ブックオフグループの子会社会員管理システムへの不正アクセス（最大約643万件の会員情報、ハッシュ化パスワードを含む）
公表日
ブックオフグループの子会社が使う会員管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、最大約643万件の会員情報が外部から取得されたおそれがあります。
対象者は？
ブックオフグループの子会社の会員管理システムに登録されている会員です。件数は会員番号の数で、人数ではありません。氏名・生年月日・性別・メールアドレス・電話番号・住所・パスワード（元に戻しにくい形に変換した値）・ポイントカード番号・会員番号が対象です。クレジットカードなどの決済情報はこのシステムに保存されておらず、対象外とされています。
対象の方には、調査結果に応じて会社から順次個別に連絡するとされています。問い合わせ窓口は公式のお知らせに載っています。
いますぐできること
- ブックオフと同じパスワードを他のサービスでも使っていれば、そちらのパスワードを変更する
- ブックオフや関係先を名乗るメール・SMS・電話のリンクや依頼には応じず、公式アプリや公式サイトから確認する
何が起きたのか
2026年10月6日、ブックオフグループの子会社が運用する会員管理システムへの、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が確認されました。調査の結果、会員情報が外部から取得されたことが分かりました。会社は攻撃元からの通信を遮断し、システムの弱点を直し、このシステムへの外部からのアクセスを止めました。10月9日に、最大約643万件の会員情報が漏えいしたおそれがあると公表しました。
なぜ起きたのか・なぜ広がったのか
どこから、どのように侵入されたかは、まだ公表されていません。会社は「脆弱性（システムの弱点）を是正した」と説明していますが、その種類や侵入が始まった時期は明らかにされていません。
いまの状況2026-10-09 時点続報待ち
10月9日の時点で、取得された情報が公開・悪用されたり、書き換えられたりしたことは確認されていないとしています。会社はすべてのシステムの緊急点検と再発防止策を進めており、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。も進めています。被害を受けた子会社の名前、侵入の経路、実際の人数はまだ発表されていません。
企業として考えたいこと
自社の会員情報のシステムに、外から入れる入口がいくつあり、それぞれ誰が管理しているでしょうか。子会社のシステムも含めて把握できているかを確認しましょう。
技術的な要約
ブックオフグループホールディングスは2026年10月9日、子会社の会員管理システムが第三者から不正アクセスを受け、会員情報が外部から取得されたことが判明したと公表した。不正アクセスの確認は10月6日で、漏えいの可能性があるのは最大約643万件（会員番号ベースで、人数ではない）の氏名・生年月日・性別・メールアドレス・電話番号・郵便番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号である。当該システムはクレジットカード等の決済情報を保有しておらず対象外とされた。同社は攻撃元との通信遮断、脆弱性の是正、対象システムへの外部アクセス遮断を行い、全システムの緊急総点検を進めている。侵入経路・脆弱性の種類・侵入時期・ハッシュ方式は公表されておらず、10月9日時点で情報の公開・悪用・書き換えは確認されていないとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式（報道経由で確認）は「第三者による不正アクセス」とし、対応として「攻撃元からの通信を遮断し、脆弱性を是正した」「対象システムへの外部アクセスを遮断した」と説明しており、外部から到達可能な会員管理システム（またはその周辺）の何らかの脆弱性が関与したことは示唆される。ただし脆弱性の種類（Webアプリの不具合か製品・OSSの既知脆弱性か、認可不備か）、悪用された面（Web画面、API、管理画面）、侵入開始時期は公表されていない。報道各社（ITmedia、INTERNET Watch、セキュリティ対策Lab）も具体的な侵入経路を報じていない。
- 脆弱性
- CVE 非公表公表で確認子会社の会員管理システム（製品名・自社開発か否か非公表）公式は「脆弱性を是正した」とのみ説明（報道経由で確認）。脆弱性の種類・CVE・製品名は2026-10-10時点で非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 対象システムへの外部アクセスを遮断したと公表されているが、会員向けサービス（アプリ・ポイント等）の停止の有無や範囲は確認できた資料に記載がない。
- データ
- おそれ上限 6,430,000確定 —件氏名生年月日性別メール電話住所ハッシュ化PW会員IDその他（ポイントカード番号、郵便番号）公式表記「最大約643万件」を6,430,000として記載。件数は会員番号の件数であり人数ではない（1人が複数の会員番号を持ちうる）。会員情報が外部から取得されたこと自体は判明しているが、取得された範囲は最大値として示されており、流出確定件数は非公表のため records_confirmed は null、certainty は「おそれ」とした。パスワードはハッシュ値だが、アルゴリズム・ソルト有無は非公表。決済情報（クレジットカード等）は当該システムに保有がなく対象外。10/9時点で情報の公開・悪用・書き換えは確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 被害システムはグループ子会社の会員管理システムで、委託先経由の侵害や他組織への波及は公表されていない。なお同社は2026年4月・5月に『外部委託先におけるランサムウェア感染』を別途公表しているが、本件との関連は示されていない。
時系列
技術解説
公表内容の範囲：分かっていることと分かっていないこと 事実
10/9の第1報で示されたのは、(1) 10/6に子会社の会員管理システムへの不正アクセスを確認、(2) 調査で会員情報の外部取得が判明、(3) 最大約643万件（会員番号ベース）、(4) 9項目のデータ種別、(5) 決済情報は非保有、(6) 通信遮断・脆弱性是正・外部アクセス遮断・全システム緊急総点検、の6点である。一方、子会社名・システム名・対象サービス（アプリ会員、ネット会員、店舗ポイント会員のどれか）、侵入開始時期、悪用された脆弱性の種類、ハッシュ方式、検知の契機（社内監視か外部通報か）は示されていない。エンジニアが自社と比較するための技術情報はほぼ無く、侵入から検知までの滞留時間も評価できない。
『件数』と『人数』、そして暗号化と書かれないハッシュ 解釈
公式は643万件が会員番号の件数で人数ではないと明記している。1人がアプリ・店頭ポイントカード・オンラインで複数の会員番号を持つ、あるいは退会・再登録で番号が増える構造であれば、実人数はこれより少ない。ポイントカード番号が漏えい項目に入っていることから、店舗のポイントカードとオンライン会員が同じ会員管理システムで紐付けられていたと読める（推測）。パスワードは『ハッシュ値』とされるがアルゴリズム・ソルト有無は示されておらず、セキュリティ対策Labやウェステリアの解説も方式不明と指摘している。ウェステリアは同社が会員にパスワード変更を求めていない点にも触れており、MD5/SHA-1の無塩ハッシュであれば短期間で大量に解析されうるため、方式の開示か予防的リセットの要否が利用者の判断材料として欠けている。
同時期の大量漏えい公表との関係 事実
本件は、JPCERT/CCが10/8に相次ぐ国内組織の不正アクセスについて注意喚起（JPCERT-AT-2026-0030：既知脆弱性・設定不備の悪用、API経由の不正操作、MetabaseのSQLインジェクション、Webシェル設置の4類型）を出した翌日、国家サイバー統括室が大量の個人情報を扱う事業者に対策強化を要請したのと同じ10/9に公表された。セキュリティ対策Labは9〜10月に会員システムへの不正アクセスが相次いでいることとJPCERT/CCの注意喚起を背景として紹介しつつ、それらの手法が本件で使われたとは確認されていないと明記している。日本経済新聞は本件をJR東日本『えきねっと』と並べて報じた（見出しのみ確認）。JPCERT/CC・国家サイバー統括室の文書はいずれも個社名を挙げておらず、本件との関係は公式には示されていない。
『脆弱性を是正』と『外部アクセス遮断』から読めること（推測） 解釈
公式は通信遮断と脆弱性是正に加え、対象システムへの外部アクセス自体を遮断したと説明している。これは会員管理システム（またはその管理機能・API）がインターネットから直接到達可能だったことを示唆する。会員管理はアプリやWebのログインのために外部から呼ばれるが、通常は全件参照できる管理機能やデータ出力機能を外部に公開する必要はない。JPCERT/CCが推奨対策に挙げる『業務上不要な管理機能などがインターネットに公開されている場合は公開を停止する』と符合する対応であり、公開範囲の設計に問題があった可能性がある。また全システムの緊急総点検を表明したことは、同様の脆弱性が他システムにも存在しうると同社が考えていることを示す。いずれも推測であり、公表資料は侵入経路を特定していない。
対応
- 封じ込め
- 攻撃元からの通信を遮断し脆弱性を是正、対象システムへの外部アクセスを遮断し監視を継続。全システムを対象とする緊急総点検を実施し、追加の安全対策と恒久的な再発防止策を進めると表明。外部専門機関の関与は確認できた資料では明記されていない。
- 公表の仕方
- 10/9にTDnetで第1報を開示し、ブックオフ公式サイトのお知らせにも掲載（本文は画像形式）。件数は会員番号ベースの最大値と明記。対象者には調査結果に応じて順次個別連絡するとし、同社や関係先を装った詐欺的なメール・SMS・電話への注意を呼びかけ。問い合わせ窓口（フォームと電話0570-01-2902、10時〜18時30分、ウェステリアの整理による）を設置。子会社名・侵入経路・ハッシュ方式は非公表。
- 当局対応
- 個人情報保護委員会：報告を含む対応を進めていると説明（報告日は非公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 会員管理システムへの外部からのアクセスを『遮断』できた＝外部から到達可能だった | 会員DBと管理機能はインターネットから直接到達できないセグメントに置き、アプリ・Webからはログイン可否や本人分の参照に限定したAPIのみを公開。管理画面はVPN/ZTNA＋MFA＋接続元制限とし、外部公開資産を定期的にASMで棚卸しする |
| 1システムの侵害で643万件の会員情報が一括取得された | DBアクティビティ監視で1セッション・1アカウントあたりの取得件数上限と大量SELECT/エクスポートのアラートを設定し、アプリ用DBユーザーには全件取得できるクエリを許さない（行単位アクセス制御、ストアドプロシージャ経由に限定） |
| パスワードのハッシュ方式が示されず、利用者がリスクを判断できない | Argon2id/bcrypt等のソルト付き低速ハッシュで保存し、旧方式のハッシュは次回ログイン時に再ハッシュして移行。漏えい時は方式を公表し、旧方式が残る場合は予防的にパスワードをリセットする |
| 会員番号ベースで件数が膨らみ、退会者・重複アカウントも対象になりうる | 退会・長期未利用の会員データに保存期限を設けて削除または匿名化し、同一人物の複数会員番号を名寄せして保有データを最小化する |
| 侵入時期・検知契機が公表されず、滞留時間が評価できない | 会員管理システムのアクセスログ・DB監査ログを最低1年保存し改ざん不可領域へ転送。検知契機と侵入開始時期を初報または続報で示せるよう、ログ保全をインシデント初動手順の最初に置く |
自組織などでの確認項目
- あなたの会員管理システムのうち、インターネットから到達できる画面・APIはどれか。それらから会員DBの全件を取得する経路は存在しないと言い切れるか。
- 保存しているパスワードハッシュの方式を即答できるか。漏えい時に利用者へ『変更不要』と言える根拠はあるか。
- 店舗ポイントカード・アプリ・EC会員を一つのDBに統合していることのメリットと、漏えい時に件数が膨らむリスクをどう比較するか。
- 同業他社の大量漏えいとJPCERT/CCの注意喚起が出た週に、自社で何を点検するか。点検結果を経営層にどう報告するか。
未解明点
- 被害を受けた子会社名・会員管理システム名・対象サービス（アプリ、オンライン、店舗ポイント）
- 悪用された脆弱性の種類・製品名・CVE、侵入経路（Web、API、管理画面）と侵入開始時期
- 検知の契機（社内監視か外部通報か）と、10/6の確認から外部取得判明までの経緯
- パスワードのハッシュアルゴリズムとソルトの有無、パスワードリセットの要否判断
- 実人数（会員番号の名寄せ後）と流出確定件数、攻撃者の正体・目的
- 外部専門機関の関与、警察への相談、業績への影響、2026年4〜5月の外部委託先ランサムウェア事案との関連の有無
出典
- 1ブックオフグループホールディングス2026-10-09公式未確認
- 2BOOKOFF公式サイト2026-10-09公式未確認
- 3ブックオフグループホールディングス2026-10-10公式本文確認済
- 4ITmedia NEWS2026-10-09報道本文確認済
- 5INTERNET Watch2026-10-09報道本文確認済
- 6セキュリティ対策Lab（Rocket Boys）2026-10-09報道本文確認済
- 7株式会社ウェステリア2026-10-09報道本文確認済
- 8日本経済新聞2026-10-09報道未確認
- 9共同通信（Yahoo!ニュース）2026-10-09報道未確認
- 10JPCERT/CC2026-10-08研究者本文確認済
- 11内閣官房 国家サイバー統括室2026-10-09当局本文確認済