Joshin ― ネットワークに不正アクセス、会員情報漏えいの可能性

要点

発表された事実

株式会社Joshin（本社・大阪市）は2026年10月26日、第三者による不正アクセスの第2報を公表し、3つのシステムで合計最大約623万件の情報に漏えいの可能性があると発表した（Joshin 第2報）。
会員情報データベースサーバーは最大約600万件（氏名、住所、電話番号、会員番号）、「ジョーシンのサブスク」は最大約23万件（会員番号、電話番号と手書きサインのバイナリデータ、ログインIDと初期パスワード、請求履歴、契約番号、デバイスID、有効化コード）、リフォーム写真アップロードシステムは最大約800件（免許証画像2件、マイナンバーカード1件、口座番号5件、施工中の工事写真データ）（同）。
件数は漏えいの可能性がある総件数で、漏えいが確定した件数ではない。クレジットカード情報は保持していない（同）。
10月16日にネットワークの異常を検知し、不正アクセスの形跡があるサーバーを遮断した。この措置により一部のサービスが使えない状態が続いている（同、Joshin 第1報）。
【2026-11-07追記】高橋徹也社長は11月6日の2026年度上半期決算会見の冒頭で、不正アクセスに伴うシステム障害と顧客情報漏えいの可能性について謝罪した。「情報の持ち方については反省すべき点がある」とし、見えている改善点にはすでに着手していると述べた（関西テレビ、TBS NEWS DIG、NHK）。
【2026-11-07追記】同社の説明では、免許証画像・マイナンバーカード・口座番号は、リフォームに伴う国の補助金を事業者が申請するために顧客から提供されたもの（口座番号は補助金の振込先）。これらは本来、外部サーバーに一時保存されたあと社内ネットワークの別サーバーに送られ、送信完了後に外部サーバーから削除される仕組みだったが、何らかの理由で外部サーバーに残ったままになっていた（関西テレビ）。
【2026-11-07追記】業績への影響は現時点で合理的に算定できないとして、通期連結業績予想には織り込んでいない（関西テレビ）。

わかったこと

【2026-11-07】本人確認書類の画像などが対象になった理由：補助金申請のために預かった情報が、送信後に削除されるはずの外部サーバーの一時保存領域に残っていた。残った理由は「何らかの理由」とされ、詳しくは示されていない（関西テレビ）。

わかっていないこと

侵入経路と手口（ランサムウェアかどうかを含む）
実際に持ち出された情報があるか、その範囲
停止しているサービスの具体的な範囲と再開時期
サブスクの「初期パスワード」「有効化コード」が現在も使える状態か

関係しそうな既知の手口

（考察）同社は第2報で「新たな社会課題となっているセキュリティの脆弱性への対処」を進めるとしている。10月に国内で相次ぐ、既知の脆弱性を探して悪用する不正アクセス（JPCERT/CCの注意喚起のケースA）と同じ流れにある可能性があるが、同社は手口を公表していない。

概要

家電量販店ジョーシンのJoshinが、10月16日に検知した不正アクセスの第2報で、会員約600万件を含む最大約623万件の情報に漏えいの可能性があると発表した。
対象はポイント会員などの会員情報データベース、家電のサブスクサービス、リフォーム工事の写真をやり取りするシステムの3つで、本人確認書類の画像もわずかに含まれる。
件数はあくまで「可能性」の最大値で、侵入経路や実際の持ち出しの有無は調査中。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-16（金）	ネットワークの異常を検知、不正アクセスの形跡を確認。該当サーバーを遮断し、外部専門機関に調査を依頼。個人情報保護委員会・警察に相談・報告（Joshin）
10-17（土）	第1報を公式サイトで公表。一部サービスが提供できない状態と説明（Joshin）
10-19（月）	第1報と同内容を東京証券取引所に開示（Joshin）
10-26（月）	第2報。3システムで最大約623万件に漏えいの可能性（Joshin）
11-06（金）	上半期決算会見で社長が謝罪。リフォーム写真システムの本人確認書類などは外部サーバーの一時保存領域に残っていたと説明。業績予想には影響を織り込まず（関西テレビ）

発表内容の整理

事実（Joshin 第2報）

システム	最大件数	対象となる情報
会員情報データベースサーバー	約600万件	氏名、住所、電話番号、会員番号
ジョーシンのサブスク	約23万件	会員番号、電話番号＋手書きサイン（バイナリデータ）、ログインID・初期パスワード、請求履歴、契約番号・デバイスID、有効化コード
リフォーム写真アップロードシステム	約800件	免許証画像2件、マイナンバーカード1件、口座番号5件、リフォーム施工中の工事写真データ

本人確認書類と口座番号の該当者には個別に連絡している。
同社を装った不審なメール、SMS、電話への注意を呼びかけている。
問い合わせ窓口はお客様相談窓口（電話 06-6631-1323、受付9:30〜18:30、メール joshin_otoiawase@joshin.co.jp）。

考察

約600万件の会員情報はメールアドレスやパスワードを含まないが、氏名・住所・電話番号のそろった名簿は、電話やSMS、郵送物を使う詐欺に使いやすい。家電量販店の会員であることも、「修理」「保証」「ポイント失効」をかたる連絡の口実になる（考察）。

サブスクで「初期パスワード」が対象に入っている点は気になる。初期パスワードを利用者が変えずに使い続けている場合、ログインIDと組み合わせてそのまま使えるおそれがある。同社は具体的な対策を示していないため、続報で無効化や再設定の案内があるかを見る必要がある（考察）。

検知から第2報まで10日かかり、その間も一部サービスが止まっている。サーバーの遮断で業務に影響が出ている点からは、侵入が1台のWebサーバーにとどまらず、社内ネットワークの複数のシステムに及んだ可能性がある（考察）。

関係しそうな既知の手口

事実（既知の知見）

JPCERT/CCは10月8日（9日更新）の注意喚起で、国内で相次ぐ不正アクセスの類型として、標的ごとに既知の脆弱性を探して悪用を試みるもの（ケースA）、API経由の不正な操作（ケースB）、公開Webサーバーからアクセスできるアプリケーションサーバー上へのWebシェル設置（ケースD）などを挙げている（JPCERT/CC）。
10月には、アンドエスティHD（記事）でも、複数サーバーへの侵入で顧客約250万件の流出の可能性が公表された。

考察

ネットワークの異常から始まり、複数のシステムにまたがって対象が広がる流れは、Webアプリ単体の欠陥より、社内ネットワークに入られた後の横展開に近い。会員DBとサブスク、リフォーム写真という性格の違うシステムがそろって対象になっていることも、それを示しているように見える。ただし同社は経路を公表しておらず、断定はできない（考察）。

利用者・運用者がいまできること

ジョーシンの会員は、ジョーシンを名乗る電話・SMS・メールで、支払い、ポイント、保証や修理の手続きを急がせる連絡に応じない。確認は公式サイトや店舗の窓口から行う。
「ジョーシンのサブスク」の利用者は、初期パスワードのまま使っていれば変更を検討し、続報で示される案内を確認する。
同じパスワードを他のサービスで使っている場合は変更する。
小売業の運用者は、会員DB・サブスク・工事写真などの業務システムが同じネットワークからたどれる構成になっていないかを点検する。

参考リンク

原文をGitHubで読む ↗