ブックオフの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月6日、ブックオフグループホールディングスは、子会社ブックオフコーポレーションの会員管理システムへの第三者の不正アクセスを確認しました。10月4日から6日にかけて会員情報が外から取られたとしています（ブックオフグループホールディングスの2026年10月13日の発表）。 10月9日の第1報では最大約643万件としていましたが、10月13日の第2報で、対象は6,383,279人（会員番号ベースで6,427,735件、うち退会した会員212,371人）と確定しました。 漏えいした情報は、氏名・生年月日・性別・職業・ニックネーム・メールアドレス・電話番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号です（10月16日の訂正で職業とニックネームを追加）。カード情報や銀行口座の情報、本人確認書類の画像は含まれないとしています。 原因と侵入経路の詳細は、次の攻撃を招くおそれがあるとして公表されていません。

会社の対応

• 攻撃元からの通信と不正アクセスの経路を遮断し、アクセス制御と監視を強めたとしています
• 外部の専門家と原因を調べ、グループの全システムと全環境の緊急の総点検を行っているとしています
• 個人情報保護委員会に報告し、警察に相談
• 2026年10月15日から対象の会員へ個別のメールを送り、10月22日に送れるアドレスへの送信を終えたとしています
• 2026年10月22日に専用フリーダイヤルを開設し、10月23日には会員サイトに、対象かを確かめられる Web 照会の機能を追加
• 会員にパスワードの変更と、同じパスワードを使うほかのサービスの変更を呼びかけています。案内のメールにパスワード変更画面へのリンクは載せないとしています

この事例から中小企業が学べること

• 会員データの大量の持ち出しに気づける監視と知らせの仕組みを置く
• 使っていない登録項目は集めない。退会した会員のデータの残す期間を決める
• 対象の人が自分で確かめられる窓口（照会の機能・電話）を用意すると、問い合わせの集中を和らげられる
• 案内のメールにリンクを載せない決まりを先に作り、なりすましのメールと区別しやすくする