Joshin（ジョーシン）に不正アクセス｜最大約600万件の会員情報が漏えいのおそれ

家電量販店「ジョーシン」を展開する株式会社Joshin（大阪市）は、2026年10月16日に自社のネットワークへの第三者の不正アクセスを認識し、一部のサービスを提供できない状態になっていると公表しました（Joshinの2026年10月17日の発表）。 10月26日の第2報では、会員情報のデータベースサーバー（最大約600万件）など3つのシステムで、情報が漏えいしたおそれがあるとしています（Joshinの2026年10月26日の発表）。 ジョーシンの会員、「ジョーシンのサブスク」の利用者、リフォームの利用者に関係します。

公表された内容

2026年10月26日の第2報で、漏えいしたおそれがあるとされた情報は次のとおりです。件数は漏えいしたおそれのある総数で、漏えいが確定した件数ではないとしています。

• 会員情報のデータベースサーバー：最大約600万件。氏名・住所・電話番号・会員番号
• ジョーシンのサブスク：最大約23万件。会員番号・電話番号と手書きのサイン（データ）・ログインIDと初期パスワード・請求の履歴・契約番号とデバイスID・有効化コード
• リフォームの写真のアップロードの仕組み：最大約800件。免許証の画像2件・マイナンバーカード1件・口座番号5件と、施工中の工事の写真。免許証などの対象の人には個別に連絡しているとしています
• クレジットカードの情報：決済の情報を持たない形にしており、カードの情報は保持していないとしています
• 発覚と初めの対応：10月16日にネットワークの異常を検知し、不正アクセスの形跡を確認。形跡のあるサーバーをネットワークから切り離し、外部の専門機関に詳しい調査を頼んだとしています。この措置で一部のサービスが使えなくなっているとしています
• 届け出：個人情報保護委員会と警察に相談・報告したとしています
• 侵入の経路・原因・攻撃の種類・止まっているサービスの名前と再開の時期：公表されていません

経緯

• 2026年10月16日：ネットワークの異常を検知し、不正アクセスを認識。外部からのアクセスを制限
• 2026年10月17日：会社のサイトで不正アクセスによるシステム障害を公表。個人情報が漏えいした可能性も否定できないとして、個人情報保護委員会へ第一報
• 2026年10月19日：同じ内容を東京証券取引所に適時開示
• 2026年10月26日：第2報。3つのシステムで漏えいしたおそれのある件数と情報の種類を公表。問い合わせの電話窓口も設けた

中小企業が今日からできること

• 本人確認の書類の画像を残しっぱなしにしない：免許証やマイナンバーカードの写真を受け取る仕組み（写真のアップロード・メール・チャット）を洗い出し、確認が済んだら消す決まりを作る
• 初期パスワードを変えてもらう：客に配るログインIDと初期パスワードを、初めてのログインで必ず変える設定にする。初期パスワードの一覧を社内に残さない
• 異常に気づいたら切り離す手順を決めておく：どのサーバー・どのパソコンを、だれの判断でネットワークから外すかを決め、止まる業務と客への知らせ方も書いておく
• カードの情報を自社で持たない形を保つ：決済代行会社に預ける形になっているか、ECサイトや会員の仕組みの制作会社に確かめる
• 会社を名乗る連絡に注意する：会員番号や電話番号を書いた、それらしいメール・SMS・電話が来るおそれがある。リンクを開かず公式サイトで確かめるよう社内に伝える