ステップゴルフの業務・予約システムへの不正アクセス（会員情報等最大21.5万件漏えい懸念）
公表日
ゴルフスクール運営のステップゴルフで業務システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、会員らの顔写真や銀行口座情報など最大約21.5万件（個人情報は約11.4万件）が漏えいした可能性が判明しました。
対象者は？
2026年10月23日までにシステムに登録された無料体験申込者、現在および過去の会員。漏えいした可能性があるデータには氏名、住所、生年月日、電話番号、メールアドレス、銀行口座情報（約1.2万件）、顔写真（約10.7万件）、レッスンカルテ等が含まれます（クレジットカード情報および本人確認書類は含まれません）。
ステップゴルフの専用メール窓口（support@cs.stepgolf.co.jp）にお問い合わせください（電話窓口は開設準備中と案内されています）。
いますぐできること
- ステップゴルフから送信される案内を装った不審なメールや連絡（フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺など）に注意し、記載されたURLを不用意に開かないようにしてください。
- 登録していた銀行口座の明細に不審な出金や身に覚えのない引き落としがないか定期的に確認してください。
何が起きたのか
2026年11月5日にシステム内の異常な処理を検知して調査したところ、外部の第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受けていたことが判明しました。過去の記録を確認したところ、10月23日と25日にも不正アクセスが行われており、個人情報を含むデータベースのバックアップファイルなどが外部に漏えいした可能性が極めて高いことが確認されました。
なぜ起きたのか・なぜ広がったのか
具体的な侵入の手法についてはまだ発表されていません。ただし、保管されていた銀行口座情報が暗号化されていなかったことや、退会者のデータを含むデータベース全体のバックアップファイルが影響を受けたことが被害を広げた要因とされています。
いまの状況2026-11-11 時点続報待ち
アクセス元の遮断や認証情報の変更、不審なプログラムの無効化といった緊急対策が実施されました。なお、予約やレッスンのサービスは通常どおり継続して提供されています。警察や個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。が行われ、外部専門機関による調査が進められています。
企業として考えたいこと
自社で保管している顧客データの中に、暗号化されないまま残されている口座情報や、退会後も消去されずに残っている個人情報はありませんか？
技術的な要約
インドアゴルフスクール「STEPGOLF」を運営するステップゴルフ株式会社において、業務システムおよび予約システムが第三者による不正アクセスを受けた。2026年11月5日にシステム内の異常な処理を検知して調査したところ、10月23日と25日にも不正アクセスが行われ、個人情報を含むデータベースのバックアップファイル等が外部に漏えいした可能性が極めて高いことが判明した。漏えいした可能性がある対象は無料体験申込者および現在・過去の会員の情報で、データベース上の個人情報114,605件、顔写真107,781件、平文で保管されていた銀行口座情報12,707件が含まれる（第一報時点ではシステム登録データとして最大21.5万件と公表）。同社は不正アクセスの遮断や不審なプログラムの無効化などの緊急対策を実施し、個人情報保護委員会への報告および警察への相談を行った。なお、予約およびレッスン等のサービスは通常どおり継続している。
攻撃の分類
- 侵入口
- 不明公式発表および報道では、第三者による業務システム・予約システムへの不正アクセスと異常処理の検知、不審なプログラムの無効化が言及されているのみで、具体的な侵入経路や侵入手法は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 不正アクセス発覚後も、予約およびレッスンは通常どおり利用可能と案内されている。
- データ
- おそれ上限 215,000確定 —件氏名住所生年月日電話メール口座顔写真購入履歴業務データその他第一報では漏えい対象となり得るデータはシステム登録最大21.5万件（最大215,000件）と公表。第二報で内訳が特定され、2026年10月23日までに登録された無料体験申込者および会員・退会者情報として、個人情報（データベース）114,605件（氏名、住所、生年月日、電話番号、メールアドレス、契約状況、予約履歴、購入履歴、レッスンカルテ、要配慮個人情報等）、顔写真107,781件、銀行口座情報12,707件（暗号化未実施）が漏えいした可能性が高いと発表された。クレジットカード情報および本人確認書類は当該システムで保有していない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
検知までの経緯と不正アクセスの事実 事実
ステップゴルフ株式会社の発表および報道によると、2026年11月5日に同社システムにおいて異常な処理を検知し、調査を行った結果、第三者による不正アクセスが判明しました。さらに過去のアクセス記録を調査したところ、遡って2026年10月23日および10月25日にもシステムへの不正アクセスが行われていたことが確認されました。これにより、個人情報を含むデータベースのバックアップファイルなどが外部に漏えいした可能性が極めて高い状況であることが判明しています。同社はアクセス元の遮断や認証情報の変更、不審なプログラムの無効化などの緊急対策を講じるとともに、個人情報保護委員会への報告および警察への相談を実施しました。なお、クレジットカード情報および本人確認書類は当該システムで保有しておらず影響はないと発表されています。
バックアップファイル流出と平文保管による影響範囲の構造 解釈
本件において漏えいした可能性が高いデータとして、データベースのバックアップファイルが挙げられています。第一報時点ではシステム登録件数に基づく最大21.5万件の可能性とされていましたが、精査によりデータベース上の個人情報114,605件、顔写真107,781件、銀行口座情報12,707件の内訳が示されました。特に影響度が高い要因として、口座番号や口座名義を含む銀行口座情報が暗号化されず平文で保管されていた点が公表されています。バックアップファイルには通常、本番環境のデータが包括的に集約されるため、一度ファイル単位で窃取されると暗号化されていない機微情報はそのまま読み取られるリスクを抱えます。また、退会者や無料体験申込者のデータも保持されていたことから、データのライフサイクル管理や保管時の暗号化措置が不十分であったことが被害規模の拡大に寄与したと考えられます。
潜伏期間の存在と侵入検知・監視態勢における示唆 解釈
最初の侵入が確認された10月23日から異常処理が検知された11月5日までの間、約2週間にわたり不正アクセスが即時に検知されずシステム内に留まっていた点が注目されます。攻撃者がデータベースのバックアップファイルを取得したとみられる事象に対し、事後的なログ調査によって初めて過去の侵入が特定されています。緊急対策として不審なプログラムの無効化が挙げられていることから、何らかの不正プログラムが配置されていた可能性が考えられます。侵入経路自体は公表されていませんが、再発防止策としてログイン時の認証機能強化やシステム監視体制の強化が掲げられているとおり、初期段階での不正ログインや不審な処理をリアルタイムで検知・遮断できる監視基盤が整っていなかったことが、複数回にわたる侵害を許した一因と解釈できます。
対応
- 封じ込め
- 不正アクセスの遮断、不審なプログラムの無効化、認証情報の変更、アクセス制限の強化、システムの安全性向上に向けた対策を実施。
- 公表の仕方
- 2026年11月7日に第一報を公表し、最大21.5万件の漏えい可能性を発表。2026年11月10日に第二報を公表し、漏えい対象件数の精査結果（個人情報114,605件、顔写真107,781件、銀行口座情報12,707件）や専用メール問い合わせ窓口（support@cs.stepgolf.co.jp）の開設、電話窓口の準備中であることを案内した。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 金融機関情報などの高機微データは平文で保管せず、保存時暗号化（TDE）や列単位の暗号化を徹底する | データベースに保存する口座番号や名義などの機微情報は、アプリケーション層またはDB標準の列レベル暗号化を用いて暗号化し、暗号鍵をセキュアなキーツール（KMS等）で分離管理する。 |
| 退会者データや不要となった申込者情報は保持期限を定め、定期的な消去を実施する | 個人情報保護方針に沿ったデータ保持・廃棄ポリシーを策定し、退会後一定期間を経過した会員データや体験申込履歴を自動的にマスキングまたは物理削除する定期バッチ処理を実装する。 |
| データベースのバックアップファイルを厳格に保護し、エクスポートやダウンロードの権限を最小化する | バックアップ生成先ストレージを非公開とし、バックアップファイル自体の暗号化を必須化するとともに、外部への持ち出し・ダウンロード権限を厳格に制限・監査する。 |
| 業務・予約システムへの管理アクセスに多要素認証（MFA）を導入し、不正アクセスを早期に遮断する | 管理コンソールやデータベース接続点へのアクセスに対して多要素認証を必須化し、通常と異なるIPアドレスや挙動を検知して自動遮断・アラートを上げる仕組みを導入する。 |
自組織などでの確認項目
- 自組織で運用しているデータベースやストレージにおいて、銀行口座情報や顔写真などの機微情報が平文のまま保存されていないか
- 退会済みユーザーや過去のキャンペーン申込者の個人情報が、削除期限を過ぎてもデータベース内に無期限に残存していないか
- データベースのバックアップファイルは暗号化されており、生成や外部持ち出しに対する監査ログやアクセス制限が設けられているか
未解明点
- 第三者による不正アクセスの具体的な侵入経路（公開サーバーの脆弱性、認証情報の窃取・悪用、管理画面の認可不備など）は何であったのか
出典
- 1NHKニュース2026-11-11報道本文確認済
- 2朝日新聞社2026-11-11報道本文確認済
- 3共同通信2026-11-11報道本文確認済
- 4ABEMA TIMES2026-11-08報道本文確認済
- 5ITmedia NEWS2026-11-09報道本文確認済
- 6ステップゴルフ株式会社2026-11-07公式本文確認済
- 7ステップゴルフ株式会社2026-11-10公式本文確認済
- 8東京新聞デジタル2026-11-11報道本文確認済