ゲオ、自社システムへの不正アクセスでゲオオンライン各サービスを停止

事案の概要データ

図解：この事故の構造

何が起きたのか

ゲオは2026年10月17日、自社システムへの第三者による不正アクセスを10月15日に確認したことを公表しました。二次被害を防ぐため、10月17日21時からゲオオンラインの各サービスを停止しています。

新規の注文やキャンセル、アプリ会員証などが利用できない状態で、終了時期は未定とされています。停止前に注文された商品は発送されます。

個人情報の流出の有無、対象項目、件数については、公表文に記載がありません。侵入経路や手口も未公表です。

「サービス停止＝情報漏えい」ではない

大手チェーンのオンラインサービスが突然止まれば、利用者は「情報が漏れたのでは」と考えます。しかし現時点で、情報の流出は確認されたとも、されなかったとも公表されていません。

サービス停止は、調査のために行われることがあります。動いたままでは、攻撃者が居座っている可能性を排除できず、ログの保全も難しくなるためです。

この判断自体は妥当です。2026年10月15日のNTTソルマーレ（コミックシーモア）も、「不正アクセスの可能性が高い」段階でサービスを停止し、翌日に流出を確認しています。止めてから調べる、という順序です。

利用者としては、続報を待ちつつ、念のためゲオで使っているパスワードを変更し、同じパスワードを他サービスで使っていればそちらも変更しておくのが安全です。

「終了時期未定」の重さ

停止の終了時期が未定とされている点は、事業者にとって最も重い状態です。

いつ戻るか言えない期間は、問い合わせが殺到します。2026年7月の名鉄協商は、この状況でコールセンターを設置しました。現場の疲弊を抑えるための現実的な手段です。

中小企業でも、自社のオンラインサービスが止まったときに「いつ戻るか言えない」状況は起こりえます。そのときに備えて、(1)問い合わせ窓口をどこに置くか、(2)何を答えて何を答えないか、(3)どの頻度で続報を出すか——を事前に決めておくと、対応の質が大きく変わります。

10月19日、「漏えいは確認されず」と発表

2026年10月19日、同社は外部の専門機関による調査の結果、顧客情報などのデータベースに不審な外部接続の形跡はなく、個人情報の漏えいは確認されなかったと発表しました。

10月15日の検知から4日。サービスを止めて調べたことで、この結論にたどり着いています。

注目したいのは、「漏えいはなかった」と言えるのは調査を終えた後だけだということです。同じ時期、Joshinは「漏えいの可能性を否定できない」と説明していました。断定できるかどうかは、ログが十分に残っているかで決まります。

止めて調べる、調べ終えてから結論を出す——この順序を踏んだことが、明確な結論につながりました。

時系列で見る経過

• 2026年10月15日自社システムへの第三者による不正アクセスを確認
• 2026年10月17日事案を公表
• 2026年10月17日 21時二次被害防止のため、ゲオオンライン各サービスを停止（終了時期未定）
• 2026年10月19日外部専門機関の調査により、個人情報などの漏えいは確認されなかったと発表

中小企業が学ぶべきポイント

1. サービス停止は調査のために行われる。「停止＝情報漏えい確定」ではない。
2. 止めてから調べる、という順序は妥当。動いたままでは調査もログ保全も難しい。
3. 「終了時期未定」の期間に備え、問い合わせ窓口と続報の頻度を事前に決めておく。
4. 利用者は続報を待ちつつ、念のためパスワードを変更しておく。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope
• メンテナンス情報 - ゲオオンライン