ノジマオンライン会員管理システムへの不正アクセス（約700万件の個人情報漏えい）
公表日
家電量販店のノジマは2026年11月2日、ECサイトの会員管理システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、登録会員情報約700万件が外部に漏えいしたと公表しました。
対象者は？
「ノジマオンライン」または「中古スマホ買取サイト」に登録していた会員約700万件（退会者を除く）。漏えいしたのは氏名、生年月日、性別、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスです。クレジットカード情報や、買取時の本人確認書類・振込先口座は含まれていません。
過去に「ノジマオンライン」または「中古スマホ買取サイト」で会員登録を行ったことがあるか確認し、ノジマからの公式発表や今後の連絡を確認してください。
いますぐできること
- ノジマオンライン等で登録していたパスワードと同じものを他のWebサイトやアプリでも使い回している場合は、悪用を防ぐため他社サービスのパスワードを速やかに変更する。
- ノジマや配送業者などを装った不審なメール、SMS、電話に注意し、身に覚えのないリンクや添付ファイルを開かないよう警戒する。
何が起きたのか
2026年11月1日、ノジマは通販サイト「ノジマオンライン」の会員管理システムに対する不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を検知しました。同日の調査で、「ノジマオンライン」と「中古スマホ買取サイト」から約700万件の個人情報が外部へ漏えいしたことを確認しました。同社は被害拡大を防ぐため外部からのアクセスを遮断し、対象2サイトのサービスを一時休止した上で、翌11月2日に公表と警察への相談を行いました。
なぜ起きたのか・なぜ広がったのか
第三者による会員管理システムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が原因ですが、どのような経路で侵入されたのか、システムの弱点が突かれたのかなどの具体的な原因は公表時点で調査中とされています。
いまの状況2026-11-02 時点続報待ち
被害拡大を防ぐため「ノジマオンライン」と「中古スマホ買取サイト」のサービスは一時休止されており、安全性が確認でき次第再開される予定です。不正利用や二次被害の発生状況、侵入原因の詳しい調査が進められています。
企業として考えたいこと
自社の会員管理システムからIDや暗号化パスワードが流出した場合を想定し、他サービスへの使い回し被害の警告や、迅速なサイト一時停止手順が準備されていますか？
技術的な要約
株式会社ノジマは2026年11月2日、運営するECサイトの会員管理システムが第三者による不正アクセスを受け、登録会員情報約700万件が外部に漏えいしたと公表した。2026年11月1日に不正アクセスを検知し、同日中に「ノジマオンライン」および「中古スマホ買取サイト」からの個人情報漏えいを確認した。漏えいした情報には氏名、生年月日、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスが含まれるが、クレジットカード情報は自社で保持していないため含まれていない。同社は外部アクセスの遮断や対象2サイトのサービス一時休止を実施し、所轄警察署への相談および個人情報保護委員会への報告準備を進めている。侵入経路や原因、攻撃者、不正利用の発生状況については公表時点で調査中としている。
攻撃の分類
- 侵入口
- 不明会員管理システムへの具体的な侵入経路や使用された脆弱性、侵害された認証情報は特定されておらず、公表時点で調査・分析中とされている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 被害拡大防止のため、「ノジマオンライン」および「中古スマホ買取サイト」の2サイトのサービスを一時休止。
- データ
- 確定上限 7,000,000確定 7,000,000件氏名生年月日性別住所電話番号会員IDハッシュ化PWメールその他退会者を除く登録会員情報約700万件（報道では約700万人分とも表現）。漏えい項目は氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスの9項目。クレジットカード情報は非保持化のため対象外。本人確認書類や振込先口座、要配慮個人情報も含まれていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-11-01
- 2026-11-01
- 2026-11-01
- 2026-11-01
- 2026-11-02
- 2026-11-02
- 2026-11-02
- 2026-11-02
技術解説
検知からサービス休止および公表までの経緯 事実
株式会社ノジマは2026年11月1日、「ノジマオンライン」の会員管理システムに対する第三者からの不正アクセスを検知・確認した。同日中に実施された社内調査において、「ノジマオンライン」および「中古スマホ買取サイト」の登録会員情報が外部に漏えいしたことが確認された。同社は被害拡大を防ぐため、外部アクセスの遮断を含むセキュリティ対策を実施するとともに、対象となった2サイトのサービスを一時休止する措置をとった。翌11月2日には約700万件（退会者を除く）の個人情報漏えいを公式に発表し、所轄警察署への相談および個人情報保護委員会への報告準備を進めていることを明らかにした。漏えいした項目には氏名、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスが含まれている。
決済情報非保持化による被害限定と認証情報漏えいのリスク 解釈
本事案では約700万件という大規模な個人情報が漏えいしたものの、対象2サイトが決済情報の非保持化に対応していたため、クレジットカード情報の流出は免れた。EC事業において自社環境にカード情報を保持しない仕組みが、直接的な金銭詐取リスクを限定させる防壁として機能した好例といえる。一方で、ログインIDやメールアドレスに加え、暗号化されたパスワードが流出した点は懸念材料である。公表時点でパスワードの暗号化方式（ハッシュ化アルゴリズムやソルト・ストレッチングの適用有無）は開示されておらず、十分な強度で保護されていない場合はオフライン解析によって平文が解読される恐れがある。同一のID・パスワードを他社サービスでも使い回している利用者に対するアカウントリスト攻撃や、漏えいした連絡先情報を利用した標的型フィッシング詐欺への警戒が必要となる。
共通管理基盤における侵害拡大と原因究明の課題 解釈
「ノジマオンライン」の会員管理システムに対する不正アクセスから、同サイトだけでなく「中古スマホ買取サイト」の会員情報漏えいも同日に確認されたことから、両サイトが共通のバックエンド管理基盤やデータベースを利用していた構造がうかがえる。共通化によって運用効率が高まる反面、基盤のどこか1カ所に侵入を許すと紐づく複数サービス全体のデータへ波及するリスクが顕在化した。公表時点では具体的な侵入経路、悪用された脆弱性、侵害された認証情報の有無、攻撃者の侵入期間などは調査中とされている。外部公開Webアプリケーションの脆弱性、管理用ネットワークやAPIの認可不備、あるいは管理権限の奪取など、どの経路で大量データへのアクセスが成立したのかの全容解明が今後の再発防止において極めて重要となる。
対応
- 封じ込め
- 外部アクセスの遮断を含むセキュリティ対策を講じ、監視体制を強化した。また、被害拡大防止のため「ノジマオンライン」および「中古スマホ買取サイト」の2サイトのサービスを一時休止した。
- 公表の仕方
- 2026年11月2日に公式ウェブサイトやSNS等で個人情報の漏えいを発表し、登録会員に対して不審なメールや連絡への注意を呼びかけた。
- 当局対応
- 所轄警察署
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 決済情報の非保持化による機微データ漏えいリスクの最小化 | ECサイト等においてトークン決済や外部リンク型決済を徹底し、自社のサーバやデータベース内にクレジットカード情報を一切保持・処理・通過させないアーキテクチャを維持する。 |
| データベース漏えいを想定した強固なパスワードハッシュ化の適用 | 会員パスワードの保存には単純なハッシュ関数（MD5、SHA-1、単体SHA-256等）を避け、ソルトとストレッチングを伴うArgon2id、bcrypt、PBKDF2などの耐性の高いアルゴリズムを採用し、オフライン総当たり解析を困難にする。 |
| 複数サービスで共有される会員基盤に対する権限分離とアクセス監視 | 共通の会員管理システムを参照するサービス間でもAPIキーやアクセス権限をサービス単位で最小化し、短時間に大量の会員レコードを出力・ダンプするような異常クエリを即座に検知・遮断する仕組みを導入する。 |
| 不正アクセス検知からサービス停止・遮断に至る迅速なインシデント初動体制 | 侵害が疑われる事態を検知した際、外部通信の遮断や対象Webサービスのメンテナンスモードへの切り替えを迷わず実行できるよう、判断基準と技術的遮断手順をあらかじめプレイブック化しておく。 |
自組織などでの確認項目
- 自社のECサイトやWebサービスで管理しているパスワードは、Argon2やbcryptなどの十分な強度を持つハッシュ化方式で保存されているか。
- 複数のWebサイトやブランドで共通の会員データベースを利用している場合、1つのサイトの脆弱性から全会員データが窃取されないようなネットワーク分離や権限分離がなされているか。
- 会員管理システムやデータベースから短時間に大量のデータが抽出された際、それを検知して自動遮断または管理者に即時通報する仕組みが稼働しているか。
未解明点
- 会員管理システムへの具体的な侵入経路（公開サーバの脆弱性悪用、管理用認証情報の侵害、Webアプリケーションの欠陥など）および侵入の開始日時。
- 漏えいした「暗号化されたパスワード」の暗号化・ハッシュ化アルゴリズムや実装詳細、および第三者による解読リスクの評価結果。
出典
- 1IncidentLog2026-11-03研究者本文確認済
- 2Innovatopia2026-11-03報道本文確認済
- 3MediaDogs2026-11-02報道本文確認済
- 4久兵衛の暮らしのニュース2026-11-03報道本文確認済
- 5NHK2026-11-02報道本文確認済
- 6セキュリティ対策Lab2026-11-02報道本文確認済
- 7HNN_Online2026-11-02報道本文確認済
- 8本家いなてい2026-11-03報道本文確認済
- 9株式会社ノジマ2026-11-02公式本文確認済