ドトール オンラインショップで、会員情報など合計24,771件が漏えいした可能性があると、ドトールコーヒーが2026年11月6日に発表しました。10月24～25日に通販サイトの管理画面へ不正アクセスされ、会員情報が出力・閲覧されていたことが分かっています。
対象となるのは2026年10月25日までに「ドトール オンラインショップ」に会員登録した人です。店舗でコーヒーを買ったことがあるだけで、今回の通販サイト事故の対象になると発表されたわけではありません。
一方、ドトールは同じ11月6日に、指定4店舗の従業員・退職者951人に関する別の不正アクセスについても更新情報を公表しました。2つの事故を混同しないよう、対象者と取るべき行動を分けて説明します。
確認時点：2026年11月7日／根拠：ドトールコーヒーの11月6日付公式発表。調査中の事項や再開予定は、公式情報にない限り断定していません。
まず結論：自分に関係があるかを確認
| 確認したいこと | 11月6日の公式発表に基づく答え |
|---|---|
| 対象のサービス | ドトール オンラインショップ（公式通販サイト） |
| 誰が対象？ | 2026年10月25日までに通販サイトに会員登録した人 |
| 対象件数 | 会員情報24,762件＋お届け先情報9件＝合計24,771件 |
| パスワード・カード情報 | 外部に漏えいしていないことを確認したと公表 |
| いま使える？ | 通販サイトを一時停止。定期購入も一時休止 |
| 注文済みの商品 | 受注確定済みの商品は随時発送 |
| 二次被害 | 11月6日の公表時点では確認されていない |
詳細はドトール公式：通販サイトの情報漏えいに関するお知らせ（11月6日）に掲載されています。個別の対象通知の方法やサイトの再開時期は、今回確認した発表には明示されていません。
ドトールの情報漏えいは自分も対象？確認する方法
まず、今回の事故の対象は「ドトール オンラインショップ」の会員登録者です。店頭での飲食や、店舗での支払いだけを理由に、通販サイトの登録者と同じ扱いにはできません。
- 通販サイトで会員登録したことがある：2026年10月25日までの登録なら、今回の対象に含まれる可能性があります。最後の購入から時間が経過していても、登録したことがあるかを確認してください。
- 通販サイトで商品を購入したが会員登録したか分からない：以前の注文確認メール、会員登録完了メールなどを探してください。ただし、メールが見つからないだけでは対象外とは断定できません。
- ドトールの実店舗しか利用していない：今回公表された通販サイト会員情報の対象条件には、店頭利用だけでは該当しません。ただし別件の従業員情報漏えいは後述します。
過去のメールを確認する際は、差出人名だけで信用せず、リンクをすぐ開かないことが大切です。通販サイト停止中にログインを急いだり、非公式サイトで本人確認をしたりする必要はありません。個別の照会が必要な場合は、後述の公式窓口を利用してください。
漏えいした可能性がある情報と、含まれない情報
公式発表では、通販サイトの管理画面から会員情報が出力・閲覧されていたことを確認しています。ただし、「24,771件すべての情報が流出したと確定した」という意味ではなく、漏えいの可能性がある範囲として公表された数字です。件数を24,771人と言い換えることも避けるべきです。
| 区分 | 漏えいの可能性がある項目 |
|---|---|
| 会員の基本情報 | 会員ID、氏名、住所、メールアドレス、電話番号 |
| 会員の追加登録情報 | 会社名、生年月日、性別、職業、My店舗情報（登録者のみ） |
| 利用に関する情報 | 購買情報 |
| お届け先情報 | 氏名、住所（都道府県のみ） |
| 漏えいしていないと公表された情報 | ログインパスワード、クレジットカード情報 |
住所や購買情報まで含まれるため、単なる迷惑メールにとどまらず、過去の購入内容を知っているように見せかけた偽の問い合わせにも警戒が必要です。一方、パスワードやカード情報については、ドトールが漏えいしていないことを確認したと説明しています。この2点は混同しないようにしてください。
今すべきこと：不審メール・SMS・電話への対処
- ドトールを名乗る連絡でも、メールやSMS内のリンクからログインしない。再認証・住所確認・配送料の支払いを要求された場合は、連絡の真偽を公式発表や公式窓口から確認します。
- パスワード、クレジットカード番号、セキュリティコードを教えない。ドトールはメールや電話でこれらを尋ねないと明記しています。
- 覚えのない請求・不自然な注文連絡は記録を残す。メールやSMSは削除する前に差出人・日時・内容を記録し、必要に応じカード会社や警察の相談窓口にも連絡します。
- 怪しいリンクを開き、認証情報を入力してしまった場合は別途対処。入力したサービスのパスワード変更や、同じ認証情報を使っているサービスの点検、カード情報を入力した場合はカード会社への連絡を検討してください。
今回の公表を理由として、すべての会員に一律のカード再発行やパスワード変更が必要だと断定する根拠はありません。ただし、不審なサイトへ情報を入力した場合や、他サービスでパスワードを使い回している場合は、別のリスクとして対処する必要があります。
注文済みの商品は届く？通販停止・定期購入はどうなる？
ドトールは、公式通販サイトを一時停止し、定期購入も一時休止すると発表しました。一方で、すでに注文して受注が確定している商品は、随時発送手続きを行うとしています。
| 利用状況 | 現時点で分かること／対応 |
|---|---|
| これから注文したい | 公式通販サイトは一時停止中。再開日が公表されるまで待ち、非公式の代行販売を名乗る連絡には注意 |
| 受注確定済み | 随時発送される方針。個別の到着日・発送状況は注文ごとに確認 |
| 定期購入している | 一時休止。次回発送や再開の具体的日程は今回の発表では未確認 |
| 注文が成立したか分からない | 過去の注文確認メールを確認し、必要なら公式窓口へ問い合わせ |
通販サイトの再開日時、全利用者への個別通知の方法、定期購入の再開日や再請求の扱いについては、11月6日の発表からは確認できません。公式の続報を待つ必要があります。
ドトールへの問い合わせ先は？電話は11月11日から
公式が案内した通販サイト事故の問い合わせ窓口は、メール：online-toiawase@doutor.co.jpです。電話は0120-840-555で、2026年11月11日10時から開設予定とされています。電話受付は平日10:00～17:00（土日祝を除く）です。
問い合わせ先も公式のお知らせで確認できます。メールで相談する際、パスワードやカードのセキュリティコードを記載する必要はありません。
いつ不正アクセスされた？10月24日から11月6日までの経緯
| 日付 | 確認された出来事 |
|---|---|
| 10月24～25日 | 第三者が通販サイトの管理画面に不正アクセス。会員情報を出力・閲覧 |
| 10月28日 | 決済代行会社が不審な動きをドトールに連絡 |
| 10月30日 | 通販サイトの開発・保守管理委託会社からドトールへ調査結果が報告される |
| 11月6日 | ドトールが通販会員情報の漏えいの可能性と対応を公表 |
公表までの間に何が行われたかについては、確認できる範囲と未確認の範囲を分けることが重要です。ドトールは委託会社と協力し、原因・影響範囲の詳細を調査中としています。
なぜ管理画面への侵入で個人情報が危険になるのか【技術解説】
ECサイトには、一般利用者が使う商品購入画面とは別に、受注管理や顧客管理を行う管理画面があります。運営担当者向けに会員一覧や注文情報の閲覧・出力機能が用意されている場合、不正に管理権限を得た第三者が、それらの機能を悪用して情報へアクセスする危険があります。
今回、ドトールが確認したのは管理画面への不正アクセスと、会員情報の出力・閲覧です。ただし、どの認証情報が悪用されたのか、脆弱性があったのか、外部公開の設定不備があったのかといった侵入経路は未公表です。一般的な攻撃手法を今回の直接原因として扱うことはできません。
ECサイト運営者が確認したい対策
- 管理画面へのアクセス制限と多要素認証の導入状況を確認する
- 管理権限の付与範囲を最小化し、退職者・委託先アカウントや不要な管理者権限を棚卸しする
- 会員一覧の大量閲覧・エクスポート・異常なログインを記録し、検知できる状態にする
- 開発・保守委託先と、異常検知時の連絡経路・報告期限・ログ保全の責任分担を点検する
上記は本件で判明した原因の説明ではなく、同様のリスクを減らすための一般的な実務チェック項目です。パスワード・カード情報が漏えいしなかったという発表だけで、氏名や購買情報の悪用リスクがなくなるわけではありません。
別件：従業員・退職者951人の情報漏えいも11月6日に更新
ドトールは別の社内システムに対する不正アクセスについて、10月26日の初報を11月6日に更新しています。10月20日に検知した社内システムの事故であり、今回の通販サイト管理画面への不正アクセスとは、別の公表案件です。公式：従業員・退職者向け更新版。
対象は次の4店舗に勤務していた従業員・退職者の合計951人です。
- ドトールコーヒーショップ西武大泉学園駅店
- ドトールコーヒーショップ国立大学通り店
- ドトールコーヒーショップ東京駅八重洲中央口店
- ドトールコーヒーショップ石神井公園駅前店
公表された項目は、氏名、生年月日、住所、メールアドレス、電話番号、銀行口座番号などです。更新版では、従業員番号、性別、国籍情報、雇用条件、就労情報、社会保険状況、保護者の氏名・続柄・住所、銀行口座情報などが追加されました。一部の項目は該当者のみです。
同社は、この社内システムの事故についてはお客様情報への不正アクセスを確認していないと説明しています。ただし、これは通販サイトで公表された24,771件の漏えい可能性を否定する説明ではありません。両方の発表を分けて理解する必要があります。
従業員・退職者向けの問い合わせは、通販とは別のtoiawase@doutor.co.jpです。対象者には不審な連絡や身に覚えのない請求への注意が呼びかけられています。
よくある質問（FAQ）
ドトールの店舗を利用しただけでも対象ですか？
11月6日の通販サイト事故は「ドトール オンラインショップ」会員登録者が対象です。店舗を利用しただけで対象になると公表されていません。一方、別件では指定4店舗の従業員・退職者が対象です。
クレジットカードを止めたり、パスワードを変更したりする必要はありますか？
ドトールは今回の通販サイト事故で、ログインパスワードとクレジットカード情報は漏えいしていないと確認したと説明しています。そのため、今回の公表だけを理由に一律のカード停止・変更が必要とはいえません。不審な請求や偽サイトへの入力など、個別の異常があれば速やかに対応してください。
ドトールのオンラインショップはいつ再開しますか？
11月6日の公表では再開日時は示されていません。定期購入も一時休止です。最新の案内は公式ニュースリリースで確認してください。
24,771人の情報がすでに流出したのですか？
いいえ。公式発表は「会員情報24,762件＋お届け先情報9件、計24,771件に漏えいの可能性がある」という内容です。実際に外部へ漏えいした件数・人数が確定したとは書かれていません。
犯人の侵入方法や、被害を受けた委託先は公表されていますか？
11月6日時点で確認した公式発表では、管理画面への不正アクセスが確認された一方、具体的な侵入方法や委託会社名は明示されていません。原因と影響範囲は調査中です。
まとめ：まず登録の有無を確認し、続報を待つ
2026年10月25日までにドトール オンラインショップに会員登録した人は、今回の情報漏えいの可能性について注意しておきたい対象です。現時点で最も重要なのは、ドトールを装ったメール・SMS・電話に惑わされず、パスワードやカード情報を教えないことです。
受注確定済みの商品は発送が進められる予定ですが、通販サイトと定期購入は一時停止しています。従業員・退職者951人に関する別件は同じ日付で更新されたものの、対象条件と問い合わせ先が異なります。今後、新たな漏えい範囲・復旧予定・調査結果が公表されれば、記事の内容を更新する必要があります。
出典・更新履歴
- 株式会社ドトールコーヒー：当社公式通販サイトにおける個人情報漏えいの可能性に関するお詫びとお知らせ（2026年11月6日）
- 株式会社ドトールコーヒー：従業員及び退職者の皆様へのお知らせ（更新版・2026年11月6日）
- 株式会社ドトールコーヒー：従業員及び退職者の皆様へのお知らせ（初報・2026年10月26日）
更新履歴：2026年11月7日、11月6日の公式発表2件を確認して新規作成。確認できない再開時期・個別通知方法・侵入経路は断定せず記載。
