ブックオフ会員638万人の情報が漏えい｜対象の確認機能と専用窓口を開設

ブックオフグループホールディングスが、子会社ブックオフコーポレーションの会員管理システムへの第三者の不正アクセスで、会員の情報が外に送られたと公表しています。 対象は6,383,279人（会員番号ベースで6,427,735件）で、アプリ会員・オンラインストア会員・Web 会員が当たります（ブックオフグループホールディングスの2026年10月13日の発表）。 2026年10月23日には、対象かどうかを会員サイトで確かめられる機能と、専用のフリーダイヤルを設けたと公表しました。

公表された内容

• 時期：2026年10月4日から6日にかけて会員情報が外から取られ、10月6日に不正アクセスを確認（2026年10月13日の発表）
• 対象の人数：6,383,279人（有効会員6,170,908人・退会した会員212,371人）。同じメールアドレスの複数の会員データを1人と数えた人数です。会員カードだけを使い、アプリや Web の登録をしていない人は対象外（同）
• 情報：氏名・生年月日・性別・職業・ニックネーム・メールアドレス・電話番号・郵便番号と住所・パスワードのハッシュ値・ポイントカード番号・会員番号。「職業」「ニックネーム」は10月16日の訂正で加わりました（2026年10月16日の発表）
• 含まれないもの：カード情報などの決済の情報、銀行口座の情報、店頭買取の本人確認書類の読み取り情報、宅配買取の本人確認書類の画像、会員の住所とは別に指定した配送先・集荷先
• 悪用：公開・ポイントの不正利用・会員情報の書き換えは確認されていないとしています（2026年10月13日の発表）
• 原因・侵入経路：システム構成・脆弱性・攻撃の手口の詳細は、次の攻撃を招くおそれがあるとして公表を控えるとしています
• 対象のサービス：BOOKOFF・BOOKOFF SUPER BAZAAR・公式オンラインストア・あそビバ・BOOKOFF FASHION などの国内ブックオフ事業。hugall・ブクログ・青山ブックセンターなどは別のシステムで対象外としています

経緯

• 2026年10月4日〜6日：会員管理システムから会員情報が外に送られる
• 2026年10月6日：不正アクセスを確認し、攻撃元からの通信と経路を遮断
• 2026年10月9日：第1報。漏えいの可能性があるのは最大約643万件と公表
• 2026年10月13日：第2報。対象の範囲と人数（6,383,279人）が確定。個人情報保護委員会へ報告し、警察へ相談
• 2026年10月15日：対象の会員へ個別のメールを順に送り始める
• 2026年10月16日：第2報の訂正。漏えいした項目に「職業」「ニックネーム」を追加（件数・人数は変わらず）
• 2026年10月22日：送れることを確かめたメールアドレスへの個別メールを送り終え、専用フリーダイヤルを開設
• 2026年10月23日：会員サイトに、自分が対象かを確かめられる Web 照会の機能を追加したと公表

中小企業が今日からできること

• 会員情報の一括の持ち出しに気づける仕組みを置く：会員管理のシステムから短い時間に大量のデータが外へ出たら知らせが届くよう、システムの会社に設定を確かめる
• 集める項目を絞る：職業やニックネームなど、使っていない登録項目がないかを見直し、要らない項目は集めない・消す
• 退会した会員のデータを残しすぎない：今回は退会した会員約21万人も対象になった。退会後のデータを何年残すかを決め、過ぎたものは消す
• 社員の ID の使い回しを止める：ブックオフの会員登録を会社のメールアドレスでしていれば、同じパスワードを使っている会社のアカウントのパスワードを変える
• ブックオフを名乗る連絡に注意する：氏名・住所・電話番号を知ったうえでの詐欺のメール・SMS・電話が来ることがある。リンクを開かず公式アプリや公式サイトから確かめるよう、社内に伝える