要点
発表された事実
- Qoo10は2026年11月12日、11月6日に外部の第三者が同社のシステムに不正アクセスし、一部の個人情報が閲覧されたと発表した（Qoo10 お知らせ）。
- 対象となる可能性がある情報は、氏名、ニックネーム、メールアドレス・電話番号、生年月日、性別、プロフィール情報、住所および配送先住所、住所の地理座標、顧客セグメント情報、利用者が任意に入力した身体的特徴、アカウント識別情報、IPアドレス、個人メモ、サイト内ポイント残高（同）。
- 決済情報やパスワードが漏えいしたことを示す証拠は、現時点で確認されていない（同）。
- 検知後ただちにアクセスを遮断し、不正に発行または利用された可能性のある認証トークンをすべて無効化し、影響を受けた可能性のあるアカウントを強制ログアウトさせた。詳細な調査を続けている（同）。
- 対象人数は告知に記載がない（ビジネス+IT）。運営はeBay Japanで、会員数は3000万人超と報じられている（ITmedia NEWS）。
わかっていないこと
- 影響を受けた人数。
- 侵入経路と、認証トークンがどのように不正に発行・利用されたのか。
- 不正アクセスが11月6日だけだったのか、期間。
- 出店者（セラー）側の情報への影響。
関係しそうな既知の手口
- （考察）「不正に発行または利用された可能性のある認証トークン」を無効化したという説明から、ログイン後のセッションやAPIのトークンを手に入れて本人になりすます手口が使われた可能性がある。ただし同社は手口を公表しておらず、断定はできない。トークンを不正に作られた国内事例として、旧アプリの移行処理で認証情報を作られたデニーズの件がある（デニーズアプリ ― 旧アプリの移行処理で認証情報を不正に作成された）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-06 | 外部の第三者がシステムに不正アクセスし、一部の個人情報を閲覧 | Qoo10 |
| 2026-11-12 | Qoo10が不正アクセスと個人情報の閲覧を公表（日本語・韓国語） | 同、Qoo10 お知らせ一覧 |
発表内容の整理
事実（Qoo10の11月12日の告知による）
| 項目 | 内容 |
|---|---|
| 発生日 | 11月6日 |
| 閲覧された可能性がある情報 | 氏名、連絡先、生年月日、性別、住所・配送先、住所の地理座標、顧客セグメント、身体的特徴（任意入力）、アカウント識別情報、IPアドレス、個人メモ、ポイント残高 など |
| 確認されていないもの | 決済情報・パスワードの漏えいを示す証拠 |
| 対応 | アクセス遮断、認証トークンの全無効化、強制ログアウト |
| 件数 | 記載なし |
考察
- 住所の地理座標や顧客セグメント、身体的特徴（具体的な項目は示されていない）は、通常の会員情報より踏み込んだ内容で、購入履歴に詳しいかのように装った詐欺連絡に使われやすい。
- 件数が示されていないため、利用者は自分が対象かを判断できない。強制ログアウトされた利用者が対象に近いと考えられるが、同社はそう説明していない。
利用者・運用者がいまできること
- 利用者：Qoo10を名乗る電話・SMS・メールで、注文や配送を口実にリンクを開かせるものに注意する。
- 利用者：パスワードの漏えいは確認されていないが、他のサービスと同じパスワードなら変更し、二段階認証を有効にしておく。
- 運用者：ログイン後に発行するトークンの有効期間、発行経路の監視、全トークンを一斉に失効させる手順があるかを確認する。