ステップゴルフに不正アクセス、最大21万5,000件 銀行口座情報は暗号化されずに保存 顔写真・カルテも対象

事案の概要データ

図解：この事故の構造

何が起きたのか

ステップゴルフ株式会社は2026年11月7日、業務システムと予約システムへの不正アクセスにより、無料体験の申込者や現・元会員の個人情報が外部に漏えいした可能性が極めて高いと発表しました。

対象となり得るデータは最大21万5,000件。項目は氏名・住所・生年月日・連絡先に加えて、銀行口座情報、顔写真、レッスンカルテ、要配慮個人情報などが含まれる可能性があります。

発覚は11月5日。業務システムで通常とは異なる処理を検知し、調査した結果、10月23日と25日にも不正アクセスがあったことを確認しました。

そして、公表文にこう書かれています。口座振替に用いる銀行口座情報を、暗号化していない状態で保管していた。

クレジットカード情報と本人確認書類は、当該システムで保有していないため対象外です。続報は11月10日を目途に公表予定とされています。

「バックアップファイル」が持ち出された

この事案で特に記録しておきたいのは、漏えいの対象が「データベースのバックアップファイル等」とされていることです。

バックアップは、守るための仕組みです。壊れたとき、消えたときに戻せるように取ります。本サイトでも、ランサムウェア対策として「バックアップを取ってください」と繰り返しお伝えしてきました。

ところが、バックアップファイルは「データベースの中身がまるごと1つのファイルになったもの」です。攻撃者にとっては、1ファイル持ち出せば全部が手に入る、最も効率のよい標的になります。

だから、バックアップは「取る」だけでは足りません。どこに、どう置くかまで決める必要があります。

中小企業が確認すべき点を挙げます。

1. バックアップファイルは、本番サーバーと同じ場所に置かれていませんか。 同じサーバーの中にあると、1回の侵入で両方取られます。

2. バックアップに暗号化（パスワード）をかけていますか。 多くのバックアップツールに設定項目があります。使っていないことがよくあります。

3. 古いバックアップが何年分も溜まっていませんか。 「念のため全部残す」と、退会者や古い情報まで含んだファイルが積み上がります。

4. バックアップを置いている外付けHDDやクラウドに、誰がアクセスできますか。

本番のデータだけ守って、バックアップは無防備。 これが、本件が示した形です。

「暗号化せずに口座情報を保存していた」と書いたこと

公表文が自ら「暗号化していない状態で保管していた」と書いた点は、評価と反省の両方で読む必要があります。

評価すべき点： 隠さずに書きました。これがなければ、利用者は「暗号化されているから大丈夫だろう」と誤解し、口座の確認を怠ったかもしれません。書いたからこそ、対象者は明細を見ます。

反省すべき点： 口座振替に使う銀行口座情報は、暗号化して保存するのが基本です。

なぜ暗号化されていなかったのか。推測になりますが、よくある理由があります。毎月の口座振替データを作るたびに、口座番号を読み出す必要があるからです。暗号化すると手間が増えます。

しかし、方法はあります。①口座振替を、決済代行会社や金融機関のサービスに任せて自社では持たない。②どうしても持つなら、暗号化し、読み出せる人と仕組みを限定する。

①が本筋です。本サイトでは、カード情報の「非保持化」を繰り返し取り上げてきました。口座情報も同じ考え方が使えます。

そして、顧客側ができることも明確です。

①銀行口座の明細を確認し、心当たりのない口座振替や引き落としがないか調べる。

②「口座の安全確認」「返金手続き」「会員情報の再登録」を名目とした連絡で、暗証番号・パスワード・ワンタイムパスワードを入力しない。

③ステップゴルフからの案内は、メールのURLではなく公式サイトのお知らせで確認する。

顔写真とレッスンカルテ——サービス業が抱える「重い情報」

対象項目に、顔写真とレッスンカルテがあります。これは、ゴルフスクールという業態ならではです。

顔写真は、本人確認や入館管理のために撮ります。レッスンカルテには、スイングの課題、体の状態、通院歴や既往症が書かれていることがあります。だから「要配慮個人情報」が含まれる可能性があると公表されています。

本サイトでは同じ11月に、ラフール（ストレスチェック結果209名）、チームスピリット（要配慮個人情報35件）を扱いました。要配慮個人情報は、思わぬ場所に入り込みます。

対面サービスを営む中小企業は、同じものを持っています。

・整骨院、整体、エステの施術記録（既往症・服薬）

・スポーツジムの入会時の健康チェック表

・美容院のカルテ（アレルギー、肌・頭皮の状態）

・学習塾の面談記録（家庭の事情、発達の特性）

・入館用の顔写真、会員証用の写真

やることは3つです。

1. 自由記述欄に、必要のない健康情報を書かせない・書かない。 「膝に不安あり」で足りるなら、病名は要りません。

2. 顔写真の保存期間と保存場所を決める。 退会後も残していませんか。

3. これらの情報が入ったシステムは、スタッフ全員が見られる状態にしない。

要配慮個人情報が含まれる漏えいは、件数にかかわらず個人情報保護委員会への報告が必要です。1件でも対象になります。

時系列で見る経過

• 2026年10月23日不正アクセス（後の調査で判明）
• 2026年10月25日不正アクセス（後の調査で判明）
• 2026年11月5日業務システムで通常とは異なる処理を検知。調査により第三者による不正アクセスが判明
• 2026年11月7日第一報を公表。最大21万5,000件が対象となり得ると発表。アクセス元の遮断、認証情報の変更を実施
• 2026年11月10日（予定）公式Webサイトで続報を公表予定

中小企業が学ぶべきポイント

1. 漏えいの対象はデータベースの「バックアップファイル等」。1ファイルで全部が手に入る、効率のよい標的。
2. バックアップは取るだけでなく、どこにどう置くかを決める。本番サーバーと同じ場所に置かない。
3. バックアップに暗号化（パスワード）をかける。多くのツールに設定項目があり、使っていないことが多い。
4. 古いバックアップが何年分も溜まっていないか確認する。退会者の情報まで含まれる。
5. 口座振替に使う銀行口座情報が、暗号化されずに保存されていた。
6. 口座情報も、カード情報と同じく「自社で持たない」ことができる。決済代行や金融機関のサービスに任せる。
7. 自ら「暗号化していなかった」と書いたことで、対象者が口座の明細を確認する動機になった。
8. 顔写真とレッスンカルテが対象。対面サービスには施術記録・健康チェック表という重い情報がある。
9. 自由記述欄に必要のない健康情報を書かせない。「膝に不安あり」で足りるなら病名は要らない。
10. 要配慮個人情報を含む漏えいは、1件でも個人情報保護委員会への報告が必要。

出典・参考

• ステップゴルフ、不正アクセスで最大21万5,000件の個人情報漏えいのおそれ 銀行口座情報・顔写真・レッスンカルテも対象（セキュリティ対策Lab・2026年11月8日）