ブックオフの会員管理システムに不正アクセス、最大約643万件が流出 パスワードのハッシュ値も

事案の概要データ

図解：この事故の構造

何が起きたのか

ブックオフグループホールディングスは2026年10月9日、子会社が提供する会員管理システムが第三者による不正アクセスを受け、会員情報が最大約643万件外部に流出したことを公表しました。不正アクセスを確認したのは10月6日です。

流出した可能性がある項目は、氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号です。

対象のシステムはクレジットカードなどの決済情報を保有していないため、決済情報は含まれないとされています。また10月9日時点で、情報の公開や第三者による悪用は確認されていません。

「643万件」は人数ではない

同社は、643万件という数字が会員番号の件数であり、実際の人数ではないと明示しています。

これは重要な注記です。同じ人が複数の会員番号を持っていることがあるためです。たとえば店舗で作ったポイントカードとオンラインの会員登録が別々に登録されていれば、1人で2件と数えられます。

報道では件数がそのまま見出しになりがちですが、「件数」と「人数」は違います。公表する側がこの違いを明示したことは、誠実な対応と言えます。

同時に、自社が公表する立場になったときの参考にもなります。件数しか集計できない場合は、「これは件数であり人数ではない」と書き添えるだけで、受け手の理解が正確になります。

子会社のシステムが入口だった

攻撃を受けたのは、ブックオフ本体ではなく、子会社が提供する会員管理システムでした。

グループ会社にシステムの提供・運用を任せる形は、一般的な構成です。開発・運用を集約でき、効率が上がります。しかし、そのシステムが破られれば、そこに会員データを預けていたグループ各社に影響が及びます。

2026年はこの構図が繰り返された年でした。10月8日の第一興商（委託先のパソコン1台のマルウェア感染で約872万件）、10月5〜7日のスカラコミュニケーションズ（大和証券・シチズン時計・損害保険ジャパン）、9月の両毛システムズ（大東ガスなど3組織）——いずれも「システムを提供している側」が入口です。

中小企業でも、グループ会社や取引先とシステムを共有している場合は同じリスクがあります。「相手のシステムが破られたら、自社の顧客データはどこまで見えるか」を一度確認してください。

利用者が今すぐやるべきこと

まず、ブックオフのパスワードを変更してください。そのうえで、同じパスワードを他のサービスで使っている場合は、そちらもすべて変更してください。ハッシュ化されていても、単純なパスワードは割り出される可能性があります。

次に、ブックオフを装った不審なメール・SMS・電話に警戒してください。氏名・住所・電話番号がそろって流出しているため、本物らしく見せることが容易になっています。

同社も、グループがメール・SMS・電話などでパスワード、認証コード、クレジットカード情報、銀行口座情報を尋ねることはないと明示しています。そうした連絡が来たら詐欺です。

時系列で見る経過

• 2026年10月6日子会社が提供する会員管理システムへの不正アクセスを確認
• 2026年10月6日以降攻撃元からの通信を遮断し、脆弱性を是正。対象システムへの外部からのアクセスを遮断
• 2026年10月9日最大約643万件の会員情報が外部に流出したことを公表
• 2026年10月9日情報の公開や第三者による悪用は確認されていないと説明。監視を継続

中小企業が学ぶべきポイント

1. 「件数」と「人数」は違う。公表するときは、どちらを数えたか書き添える。
2. グループ会社がシステムを提供している場合、その1社が破られると全社に波及する。
3. ハッシュ化されたパスワードでも、使い回していれば他サービスが次の標的になる。
4. 決済情報を当該システムに持たない設計にしていたことが、被害の範囲を限定した。
5. 「当社がメール・電話でパスワードや口座情報を尋ねることはない」と平時から明示する。

出典・参考

• ブックオフに不正アクセス、最大約643万件の個人情報流出 氏名、住所、ハッシュ化パスワードなど - ITmedia NEWS
• 「ブックオフ」会員管理システムへの不正アクセスで最大643万件の会員情報漏えい - INTERNET Watch
• ブックオフ、会員管理システムへ不正アクセスによるサイバー攻撃 - セキュリティ対策Lab