ノジマオンライン、会員管理システムに不正アクセス 約700万件が漏えい 検知から翌日に公表

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社ノジマは2026年11月2日、同社が運営するECサイトの会員管理システムに第三者による不正アクセスがあり、登録されていた会員情報が漏えいしたと公表しました。対象は「ノジマオンライン」と中古スマホ買取サイトの会員で、件数は約700万件（退会者を除く）と報じられています。

漏えいした情報は、氏名、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレス。クレジットカード情報は決済情報の非保持化によって保有していないため、対象外とされています。

不正アクセスは11月1日に検知・確認され、同日の社内調査で漏えいが確認されました。公表は翌日の11月2日です。

店頭で使う「ノジマモバイル会員」の顧客データは影響を受けておらず、流出は一切ないと説明されています。両サイトはサービスを一時休止し、再開時期は未定です。

「暗号化されたパスワード」は安心と言えるのか

公表文には「暗号化されたパスワード」と書かれています。ここをどう読むかが、利用者としての判断の分かれ目です。

暗号化（正確にはハッシュ化）されていれば、そのままログインに使うことはできません。その点は確かに安全側です。

ただし、安全の度合いは「どうやって暗号化したか」で大きく変わります。 古い方式や、ひと工夫（ソルト）が入っていない方式だと、よくあるパスワードは照合で割り出されてしまいます。公表文では方式が明かされていません。

だからノジマは、漏えいの疑いがある会員のパスワードを強制リセットしました。これは適切な判断です。「暗号化しているから大丈夫」と言わず、使えなくしてしまう方が確実だからです。

利用者がやることは2つです。①ノジマオンラインのパスワードを再設定する。②同じパスワードを他のサイトでも使っていたら、そちらも変える。

②が本当の危険です。メールアドレスとパスワードの組み合わせが割り出されると、別のサイトでそのまま試されます（パスワードリスト攻撃）。通販、SNS、ネットバンキング。1つ破られると連鎖します。

検知から公表まで1日——この速さは評価できる

本サイトでは、気づいてから公表までの日数を毎回記録しています。数か月、場合によっては数年かかる事案も珍しくありません。

本件は11月1日に検知し、11月2日に公表。1日です。件数が約700万件という規模でありながら、この速さで出しています。

なぜ速さが大事なのか。漏えいした情報は、公表が遅れるほど「使われる」時間が長くなるからです。氏名と住所と電話番号がそろっていれば、ノジマを装った詐欺の電話やメールはすぐ始められます。利用者が注意できるのは、公表されてからです。

そのうえで、11月4日に案内を更新し、パスワード再設定の手順とよくある質問（漏えいした情報は何か／カード情報は対象か／店頭会員への影響／退会したい）を並べています。これも実務として参考になります。

中小企業に当てはめると、こうです。事故が起きたとき、最初に出す文章は「全部わかってから」でなくてよい。 わかっている範囲、わかっていない範囲、利用者がいまやるべきこと。この3つが書ければ、第1報は出せます。

中小企業がEC会員データで確認すること

1. 退会者のデータを残していませんか。 ノジマは件数を「退会者を除く約700万件」と説明しています。逆に言えば、退会者データを残したままの会社は、漏えい件数がもっと大きくなります。退会後の保存期間を決めてください。

2. カード情報を持っていませんか。 本件でカード情報が無事だったのは、非保持化をしていたからです。決済代行会社に預け、自社では持たない。これは国の指針（クレジットカード・セキュリティガイドライン）でも求められている形です。

3. パスワードの保存方式を確認していますか。 自社サイトを業者に作ってもらった場合、どう保存しているか聞いたことがありますか。「平文で保存」になっていれば今すぐ直す案件です。

4. 強制リセットができますか。 事故が起きたとき、全会員または一部会員のパスワードを一斉に無効化する機能はありますか。ない場合、事故のたびに手作業になります。

5. 「お知らせ」ページをすぐ出せますか。 ノジマは専用の告知ページを立てました。自社サイトに、トップから1クリックで出せるお知らせの枠がありますか。

時系列で見る経過

• 2026年11月1日会員管理システムへの不正アクセスを検知・確認。同日の社内調査で個人情報の漏えいを確認
• 2026年11月2日「不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」を公表。約700万件と報じられる
• 2026年11月2日以降ノジマオンラインと中古スマホ買取サイトを一時休止。漏えいの疑いがある会員のパスワードを強制リセット
• 2026年11月4日告知ページを更新。パスワード再設定手順とよくある質問を掲載

中小企業が学ぶべきポイント

1. 検知の翌日に公表した。約700万件の規模でこの速さは評価できる。第1報は「全部わかってから」でなくてよい。
2. 暗号化されたパスワードでも、方式次第で割り出される。公表側が方式を書かないなら、利用者は再設定するしかない。
3. 同じパスワードを他サイトでも使っていたら、そちらも変える。1つ破られると連鎖する（パスワードリスト攻撃）。
4. カード情報が無事だったのは非保持化していたから。自社で持たない設計が被害を小さくする。
5. 退会者のデータを残していると、漏えい件数がその分大きくなる。保存期間を決める。
6. 事故時にパスワードを一斉リセットできる仕組みがあるか、平時に確認しておく。
7. 店頭会員は影響なしと明記した。「どこは無事か」を書くと、問い合わせが減る。

出典・参考

• ノジマオンラインの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（ノジマオンライン・更新日2026年11月4日）
• 2026年11月の不正アクセス・情報漏えい（不正アクセス・情報漏えい事案一覧）