ノジマECサイトの会員管理システムから会員情報が漏えい

概要

• 家電量販店ノジマの通販サイトと中古スマホ買取サイトで、会員約700万件の個人情報が漏えいした。
• 発表は「可能性」ではなく、漏えいを「確認した」という書き方になっている。検知から漏えい確認までが同じ11月1日で、翌2日に公表した。
• ログインIDと暗号化されたパスワードが含まれるため、同じパスワードを他のサービスで使っている人は、そちらの変更が先決になる。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

発表内容の整理

事実（ノジマの発表による）

• 実施した対応：外部からのアクセスの遮断、警察への相談、個人情報保護委員会への報告の準備、対象2サイトの一時休止（同）。
• 問い合わせ先はノジマカスタマーセンター（0120-574-853、9時30分〜19時）（同）。

考察

漏えいした項目は、氏名・住所・生年月日・電話番号と、ログインID・パスワードがひとまとまりになっている。名簿としてなりすましの連絡に使えるうえ、パスワードが解読できれば他サービスへの不正ログインの材料にもなる。「暗号化」とだけ書かれ方式が示されていないため、利用者側は解読されうる前提で動くのが安全だ（考察）。

一方、カード情報を自社で持たない設計にしていたことで、カード番号の漏えいは起きていない。最近の国内事例でも、カード情報を持っていなかった事業者は被害の範囲がそこで止まっている（考察）。

関係しそうな既知の手口

事実（既知の知見）

• JPCERT/CCは2026年10月、国内組織で相次ぐ不正アクセスについて注意喚起を出し、既知の脆弱性の修正、APIのアクセス制御やレート制限、保存期間を過ぎたデータを残さないことなどを挙げている（JPCERT/CC 注意喚起）。

考察

ノジマは侵入経路を明らかにしていない。会員管理システムから会員全体のデータが一度に持ち出されたとすれば、個々のアカウントの乗っ取りではなく、管理側の機能やデータベースに近い場所まで到達された可能性がある。ただし、これは発表からは確認できない（考察）。

利用者・運用者がいまできること

• ノジマオンラインや中古スマホ買取サイトと同じパスワードを他のサービスで使っている場合は、そちらを先に変更し、可能なら多要素認証を有効にする。
• ノジマを名乗るメール・SMS・電話のリンクや添付を開かない。確認が必要なときは、公式サイトを自分で開くか、上記のカスタマーセンターに連絡する。
• 運用者は、会員データベースのパスワード保存方式（ソルト付きの低速ハッシュか）を確認し、公表時に方式を説明できるようにしておく。

参考リンク

• ノジマ「ノジマオンラインの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年11月2日）
• IT Postの報道
• 産経新聞の報道
• GAME Watchの報道
• ノジマオンライン「ノジマオンラインの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年11月3日更新）
• ITmedia NEWSの報道（2026年11月4日）