ブックオフの会員管理システムへの不正アクセス
- タグ
- 国内
ブックオフグループホールディングスの第2報では、子会社の会員管理システムが第三者による不正アクセスを受け、会員番号ベースで6,427,735件〔注1〕、6,383,279人分の会員情報が外部に漏えいした［2］。漏えいした会員情報の外部への公開、ポイントの不正利用、会員情報の書き換えは、第2報でいずれも確認されていないと説明した［2］。
経緯
第2報で不正アクセスを受けたと説明したのは、連結子会社のブックオフコーポレーションが提供する、国内のブックオフ事業の会員情報を管理するシステムである［2］。このシステムが会員情報を管理するのは、BOOKOFF SUPER BAZAAR・BOOKOFF PLUS・BOOKOFF・BOOKOFF公式オンラインストア・あそビバ・BOOKOFF FASHION・BINGO・「B・SPORTS」・「B・STYLE」・Rehello by BOOKOFF（店舗）だ［2］。hugall・aidect・Rehello by BOOKOFF（ECサイト）・Japan TCG Center・ブクログ・青山ブックセンター・ブックオフおかたづけサービスは別のシステムで管理しており、対象の範囲外とした［2］。
ブックオフコーポレーションは1991年8月に設立された［5］。ブックオフグループホールディングスは2018年10月、ブックオフコーポレーションを完全子会社とする単独株式移転で純粋持株会社として設立された［5］。
時系列
影響範囲
訂正後の第2報によると、漏えいの対象は、アプリ会員・オンラインストア会員・Web会員のいずれかに登録した情報である［3］。パスワードのハッシュ値は一定の方式で変換した情報で、そのままでは元のパスワードを読み取れないと説明した［2］。訂正は項目を足しただけで、会員データ数と人数は変わっていない［3］。
人数の内訳は有効会員6,170,908人、退会会員212,371人だった［2］。会員データ数は、会員情報が外部に送信されたことをシステムの記録で確かめた会員番号の件数で、人数は同じメールアドレスで登録した複数の会員データを1人として数えた［2］。会員カードだけを使い、アプリやウェブで登録していない客は対象に含まれない［2］。
| 情報 | 対象／対象外 | 説明 | 資料 |
|---|---|---|---|
| 氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、会員情報として登録された郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号 | 対象 | - | ［3］ |
| クレジットカード情報等の決済情報、銀行口座情報 | 対象外 | 会員管理システムで管理していない | ［2］ |
| 店頭買取時に入力した住所と、免許証等の本人確認書類の読み取りによる文字情報 | 対象外 | 文字情報は会員管理システムで管理していない。本人確認書類の画像は保存・保管していない | ［2、4］ |
| 宅配買取時に提出した本人確認書類の画像と、会員登録住所とは別に指定した集荷先住所 | 対象外 | 画像は会員管理システムとは別のシステムで管理している | ［2］ |
| 商品注文時に会員登録住所とは別に指定した配送先情報（氏名、住所、電話番号等） | 対象外 | - | ［2］ |
対応と現状
第1報では、不正アクセスの確認後に攻撃元からの通信を遮断し、脆弱性を是正し、対象システムへの外部からのアクセスを遮断する措置を講じたと説明した［1］。第2報では、攻撃元からの通信と不正アクセスに利用された経路を遮断し、アクセス制御や監視を強化した［2］。判明している不正取得の経路は封じ込めを終え、新たな会員情報の不正取得は確認されていない［2］。
ブックオフグループホールディングスは、外部の専門家の協力を得て原因を調べ、グループの全システムと全環境の緊急総点検を進めている［2］。個人情報保護委員会に報告し、警察にも相談した［2］。グループの店舗、公式オンラインストア、アプリなどの各サービスは通常どおり使える［2］。
第2報は、対象の会員に2026年10月15日から、登録されたメールアドレス宛てに「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」の件名で順次連絡するとした［2］。登録メールアドレスの変更などでメールが届かない会員には、第2報のお知らせをもって個別の連絡に代える［2］。個別連絡でパスワード、クレジットカード情報、銀行口座情報等の入力や返信を求めることはなく、案内メールにパスワード変更画面へのリンクも載せない［2］。対象の会員には、公式オンラインストアと公式アプリのパスワードの変更と、同じか似たパスワードを使う他のサービスでのパスワードの変更を求めた［2］。
業績について第2報は、第1四半期連結会計期間の末日の後に起きた事象のため、第1四半期の業績への影響は無いと説明した［2］。2027年5月期の連結業績予想には影響を織り込んでいない［2］。
未公表の事項
注
- 〔注1〕第1報は件数を「最大 約643万件」とし、漏洩した可能性のある会員番号の件数で、実際の人数ではないと説明した［1］。
出典
当事者
- ［1］ブックオフグループホールディングス株式会社『不正アクセスによる個人情報漏えいに関するお詫びとお知らせ』（2026年10月9日公開）
- ［2］ブックオフグループホールディングス株式会社『不正アクセスによる個人情報漏えいに関するお詫びとお知らせ(第 2 報)』（2026年10月13日公開）
- ［3］ブックオフグループホールディングス株式会社『（訂正）不正アクセスによる個人情報漏えいに関するお詫びとお知らせ(第 2 報) の一部訂正について』（2026年10月16日公開）
- ［4］ブックオフグループホールディングス株式会社『不正アクセスによる個人情報の漏えいについて』（2026年10月9日公開）
背景資料
- ［5］ブックオフグループホールディングス株式会社『BOOKOFF GROUP HOLDINGS 企業概要 - BOOKOFF GROUP HOLDINGS』（公開日不明、2026年11月4日閲覧）
更新記録
- 2026年10月12日：公開した。
- 2026年10月16日：ブックオフの10月16日の公表を加えた。