ミスターマックスの情報漏洩で何をするか、最大173万人の電話番号とMrMaxアプリのなりすましメール

ミスターマックスで何が流出したのか、自分は対象なのか

株式会社ミスターマックスが2026年10月6日に出した「不正アクセスによる情報流出に関するお詫びとお知らせ」と、同じ内容のPDFをもとに、分かっていることと公表されていないことを分けて並べます。

10月3日の夕方に不審なアクセス、10月6日に公表

公式発表によると、2026年10月3日（土）の夕方に、MrMaxアプリとオンラインストアのサーバーへの不審なアクセスを確認しました。会社は、発覚後ただちにサービスを一時停止し、同じ日のうちに外部からのアクセスを遮断したとしています。その後の調査で、第三者が「本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入」し、会員の個人情報の一部が流出したことが分かったとしています。

どのソフトウェアのどの機能が使われたのか、不正アクセスがいつ始まったのかは、公表されていません（2026年10月12日時点）。会社は、個人情報保護委員会へ報告し、警察にも相談しているとしています。外部の専門機関の協力を得て詳しい調査を進め、監視体制を強めているとしています。

流出した情報と、流出していないと確認された情報は、次のとおりです。

出典：株式会社ミスターマックス「不正アクセスによる情報流出に関するお詫びとお知らせ」（2026年10月6日）と同じ題のPDF。公式発表は「お客様の登録状況により、情報流出の対象となる情報は異なります」と注記しています。

公表の時点で、流出した情報を悪用した被害は確認されていないとしています。ミスターマックスは、九州や関東などでディスカウントストアを展開していると報じられています。

最大173万人の意味と、対象かどうかの分かり方

対象は「MrMax アプリ会員 および オンラインストア会員」で、人数は「最大 1,735,154人」です。公式発表は、これを2026年10月3日時点で会員登録されている人としています。店頭だけで買い物をしていて、アプリやオンラインストアの会員登録をしていない人は、公式発表の対象には入っていません（公式発表の対象の書き方から読み取れる範囲での当社の見方です）。

「最大」とあるとおり、173万人全員の4項目がそろって流出したという意味ではありません。公式発表の注記のとおり、どの項目が流出したかは登録の状況によって違います。たとえば電話番号を登録していなかった人は、電話番号が流出の対象にならないと考えられます（当社の見方）。「会員ID」がログインに使う文字なのか、会員番号なのかは、公式発表には説明がありません。

自分が対象かどうかについて、会社は「対象となるお客様には、メールにてお詫びとともに個別にご連絡いたします」としています。連絡を始める日や終える時期は書かれていません。2026年10月12日時点で、会社のお知らせ一覧にこの件の続報は見当たらず、当社が確かめた範囲では、人数や項目の変更は公表されていません。

パスワードとカードはどうするか、気をつけるのは偽の連絡

会員がまず気にするのは、パスワードを変えるべきか、クレジットカードを止めるべきかです。ここでは、公式発表に書かれていることと、警察庁・IPAの一般的な対策、当社の見方を分けて整理します。

パスワードとカード情報は流出していないと会社は確認したとしている

公式発表は、住所、生年月日、クレジットカード情報、パスワード、購入履歴について「流出していないことを確認いたしております」としています。公式発表に、会員にパスワードの変更を求める記載や、クレジットカードの停止を求める記載はありません。

出典：株式会社ミスターマックスの公式発表（2026年10月6日）、警察庁「フィッシング対策」、IPA「チョコっとプラスパスワード」（いずれも2026年10月12日に確認）。「当社の見方」は公表資料をもとにした当社の整理です。

このため、当社の見方では、今回の件だけを理由にミスターマックスのパスワードを変えたり、カードを止めたりする必要は、公式発表からは読み取れません。ただし、ミスターマックスに限らず、同じパスワードをいくつものサービスで使っている場合は、IPAが勧めるとおり、サービスごとに違うパスワードにしておくと、別の会社で漏れたときにも備えになります。パスワードを変えるときは、メールやSMSのリンクからではなく、自分で開いた公式アプリや公式サイトから手続きします。

氏名・メールアドレス・電話番号がそろうと何が起きうるか

会社は「今後その情報を元に「なりすましメール」「フィッシングメール」が送付される可能性がございます」としています。あわせて、会社や会社の関係者を名乗る不審なメール、SMS、電話、郵便物に注意するよう呼びかけています。

今回は、氏名とメールアドレス、電話番号が一緒に流出しています。そのため、本人の名前を書いたうえで「ミスターマックスです」「お詫びの手続きです」などと名乗るメールやSMS、電話が届く可能性があります（当社の見方）。名前が正しく書かれていることは、本物である証拠になりません。

偽の連絡の目的としては、偽のサイトに誘ってパスワードやカード番号を入力させること、電話で個人情報を聞き出すことなどが考えられます（当社の見方）。会社は「当社から、お客様のパスワードやクレジットカード番号をお尋ねすることはございません」としています。これらを尋ねる連絡は、ミスターマックスを名乗っていても応じないようにします。

会社は、住所は流出していないことを確認したとしていますが、郵便物にも注意するよう呼びかけています。郵便物を挙げた理由は公式発表に書かれていません。ミスターマックスを名乗る郵便物が届いたときも、書かれた連絡先ではなく公式サイトで確かめるのが当社の見方です。

本物の連絡と偽の連絡の見分け方、問い合わせ先

本物のお詫びの連絡もメールで届く予定です。そのため、「メールが来たから偽物」とは言えません。公式発表に書かれている手がかりと、その限界を整理します。

本物は noreply@mrmax.jp から、ただし送信元だけで判断しない

公式発表のPDFは「当社からのメールは【noreply @mrmax.jp】から送信いたします」としています（PDFでは@の前に空白が入った表記です）。見分ける手がかりは、次のとおりです。

出典：株式会社ミスターマックス「不正アクセスによる情報流出に関するお詫びとお知らせ」のWebページとPDF（2026年10月6日）。送信元のアドレスと問い合わせ用のメールアドレスは、PDFの記載で確認しました。

ただし、メールの送信元に表示されるアドレスは、偽のメールでもまねできる場合があります。このため、送信元が noreply@mrmax.jp と表示されていても、それだけで本物と決めないのが当社の見方です。警察庁も、メールに書かれたリンクは偽装でき、見た目でリンクの真偽を判断することは非常に困難だとしています。

当社の見方では、お詫びのメールが届いたら、内容を読むだけにとどめ、リンクは開かずに、自分で開いたミスターマックスの公式サイトのお知らせと内容が合っているかを確かめます。メールの中でパスワードやカード番号の入力を求められたら、会社の説明と合わないため、偽物と考えて応じません。

問い合わせはメールの窓口、電話には注意

公式発表が案内している問い合わせ窓口は、メールアドレス incident-desk@mrmax.co.jp です。電話の窓口は、公式発表には書かれていません（2026年10月12日時点）。問い合わせるときは、届いたメールに書かれたアドレスではなく、公式サイトのお知らせで確かめたアドレスを使います。

電話番号も流出しているため、ミスターマックスやその関係者を名乗る電話がかかってくる可能性があります（当社の見方）。電話で「お詫びの手続き」などと言われて、パスワードやカード番号、口座の情報を聞かれても答えず、いったん切ってから公式サイトで確かめます。

続報について、会社は「調査の結果、新たにお知らせすべき事実が判明した場合は、速やかにお知らせいたします」としています。個人情報保護委員会は、事業者が委員会に出す報告の期限を、不正な目的で行われたおそれがある場合は発覚日から60日以内（確報）としています。これは委員会への報告の期限で、会社が続報を公表する期限ではありません。

ミスターマックスの会員が今できる3つのこと

ミスターマックスの公式発表、警察庁、IPAの案内をもとにまとめました。会社からの個別の連絡を待つあいだにもできることです。

よくある質問

ミスターマックスの情報漏洩で、自分が対象かどうかはどう分かりますか

対象は、2026年10月3日時点で会員登録していたMrMaxアプリ会員とオンラインストア会員で、最大1,735,154人です。会社は、対象者にメールでお詫びとともに個別に連絡するとしています。連絡の開始日は公表されていません。

ミスターマックスのパスワードは変える必要がありますか

公式発表は、パスワードは流出していないことを確認したとしており、パスワードの変更を求める記載はありません。同じパスワードを他のサービスでも使っている場合は、IPAが勧めるとおり、サービスごとに違うパスワードにしておくと安心です。

クレジットカードは止めたほうがいいですか

公式発表は、クレジットカード情報は流出していないことを確認したとしており、カードの停止を求める記載はありません。会社は、パスワードやクレジットカード番号を尋ねることはないとしているため、これを尋ねる連絡には応じないようにします。

ミスターマックスからのメールが本物か、どう見分けますか

公式発表のPDFでは、会社からのメールは noreply@mrmax.jp から送るとしています。ただし送信元の表示はまねできる場合があるため、リンクは開かず、自分で開いた公式サイトのお知らせと内容が合っているかを確かめます。パスワードやカード番号の入力を求めるメールは、会社の説明と合いません。

ミスターマックスを名乗る電話がかかってきたらどうしますか

今回は電話番号も流出しており、会社も会社や関係者を名乗る電話に注意するよう呼びかけています。公式発表に電話の窓口は書かれていません。パスワードやカード番号、口座の情報を聞かれても答えず、いったん切ってから公式サイトで確かめます。

お詫びの品やポイントの補償はありますか

2026年10月12日時点の公式発表には、お詫びの品やポイントの補償についての記載はありません。会社は、新たにお知らせすべき事実が分かった場合は速やかに知らせるとしています。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社ですが、2026年10月から、身近なサービスで起きた情報漏えいについて、公表資料で確かめられることを整理する記事を公開しています。ミスターマックスの件では、公式発表と公的機関の案内を分けてまとめました。