【約26,900名】JR九州フードサービス、トイポアプリ経由で個人情報漏えいの可能性

九州旅客鉄道（JR九州）の100%子会社で、「うまや」「たんや」などの飲食店を運営するJR九州フードサービスは2026年10月13日、同社が導入している顧客管理アプリ「トイポアプリ」の提供会社、株式会社トイポで不正アクセスが発生し、同社のお客さま情報が漏えいしたと発表しました。同社の店舗で会員登録した約61,500名のうち、約26,900名の個人情報が漏えいした可能性があるとしています。

発表文の冒頭は「漏えいしたことが判明いたしました」としていますが、件数と項目の欄は「漏えいした可能性がある」という表現です。パスワード、クレジットカード番号などの決済情報、購買履歴は漏えいの可能性がないとしています。この記事では、同社の発表をもとに内容を整理します。

トイポ社での不正アクセスから公表までの経緯
漏えいした可能性がある情報と件数
JR九州フードサービスとトイポ社の対応
利用者がとるべき対応
1. トイポアプリのお詫び通知を確認する
2. 電話やSMSでの不審な連絡に注意する（筆者の見解）
問い合わせ先
まとめ

トイポ社での不正アクセスから公表までの経緯

日付	できごと
2026年10月4日（日）	トイポ社が「トイポアプリ」への不正アクセスを確認
2026年10月7日（水）	JR九州フードサービスが、トイポ社から一部のお客さまの情報が外部に漏えいした可能性があるとの連絡を受ける
2026年10月13日	JR九州フードサービスが公表
2026年10月16日（金）まで	トイポ社が対象の可能性がある利用者に、アプリ通知でお詫びを順次送付（予定）

トイポ社の調査によると、一部のAPI（アプリとサーバーがデータをやり取りする窓口）で、本来アクセスする権限がない第三者がほかのユーザーの情報を取得できる状態になっていました。原因となった脆弱性はすでに修正され、同じ方法では情報を取得できない状態になっています。

JR九州フードサービスは、うまや、たんやなど24店舗で、スタンプカードやクーポン配信といった来店促進のためにトイポアプリを導入していました。

漏えいした可能性がある情報と件数

項目	発表内容
対象件数	同社店舗で会員登録した約61,500名のうち、約26,900名
漏えいした可能性がある個人情報	ユーザーID、電話番号、氏名、性別、メールアドレス、住所、生年月日（ユーザーIDと電話番号以外は任意登録）
漏えいの可能性がない情報	パスワード、クレジットカード番号、その他の決済情報、購買履歴情報

氏名や住所などは任意登録のため、登録していなかった人はその項目が対象になりません。

JR九州フードサービスとトイポ社の対応

同社店舗では、トイポアプリの新規会員の募集を停止している
対象となる可能性がある利用者に、トイポ社がアプリ通知でお詫びを10月16日（金）までに順次送る
同じ内容を同社のホームページと店頭でも告知する
利用者からの問い合わせは、トイポ社の専用窓口で受け付ける

利用者がとるべき対応

トイポアプリのお詫び通知を確認する

うまや、たんやなどでトイポアプリに会員登録している人は、アプリに届くお詫びの通知を確認してください。自分が対象かどうか分からない場合は、下記のトイポ社の専用窓口に問い合わせられます。

電話やSMSでの不審な連絡に注意する（筆者の見解）

公式発表には利用者への注意喚起は書かれていません。ただ、電話番号は全員が登録する項目です。筆者としては、店名やクーポンを名乗る見覚えのない電話・SMSには、リンクを開いたり個人情報を伝えたりせず、店舗やアプリで確かめることをすすめます。

問い合わせ先

内容	窓口	電話番号
利用者からの本件の問い合わせ	トイポ社専用お問い合わせ窓口	0120-546-030（平日9～18時）
同社店舗に関する問い合わせ	JR九州フードサービス	092-452-5777