Joshin（ジョーシン）の不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月17日、Joshinは、2026年10月16日に自社のネットワークへの第三者の不正アクセスを認識し、外部からのアクセスを制限した結果、一部のサービスを提供できない状態になっていると公表しました（Joshinの発表。10月19日に同じ内容を適時開示）。 2026年10月26日の第2報では、漏えいしたおそれのある情報として、会員情報のデータベースサーバーの最大約600万件（氏名・住所・電話番号・会員番号）、「ジョーシンのサブスク」の最大約23万件（会員番号・電話番号と手書きのサイン・ログインIDと初期パスワード・請求の履歴など）、リフォームの写真のアップロードの仕組みの最大約800件（免許証の画像2件・マイナンバーカード1件・口座番号5件と工事の写真）を公表しました。件数は漏えいが確定した数ではないとしています。 クレジットカードの情報は保持していないとしています。侵入の経路・原因は公表されていません。

会社の対応

• 不正アクセスの形跡があるサーバーをネットワークから切り離し、外部の専門機関に詳しい調査を依頼
• 個人情報保護委員会と警察に相談・報告
• 免許証などの画像が対象になった人には個別に連絡
• 客向けの問い合わせの窓口（電話・メール）を設置
• 会社を装った不審なメール・SMS・電話への注意を呼びかけ
• 調査を続け、再発防止と止まっているサービスの再開を進めるとしています

この事例から中小企業が学べること

• 免許証やマイナンバーカードなど本人確認の書類の画像は、確認が済んだら消す
• 客に配る初期パスワードは、初めてのログインで必ず変えてもらう
• 異常に気づいたときに、どの機器をだれの判断で切り離すかを先に決めておく
• カードの情報を自社で持たない形（決済代行会社に預ける形）を保つ
• 漏えいのあとに増える、会社を名乗る詐欺の連絡への注意を、社内と客に知らせる手順を決めておく