ブックオフの不正アクセス 第3報｜原因はアクセス制御の不備と特定

ブックオフグループホールディングス（東証プライム）は2026年11月6日、子会社ブックオフコーポレーションの会員管理システムへの不正アクセスについて、調査の結果と再発防止策をまとめた第3報を公表しました（ブックオフグループホールディングスの適時開示）。 外部の専門家と調べた結果、会員情報を扱うシステムの一部の機能にあったアクセス制御の問題を第三者に悪用され、会員情報が取られたと分かったとしています。 対象は第2報から変わらず6,383,279人（会員番号ベースで6,427,735件）です。BOOKOFF のアプリ・オンラインストア・Web の会員に関係します。

公表された内容

• 原因：会員情報を扱うシステムの一部の機能で、アクセス制御に問題があり、そこを第三者に悪用された。不正アクセスの経路と原因を特定したとしています（2026年11月6日の発表）
• 公表しないこと：具体的なシステムの構成・セキュリティ製品・設定の中身は、次の不正アクセスに悪用されるおそれがあるとして公表を控えるとしています
• 影響の範囲：対象のサービス・人数・情報の種類は、10月16日に訂正した第2報から変わっていません。情報は氏名・生年月日・性別・職業・ニックネーム・メールアドレス・電話番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号。カード情報などの決済の情報と銀行口座の情報は含まれないとしています
• 悪用：11月6日の時点で、情報の公開・ポイントの不正利用・会員情報の書き換えは確認されていないとしています。本件でポイントが不正に使われたと確かめられた場合は、全額を補うとしています
• 届け出：個人情報保護委員会へは速報を出しており、12月初めに確報を出す予定。警察の捜査にも協力するとしています
• 業績：費用は2027年5月期の第2四半期以降に計上する見込みで、売上と費用への影響は限られるとして、業績予想は変えないとしています

再発防止策（11月6日の発表）

• 実施済み：使われた経路の遮断と、外から使えるシステム・機能の点検、公開範囲の見直し、アクセス制御の強化。システムの認証・認可と通信の制御の見直し。アクセスの監視の強化
• 実施中：外部の専門家によるシステム全体の脆弱性への対応と安全性の確認、第三者の評価を含む検証の体制づくり。インターネットから使えるシステムと外部との接続機能を中心にしたグループのシステムの点検。監視・報告・初動対応の手順の見直し
• 今後：常時の監視・検知の強化。企画・設計・開発・運用の各段階のセキュリティ基準を見直し、外部との接続機能の認証・認可とアクセス制御を確かめ、脆弱性診断と第三者の評価を続ける仕組みを作る。グループ全体のセキュリティの管理の体制を強める

経緯

• 2026年10月4日〜6日：会員管理システムから会員情報が外に送られる
• 2026年10月6日：不正アクセスを確認し、攻撃元からの通信と経路を遮断
• 2026年10月9日：第1報。漏えいの可能性があるのは最大約643万件と公表
• 2026年10月13日：第2報。対象は6,383,279人と確定（10月16日に漏えいした項目の一部を訂正）
• 2026年10月15日〜22日：対象の会員へ個別のメールを送る
• 2026年10月22日・23日：専用フリーダイヤルと、対象かを確かめられる Web 照会の機能を設ける
• 2026年10月26日〜29日：公式アプリのお知らせで、対象の会員へ個別に案内
• 2026年11月6日：第3報。原因をシステムの一部機能のアクセス制御の問題と特定し、再発防止策を公表

中小企業が今日からできること

• 外から使える機能を洗い出す：自社のサイトや会員ページ、外部と連携する機能（API など）の一覧を作り、使っていないものは止める
• 「ログインしていれば見える」範囲を確かめる：会員が自分以外の会員の情報を見られないか、管理用の機能に一般の利用者が届かないかを、システムの会社に確かめてもらう
• 脆弱性診断を定期的に受ける：会員情報を扱うサイトは、作ったときだけでなく、機能を足したときと年に1回は診断を受ける
• 大量の持ち出しに気づける監視を置く：短い時間に多くの会員データが外へ出たら知らせが届くよう、記録と通知の設定を確かめる
• ブックオフを名乗る連絡に注意する：社員がブックオフの会員なら、パスワードの変更と、同じパスワードを使うほかのサービスの変更を呼びかける