タリーズコーヒーの自主回収・情報漏洩トラブルに関する公表情報と安全への取り組み

2024年10月3日、タリーズコーヒージャパンは公式オンラインストアに対する不正アクセスにより、最大92,685件の個人情報と、52,958件のクレジットカード情報が漏洩した可能性があると発表しました。

結論から申し上げます。店舗で利用する「タリーズ公式アプリ」や「クラブタリーズ」、および「楽天市場店」は今回の漏洩対象外であり、安全が確認されています。

注意が必要なのは、2020年10月1日～2024年5月23日の期間に「タリーズ オンラインストア」を利用・会員登録した方です。

本記事では、自身が漏洩対象かどうかの具体的な確認方法と取るべき行動、そして今回の事件がなぜ起きたのかを、カフェ業界の動向とセキュリティの専門的視点から網羅的に解説します。

結論から確認：自分が漏洩対象かどうかの見分け方と取るべき行動

今回の不正アクセスにおいて、もっとも優先すべきは「自分自身の情報が漏洩しているか」の確認と、迅速な自己防衛策です。

タリーズの公式発表に基づく、漏洩の可能性がある対象者の条件と期間は以下の通りです。

1. 個人情報漏洩の可能性がある方

• 対象期間：2020年10月1日～2024年5月23日
• 対象行動：タリーズ オンラインストアにて会員登録をされたお客様（最大92,685名）
• 漏洩項目：氏名、住所、電話番号、性別、生年月日、メールアドレス、ログインID、パスワード、配送先情報など

2. クレジットカード情報漏洩の可能性がある方

• 対象期間：2021年7月20日～2024年5月20日
• 対象行動：タリーズ オンラインストアにてクレジットカード決済をされたお客様（最大52,958名）
• 漏洩項目：クレジットカード番号、カード名義人名、有効期限、セキュリティコード

該当する可能性のあるお客様には、タリーズコーヒージャパンから10月3日以降、順次メールまたは郵送にて個別のお知らせが送付されています。

まずはご自身のメールボックス（迷惑メールフォルダ含む）にタリーズからの連絡が届いていないかを確認してください。

もし上記の期間にオンラインストアでクレジットカード決済をした記憶がある場合は、直ちにカードの利用明細を確認することが必須です。

身に覚えのない少額の請求や、海外サイトでの決済履歴がないかをチェックし、不審な点があればカード裏面の窓口へ速やかに連絡してください。

なお、今回の件に起因してクレジットカードの再発行を希望する場合、再発行手数料はお客様の負担にならないよう、タリーズ側から各カード会社へ依頼が行われています。

---

発覚から詳細公表までのタイムライン：なぜ数ヶ月を要したのか

今回の事案において、一部の利用者からは「5月にサイトが閉鎖されてから、10月の詳細発表まで時間がかかりすぎではないか」という声も聞かれました。

事態の推移を客観的なタイムラインで振り返ってみましょう。

• 2024年5月20日： 警視庁からタリーズに対し「オンラインストア利用者のクレジットカード情報漏洩の懸念」について連絡が入る。
• 同日： 即座にオンラインストアでのクレジットカード決済を停止。
• 2024年5月23日： オンラインストアのサイト自体を一時閉鎖。
• 2024年5月30日： サイト上で「不正アクセスによるシステム侵害発生のお詫びとお知らせ」の第一報を公表。
• 2024年10月3日： 第三者機関の調査を終え、漏洩件数や対象期間などの詳細を正式公表。

情報漏洩が疑われる事態が発生した際、企業は被害の拡大を防ぐために即座にシステムを停止させる必要があります。

タリーズは警察からの連絡を受けた当日に決済を止め、数日後にはサイト自体を閉鎖しており、この初動のネットワーク遮断対応自体は迅速であったと評価できます。

一方で、詳細の公表に約4ヶ月半の時間を要したのには、サイバーセキュリティ分野特有の明確な理由があります。

情報漏洩の原因や影響範囲を特定するためには、「フォレンジック調査」と呼ばれるデジタル鑑識を第三者の専門機関に依頼し、膨大なサーバーログを一行ずつ解析する必要があります。

不確定な段階で「〇〇件漏洩したかもしれません」と発表すると、対象外の顧客にまで不要なパニックを引き起こし、カード会社の対応窓口をパンクさせる二次被害に繋がります。

確実な裏付けを取り、カード会社との連携手順を整え、被害者への対応窓口（コールセンター）を構築してから詳細を公表するのは、インシデント対応のセオリー通りの手順と言えます。

---

なぜ情報は漏れたのか？「ウェブスキミング」という見えない脅威

今回の情報漏洩の原因について、タリーズコーヒージャパンは「システムの一部の脆弱性をついたことによる第三者の不正アクセスにより、ペイメントアプリケーションの改ざんが行われたため」と説明しています。

これは専門用語で「ウェブスキミング（フォームジャッキング）」と呼ばれる、近年急増している悪質なサイバー攻撃の手口です。

一般的なオンラインストアでは、お客様のクレジットカード情報を自社のサーバー（データベース）に保存しない仕組みを採用しています。

そのため、ハッカーがデータベースを攻撃しても、クレジットカード番号を盗み出すことはできません。

そこで攻撃者は、ウェブサイトの決済画面を構成するプログラム（JavaScriptなど）の脆弱性を突き、画面上に悪意のあるコードを仕込みます。

利用者が購入画面でカード番号を入力し、「決済する」ボタンを押した瞬間、その入力データが正規の決済システムだけでなく、ハッカーが用意した外部サーバーにも同時に送信されるように書き換えるのです。

この手口の恐ろしい点は、正規の買い物自体は通常通り完了するため、エラー画面などが出ないことです。

お客様の手元には無事にコーヒー豆が届き、タリーズ側のシステムにも正常な売上として記録されるため、誰も情報が抜き取られていることに気づけません。

今回も自社の監視システムではなく、警察やクレジットカード会社からの「特定の店舗を利用したカードで不正利用が多発している」という外部からの指摘で初めて発覚しました。

これはタリーズに限らず、多くのECサイトが直面している極めて検知が難しい現代的な脅威なのです。

---

カフェ業界のDX（デジタル・トランスフォーメーション）が抱える構造的リスク

カフェチェーン専門のマーケターという視点から見ると、今回の事件は単なる一企業のセキュリティ問題にとどまらず、カフェ業界全体が直面している構造的な課題を浮き彫りにしています。

現在、大手カフェチェーンは生き残りをかけて、急速なデジタル化（DX）を推進しています。

スターバックスが「モバイルオーダー＆ペイ」で店舗のレジ行列を解消し、ブルーボトルコーヒーが洗練されたUIのオンラインストアでコーヒー豆の定期便（サブスクリプション）を定着させる中、業界全体が「実店舗の体験」と「デジタルの利便性」の融合を急いできました。

ドトールコーヒーも専用アプリを通じたキャッシュレス決済やポイント連携を強化しており、カフェという空間は今や、巨大な顧客データと決済トラフィックが行き交うITプラットフォームへと変貌を遂げています。

タリーズのオンラインストアも、店舗では手に入りにくい限定のハチミツや、特別な焙煎のコーヒー豆、オリジナルグッズを全国のファンに届ける重要なチャネルとして成長していました。

しかし、顧客接点をデジタルに拡張するということは、同時に「サイバー攻撃を受ける隙（アタックサーフェス）」を広げることを意味します。

美味しいコーヒーを淹れる専門知識と、堅牢なECサイトを構築・運用するセキュリティの専門知識は、全く異なるものです。

多くの飲食チェーンは、ECサイトの構築を外部のシステム会社に委託していますが、一度納品されたシステムの脆弱性を誰が継続的に監視し、最新のパッチ（修正プログラム）を当て続けるのかという運用面で、体制が追いついていないケースが散見されます。

カフェ業界全体が、デジタルという新しい店舗を運営するための「見えない警備員」への投資を急務として突きつけられているのです。

---

（考察）タリーズの対応への専門的評価と、安全なサードプレイスの再構築

一人の生活者として、そしてカフェチェーンの動向を追い続ける専門家として、今回の事案には厳しい目を向けざるを得ません。

オンラインストアを信頼してクレジットカード情報を入力した顧客の期待を裏切った事実は重く、被害に遭われた方々の不安とクレジットカード再発行にかかる労力は計り知れません。

企業としてのセキュリティ監査体制に甘さがあったことは否めず、決済アプリケーションの改ざんを数年間にわたって検知できなかった仕組みについては、抜本的な見直しが不可欠です。

しかし一方で、インシデント発覚後の対応については、企業としての責任を果たすための誠実なステップを踏んでいると評価できる部分もあります。

警察の指摘を受けて即座にシステムを遮断し、自社の利益となるECサイトの売上を止めてでも被害の拡大を防いだ点。

そして、不確定な情報を小出しにして現場を混乱させることを避け、フォレンジック調査の完了を待って事実を客観的に公表したプロセスは、危機管理のガイドラインに沿った冷静な対応です。

現在タリーズは、オンラインストアの再開に向けてシステムのセキュリティ対策と監視体制の強化を進めていると発表しています。

ウェブスキミングへの対抗策としては、コンテンツセキュリティポリシー（CSP）の厳格な設定や、外部スクリプトの定期的な整合性チェック、そして第三者機関による定期的な脆弱性診断の導入が必須となるでしょう。

僕たちがカフェに求めるのは、一杯の美味しいコーヒーだけでなく、そこで過ごす時間と体験がもたらす「安心感」です。

店舗での温かい接客と同じように、デジタル空間においても顧客が安心して買い物ができる堅牢なシステムを再構築することが、タリーズが再び信頼を取り戻すための唯一の道であると考えます。

---

私たち消費者が日常的にできる自己防衛策

今回の事件は、どんなに有名な企業のサイトであっても、情報漏洩のリスクは常に存在するという事実を私たちに突きつけました。

オンラインでショッピングを楽しむ以上、私たち消費者自身も自己防衛の意識をアップデートする必要があります。

パスワードの使い回しを絶対に避ける
今回、個人情報としてログインIDとパスワードも漏洩の対象に含まれています。
もしタリーズのオンラインストアと同じID（メールアドレス）とパスワードの組み合わせを、他の通販サイトやSNS、ネット銀行などでも使い回している場合は、直ちに他のサイトのパスワードを変更してください。
攻撃者は、漏洩したリストを使って他の様々なサイトに不正ログインを試みる「パスワードリスト攻撃」を行う可能性が高いからです。

クレジットカードの利用明細を毎月確認する
ウェブスキミングによる被害は、カードの利用明細を確認することでしか早期発見できません。
紙の明細書を待つのではなく、カード会社のWebサービスやアプリを活用し、こまめに利用履歴をチェックする習慣をつけてください。
特に「数百円程度の身に覚えのない少額決済」は、攻撃者がカードが有効かどうかをテストしている兆候の可能性があります。

バーチャルカードやワンタイムカードの活用
日常的に利用するECサイト以外での買い物には、決済のたびにカード番号が変わるワンタイムカードや、利用限度額を低く設定したプリペイド式のバーチャルカードを利用するのも有効な防衛手段です。
万が一番号が漏洩しても、被害を最小限に食い止め、メインのクレジットカードを再発行する手間を省くことができます。

---

よくある質問

タリーズの公式アプリや、お店のレジで使ったカード情報も漏洩していますか？

いいえ、漏洩していません。
今回の不正アクセスは「タリーズ オンラインストア（ブラウザ版のECサイト）」のシステムのみが対象です。店舗での決済、タリーズ公式アプリの利用、クラブタリーズへのチャージ、デジタルギフト、タリーズ公式楽天市場店での買い物はすべて対象外であり、安全に利用できます。

自分が対象者かどうか、どうすれば確実に分かりますか？

タリーズコーヒージャパンから、対象となるお客様に対して順次、登録されているメールアドレス宛（メールが届かない場合は郵送）に個別のお知らせが送られています。
まずはご自身のメールボックスをご確認いただき、ご不安な場合はタリーズの「お客様専用コールセンター（フリーダイヤル）」へお問い合わせください。詳細はタリーズ公式サイトのプレスリリースに記載されています。

クレジットカードを再発行する場合、手数料はかかりますか？

今回の情報漏洩に起因してクレジットカードの再発行を希望する場合、お客様に手数料の負担が発生しないよう、タリーズコーヒージャパンから各クレジットカード会社へ依頼が行われています。
再発行の手続きや具体的な条件については、お手持ちのクレジットカード裏面に記載されているカード会社のサポート窓口へ直接お問い合わせください。

---

まとめ

本記事では、2024年に公表されたタリーズコーヒーのオンラインストアにおける情報漏洩トラブルについて、その事実関係と対応策を詳しく解説しました。

• 漏洩の対象は「タリーズ オンラインストア」のみ。公式アプリや店舗決済は安全。
• 2020年10月～2024年5月の期間に利用した方の個人情報（最大約9.2万件）およびクレジットカード情報（最大約5.2万件）が漏洩した可能性がある。
• 原因は「ウェブスキミング」というECサイトの決済プログラムを改ざんするサイバー攻撃。
• 対象者には個別連絡が行われており、該当の可能性がある場合はクレジットカードの利用明細を必ず確認すること。

カフェチェーンのデジタル化が進む中で起きた今回のインシデントは、業界全体におけるサイバーセキュリティの重要性を改めて浮き彫りにしました。

タリーズには今回の教訓を活かし、リアルな店舗だけでなくデジタル空間においても、真に安心できるサードプレイスを提供してくれることを強く期待します。

情報の最新状況やコールセンターの連絡先については、必ずタリーズコーヒージャパンの公式サイトに掲載されている公式リリースをご確認ください。