要点
発表された事実
- ステップゴルフは2026年11月7日、自社が運用する業務システムと予約システムへの第三者による不正アクセスを確認し、会員・関係者の個人情報が外部に漏えいした可能性が極めて高いと第一報で発表した（ステップゴルフ 第一報）。
- 11月5日にシステムの異常な処理を検知して判明した。過去のアクセス記録の調査で、10月23日と25日にも不正アクセスがあり、個人情報を含むデータベースのバックアップファイル等が漏えいした可能性が極めて高いことを確認した（同）。
- 対象は無料体験の申込者と現在・過去の会員で、最大21.5万件。件数はデータベース上の登録件数で、人数ではない（同）。
- 含まれる情報は、氏名・住所・生年月日・電話番号・メールアドレス、口座振替用の金融機関名・支店名・口座番号・口座名義等、契約状況・予約履歴・購入履歴・レッスンカルテ・顔写真・要配慮個人情報等（同）。
- 銀行口座情報は暗号化されていない状態で保管されていた（同）。
- クレジットカード情報と本人確認書類は当該システムで保有しておらず、影響はない。発表時点で二次被害は確認されていない（同）。
- 個人情報保護委員会に報告し、警察に相談した。アクセス元の遮断と認証情報の変更等を実施した。11月10日をめどに続報を出すとしている（同）。
わかったこと
- 【2026-11-11追記】ステップゴルフは11月10日の第二報で、漏えいした可能性のある情報の件数を、個人情報（データベース）114,605件、顔写真107,781件、銀行口座情報12,707件と公表した。対象は10月23日までに登録された無料体験申込者と現在・過去の会員で、いずれも登録件数であり、実際に漏えいした件数や人数は確定していない（ステップゴルフ 第二報）。
- 【2026-11-11追記】第一報の「最大21.5万件」は、第二報では上記3区分の件数として示された。顔写真には、写真が保存されている退会者も含まれる（同）。
- 【2026-11-11追記】専用のメール窓口（support@cs.stepgolf.co.jp）を開設した。電話窓口は準備中で、対象者には準備が整い次第メール等で個別に連絡する。二次被害は引き続き確認されていない（同）。
- 【2026-11-11追記】再発防止策として、ログイン時の認証機能の強化、不要な個人情報の削除とデータ管理体制の整備、監視体制の強化を挙げた。緊急対策には「不審なプログラムの無効化」も含まれる（同）。
わかっていないこと
- 侵入経路と、システムのどこからバックアップファイルを取得されたか（【2026-11-11追記】第二報でも未公表。緊急対策に「不審なプログラムの無効化」があり、何らかのプログラムが置かれていたとみられるが、詳細は不明）。
- 実際に漏えいした人数と、含まれる要配慮個人情報の種類（【2026-11-11追記】第二報で区分別の登録件数は出たが、人数と要配慮個人情報の中身は未公表）。
- 10月23日より前に不正アクセスがなかったか。
- 漏えいした情報の悪用（口座情報を使った詐欺など）の有無。
- 対象者への個別連絡と電話窓口の開設時期（【2026-11-11追記】メール窓口は第二報で開設済み）。
関係しそうな既知の手口
- （考察）データベースの本体ではなく、Webから届く場所に置かれたバックアップファイルが持ち出される例は多い。バックアップは本番と同じ機微情報を含むのに、アクセス制御や暗号化が本番より緩くなりがちである。
概要
- 判明のきっかけは11月5日の異常処理の検知だが、記録をさかのぼると約2週間前の10月23日・25日に既にアクセスされていた（ステップゴルフ）。
- 予約とレッスンは通常どおり利用できる。店頭では詳細な問い合わせに対応できないとしている（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-23 | 不正アクセス（後の調査で判明） | ステップゴルフ |
| 2026-10-25 | 不正アクセス（同上）。DBのバックアップファイル等が漏えいした可能性が極めて高い | 同 |
| 2026-11-05 | システムの異常な処理を検知し、不正アクセスが判明 | 同 |
| 2026-11-07 | 第一報を公表 | 同 |
| 2026-11-10（予定） | 続報を掲載予定 | 同 |
| 2026-11-10 | 第二報。件数を個人情報114,605件・顔写真107,781件・銀行口座情報12,707件と公表し、メール窓口を開設 | ステップゴルフ 第二報 |
発表内容の整理
事実（ステップゴルフの第一報による）
| 項目 | 内容 |
|---|---|
| 対象システム | 業務システム、予約システム |
| 取得されたとみられるもの | 個人情報を含むデータベースのバックアップファイル等 |
| 対象 | 無料体験申込者、現在・過去の会員 |
| 件数 | 最大21.5万件（DB上の登録件数） |
| 基本情報 | 氏名、住所、生年月日、電話番号、メールアドレス |
| 口座情報 | 金融機関名、支店名、口座番号、口座名義等（暗号化なしで保管） |
| 利用情報 | 契約状況、予約履歴、購入履歴、レッスンカルテ、顔写真、要配慮個人情報等 |
| 含まれない | クレジットカード情報、本人確認書類 |
| 二次被害 | 発表時点で未確認 |
出典：ステップゴルフ「当社業務システムへの不正アクセスによる個人情報漏えいのおそれに関するお詫びとご報告（第一報）」（2026-11-07）
考察
- 口座振替の情報を平文で持っていたことを自ら明記している。口座番号と名義だけで預金は引き出せないと同社も書いているが、氏名・住所・電話番号とそろうことで、金融機関をかたる電話やSMSの説得力は増す。
- レッスンカルテや要配慮個人情報、顔写真が含まれる点は、一般的な会員情報の漏えいより影響が大きい。何が要配慮個人情報に当たるのか（体調・既往歴など）は続報で確認したい。
事実（【2026-11-11追記】第二報による）
| 項目 | 内容 |
|---|---|
| 個人情報（データベース） | 114,605件 |
| 顔写真 | 107,781件（顔写真が保存されている退会者を含む） |
| 銀行口座情報 | 12,707件（暗号化なしで保管） |
| 件数の意味 | 登録件数。実際の漏えい件数・人数は確定していない |
| 窓口 | メール（support@cs.stepgolf.co.jp）。電話窓口は準備中 |
出典：ステップゴルフ 第二報
関係しそうな既知の手口
事実
- 同社は侵入経路を公表していない（ステップゴルフ）。
考察
- 「異常を検知した日」と「最初の不正アクセス」の間に約2週間ある。持ち出し自体を検知できず、後の別の操作で気づいた形であり、ファイルの大量ダウンロードや外部への大きな転送を監視していなかった可能性がある。
- 国内では、システムの一部機能のアクセス制御の問題を突かれて大量の会員情報を持ち出された例もある（例：ブックオフ）。同じ手口だとは言えない。
利用者・運用者がいまできること
- 会員・体験申込者：金融機関やステップゴルフを名乗る電話・SMS・メールで暗証番号やパスワードを聞かれても答えない。口座に身に覚えのない引き落としがないか確認する。
- 運用者：DBのバックアップの置き場所がWebから到達できないか、暗号化されているかを点検する。口座情報など機微な項目は列単位で暗号化し、バックアップにも同じ保護をかける。