勧めた［1］。
C-Store Diveの5月20日の記事では、7-Elevenの広報担当者が、発見後に封じ込めの措置を取り始め、法執行機関に通知し、外部のサイバーセキュリティの専門家を起用したと述べた［11］。業務の中断は起きていない［11］。
広報担当者は、データが関わったのは現在・過去・将来のフランチャイジーの限られた人数で、該当する人に連絡している最中だと述べた［11］。顧客のデータが影響を受けたと考える理由は無いとも述べた［11］。
未公表の事項
注
- 〔注1〕マイナビニュースは、HIBPの分析で流出データに約18万5300件の固有のメールアドレスが含まれていたと報じた［10］。
出典
公的機関
- ［1］Commonwealth of Massachusetts, Office of Consumer Affairs and Business Regulation『2026-790- 7-Eleven, Inc』（2026年5月1日公開、PDF）
- ［2］Commonwealth of Massachusetts, Office of Consumer Affairs and Business Regulation『Data Breach Report 2026』（2026年11月3日公開、PDF）
- ［3］State of Vermont, Office of the Attorney General『Security Breach Notices』（2026年5月16日公開、2026年11月3日更新）
- ［4］State of Indiana, Office of the Attorney General『Data Breach Year-to-Date Report（October 2026）』（2026年10月1日公開、PDF）
調査・観測
- ［5］Bitdefender『7-Eleven data breach exposes data of 185,000 people』（2026年5月26日公開）
報道機関
- ［6］Recorded Future News『7-Eleven confirms breach after ShinyHunters claims』（2026年5月20日公開）
- ［7］SecurityWeek『7-Eleven Data Breach Confirmed After ShinyHunters Ransom Demand』（2026年5月18日公開、2026年5月19日更新）
- ［8］Future plc『7-Eleven confirms cyberattack, says 'personal information' may have been hit』（2026年5月19日公開）
- ［9］Fox News『Could the 7-Eleven breach affect you?』（2026年5月28日公開）
- ［10］株式会社マイナビ『7-Elevenで18万5000件超の情報流出 ShinyHuntersがSalesforce侵害主張』（2026年5月27日公開、2026年6月3日更新）
- ［11］Informa TechTarget『7-Eleven hit by data breach』（2026年5月20日公開）
- ［12］SecurityWeek『185,000 Likely Impacted by 7-Eleven Data Breach』（2026年5月26日公開、2026年5月27日更新）
- ［13］EnsembleIQ『7-Eleven hit with data breach: What Canadians need to know』（2026年5月22日公開）
更新記録
- 2026年5月31日：公開した。
- 2026年6月3日：株式会社マイナビの記事の6月3日の更新版（出典10）を加え、「注」を改めた。
- 2026年10月1日：インディアナ州司法長官事務所の10月の報告一覧（出典4）を加え、リードと「影響範囲」「時系列」を改めた。
- 2026年11月3日：マサチューセッツ州消費者問題・事業規制局の11月3日の報告一覧（出典2）とバーモント州司法長官事務所の届出一覧の11月3日の更新版（出典3）を加え、「影響範囲」と「時系列」を改めた。