ブックオフ ― 子会社の会員管理システムに不正アクセス

要点

発表された事実

ブックオフグループホールディングス（東証プライム）は2026年10月9日、子会社が提供する会員情報を管理するシステムが第三者の不正アクセスを受け、会員情報が外部に流出したことを確認したと公表した（ブックオフグループHDの適時開示）。
不正アクセスを確認したのは10月6日。調査の結果、同システムで管理している会員情報が外部から取得されたことがわかった（同）。
漏えいの可能性があるのは最大約643万件。これは会員番号の件数で、対象となる実際の人数ではない（同）。
対象の情報は、氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号。クレジットカード情報などの決済情報はこのシステムでは保有していない（同）。
攻撃元からの通信を遮断し、脆弱性を是正し、対象システムへの外部からのアクセスを遮断した。全システムを対象とした緊急総点検を実施している。10月9日時点で、外部への公開、悪用、会員情報の書き換えは確認されていない（同）。

わかったこと

【2026-10-13追記】10月13日の第2報で、対象は子会社ブックオフコーポレーションが提供する国内ブックオフの会員管理システムだと明らかにした。会員情報が外部から取得されたのは10月4日から6日にかけて（ブックオフグループHDの第2報）。
【2026-10-13追記】漏えいの対象は会員番号ベースで6,427,735件、同じメールアドレスで登録された会員データを1人として数えた対象者は6,383,279人（有効会員6,170,908人、退会会員212,371人）。対象はアプリ会員、オンラインストア会員、Web会員で、会員カードだけを使いアプリ・Web登録をしていない人は含まれない（同）。
【2026-10-13追記】漏えい対象の項目は第1報と同じ（氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号）。店頭買取で入力した住所や本人確認書類の読み取り文字情報、宅配買取の本人確認書類画像、注文時の別配送先は対象外（同）。
【2026-10-13追記】対象者には10月15日から登録メールアドレス宛てに順次連絡する。BOOKOFF公式オンラインストアと公式アプリのパスワード変更、同じ・似たパスワードを使う他サービスの変更を求めた。案内メールにパスワード変更画面へのリンクは載せない（同）。
【2026-10-20追記】10月16日、第2報の一部を訂正した。漏えいした可能性のある情報に「職業」「ニックネーム」の記載が漏れていたとして、対象項目を「氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、会員情報として登録された郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号」に改めた。漏えい対象会員データ数、対象者数などほかの公表内容は変わらない。同日、10月13日の第1四半期決算補足資料も同じ内容で訂正した（訂正の適時開示、決算補足資料の訂正、ブックオフ公式オンラインストア）。
【2026-11-07追記】11月6日の第3報で、外部専門家の協力による調査の結果、会員情報を扱うシステムの一部機能におけるアクセス制御上の問題を第三者に悪用され会員情報が取得されていたことが判明し、不正アクセスの経路および原因を特定したと公表した。影響範囲（対象サービス・対象者数・漏えい項目）に変更はなく、外部公開・ポイント不正利用・会員情報の書き換えは未確認。対象者への個別メール送信は10月15〜22日に完了し、アプリ通知も10月26〜29日に実施。個人情報保護委員会へは12月初旬に確報を提出予定。再発防止策（経路遮断・アクセス制御強化・監視強化等）を実施済み／実施中／今後実施に分けて示した。2027年5月期の連結業績予想に変更なし（第3報 PDF）。

わかっていないこと

システムの種類（自社開発か、外部製品・サービスか）
アクセス制御上の問題の技術的詳細と攻撃手法（【2026-11-07追記】第3報で原因類型は「アクセス制御上の問題」と特定したが、構成・設定等の技術詳細は悪用のおそれがあるとして非公表）
10月4日に始まった取得にどう気づいたのか
パスワードのハッシュ化の方式（ソルトの有無、アルゴリズム）
業績への詳細な費用影響（【2026-11-07追記】第3報：調査・連絡・窓口・対策費用は2027年5月期第2四半期以降に計上見込み。売上・費用影響は限定的で、通期連結業績予想に変更なし）

関係しそうな既知の手口

（考察）「脆弱性を是正した」「外部からのアクセスを遮断した」という対応からは、インターネットから届く会員管理システム（またはその管理機能やAPI）に悪用できる欠陥があった可能性がうかがえる。JPCERT/CCが10月8日の注意喚起で挙げた「標的ごとに既知の脆弱性を探して悪用する」「内部APIへの不正なリクエスト」などの類型と重なるかは、公表内容からは判断できない。

概要

中古品チェーン「ブックオフ」の会員情報を管理する子会社のシステムが不正アクセスを受け、最大約643万件（会員番号の数）の会員情報が外部から取得された。
氏名・生年月日・連絡先・住所に加え、パスワードのハッシュ値とポイントカード番号が含まれる。決済情報は含まれない。
10月6日の確認から3日後の10月9日に公表した。脆弱性を是正したとしているが、その内容や侵入の時期、実際の人数はまだ明らかにされていない。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-06（火）	子会社の会員管理システムへの第三者の不正アクセスを確認。調査の結果、会員情報が外部から取得されたことが判明（ブックオフグループHDの適時開示）
2026-10-09（金）	ブックオフグループHDが不正アクセスと最大約643万件の会員情報流出を公表。個人情報保護委員会への報告などを進めているとした（同）
2026-10-09（金）	ITmedia NEWS、Security NEXT、日本経済新聞などが報道
2026-10-13（火）	第2報。対象はブックオフコーポレーションの国内ブックオフ会員管理システムで、会員情報の取得は10月4日〜6日。漏えい対象は6,427,735件・6,383,279人（有効会員6,170,908人、退会会員212,371人）と確定。10月15日から対象者にメールで連絡し、パスワード変更を依頼（第2報）
2026-10-16（金）	第2報と決算補足資料を訂正し、漏えい対象項目に「職業」「ニックネーム」を追加。件数・人数は変更なし（訂正の適時開示）
2026-10-15〜22	対象会員への個別メール送信を完了（第3報）
2026-10-22	WEB照会機能追加・専用フリーダイヤル開設（第3報の経緯）
2026-10-26〜29	公式アプリのお知らせ通知で対象会員へ個別案内（第3報）
2026-11-06（金）	第3報。原因をアクセス制御上の問題と特定。影響範囲に変更なし。再発防止策と業績予想据え置きを公表（第3報 PDF）

発表内容の整理

事実（10月9日の適時開示）

項目	内容
対象システム	当社子会社が提供する会員情報を管理するシステム（子会社名・システム名は記載なし）
件数	最大約643万件（漏えいした可能性のある会員番号の件数で、実際の人数ではない）
情報	氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号
含まれないもの	クレジットカード情報等の決済情報（当該システムでは保有していない）
現時点の状況	外部への公開・第三者による悪用・会員情報の書き換えは確認されていない
対応	攻撃元からの通信の遮断、脆弱性の是正、対象システムへの外部からのアクセスの遮断。判明している不正取得の経路は封じ込め完了とし、監視を継続。全システムの緊急総点検、ネットワークとアプリケーションの両面での追加の安全対策と恒久的な再発防止策
報告・連絡	個人情報保護委員会への報告など。対象者には調査結果を踏まえて順次個別に連絡
問い合わせ	専用のお問い合わせフォーム、お客様窓口 0570-01-2902（10:00〜18:30）

開示では、パスワードのハッシュ値を「暗号化されたパスワードであり、そのままでは読み取りできない情報」と説明している。
対象となる人数と漏えいした可能性のある情報は引き続き精査しており、判明しだい続報で知らせるとしている。
【2026-10-13追記】第2報で人数が確定した。会員番号ベースの6,427,735件と対象者6,383,279人の差は、同じメールアドレスで複数の会員データを登録していた分。外部への公開、ポイントの不正利用、実在する会員の情報の書き換えは確認されていない。個人情報保護委員会に報告し、警察に相談している。

考察

公表は確認から3日後で、件数は「会員番号の数」という上限の値で、実際の人数や項目ごとの内訳はまだ出ていない。【2026-10-13追記】第2報で対象者は6,383,279人と確定し、そのうち退会会員は212,371人だった。退会した人の情報も残っていたことになる。同じ人が複数の会員番号を持っている、退会者の番号が残っている、といった事情があれば、実人数は643万より少なくなる。逆に言えば、退会した人の情報も残っていたなら対象に入りうる。

開示は「是正した脆弱性」と「封じ込めを完了した不正取得の経路」に触れているが、どちらも具体的に書いていない。外部からのアクセスを遮断したという対応は、会員管理システムが本来インターネットから直接届く必要のない場所にまで公開されていた可能性も示している（考察）。

パスワードはハッシュ値で保存されていたが、方式は公表されていない。ハッシュ値は元に戻せない変換ではあるものの、ソルトを付けない高速なハッシュ関数だと、よく使われるパスワードは総当たりや辞書で割り出されることがある。開示の「そのままでは読み取りできない」という説明は、解析されないことまでは意味しない。

関係しそうな既知の手口

事実（既知の知見）

JPCERT/CCは10月8日（9日更新）、国内組織で不正アクセスによる個人情報の漏えいが相次いでいるとして注意喚起を出した。共通する一つのソフトウェアの脆弱性ではなく、標的ごとにさまざまな既知の脆弱性をスキャンして悪用を試みたり、環境設定ファイルやバックアップファイルの窃取など管理不備を突いたりする類型（ケースA）や、管理用APIへの不正なリクエスト（ケースB）などを挙げている（JPCERT/CC）。
同じ注意喚起は、一般利用者向けのアプリに限らず、BIツールや従業員向け管理システムなど、不特定多数からのアクセスを想定していないシステムでも内部の情報が漏えいしているとしている（同）。

考察

会員基盤は1か所に集まっている：ブックオフの会員管理システムは、店舗のポイントカードとオンラインの会員を結びつける基盤とみられ、そこに643万件分の連絡先・住所・パスワードハッシュがまとまっていた。10月に相次いだ国内の会員アプリ・会員基盤の流出（ローソンID、焼肉きんぐ公式アプリ、ミスターマックスなど）と同じく、1つの入口から全会員分に届く構造だった。
「子会社が提供する」システム：グループ内の別会社が運用するシステムは、本体と同じ基準で点検されているとは限らない。本件で子会社の運用が原因に関わったかはわからない。

利用者・運用者がいまできること

事実（発表に基づく）

ブックオフグループや関係先を装ったメール・SMS・電話に注意する。身に覚えのない連絡に書かれたURLや添付ファイルは開かず、個人情報や認証情報を入力しない。
ブックオフグループが、メール・SMS・電話でパスワード、認証コード、クレジットカード情報、銀行口座情報などを尋ねることはない。
不審な連絡や身に覚えのない利用があれば、専用のお問い合わせフォームか窓口（0570-01-2902）に連絡する。

考察（利用者向け）

【2026-10-13追記】第2報で、公式オンラインストアと公式アプリのパスワード変更が求められた。変更はメールのリンクからではなく、公式アプリか公式サイトに直接アクセスして行う。
第1報の時点では開示はパスワード変更を求めていなかったが、パスワードのハッシュ値が取得されているので、ブックオフの会員サービスと同じパスワードを他のサービスで使っている場合は、そちらを先に変更しておくほうが安全だ。
氏名・生年月日・住所・電話番号がそろって漏れているため、ポイント失効や会員情報の確認を装った、本名入りのSMSや郵便物にも注意する。

考察（運用者向け）

会員管理システムや、その管理機能・APIが、業務上必要な範囲を超えてインターネットに公開されていないかを確認する。グループ会社や委託先が運用しているものも点検の対象に含める。
パスワードの保存方式を確認し、ソルト付きの低速なハッシュ関数（bcrypt、scrypt、Argon2など）になっていなければ、次回ログイン時に移行する仕組みを検討する。
退会者や長期間使われていない会員番号のデータを残していないかを確認する。残していなければ流出の上限そのものが小さくなる。

参考リンク

ブックオフグループHD「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第3報）」（2026年11月6日、PDF）

原文をGitHubで読む ↗