ブックオフグループホールディングスは、会員管理システムへの不正アクセスにより、最大約643万件の会員情報が漏えいした可能性があると発表した。10月6日に不正アクセスを確認し、原因となった脆弱性はすでに是正済みという。クレジットカード情報などの決済情報は対象システムで保有していないため、今回の漏えい対象には含まれていない。
事案の詳細
ブックオフグループホールディングスによると、同社の会員管理システムに対する第三者の不正アクセスを2026年10月6日に確認した。調査の結果、会員情報の一部が外部に漏えいした可能性があることが判明した。
漏えいした可能性がある情報は、氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号で、対象は最大約643万件に上る。この件数は会員番号ベースの数字であり、実際の対象人数とは異なる可能性がある。
同社は、クレジットカード情報などの決済情報については同システムで保有しておらず、今回の漏えい対象には含まれていないとしている。パスワードはハッシュ値（不可逆的に変換された文字列）として保存されていたとするが、ハッシュ化の方式や強度についての詳細は現時点で明らかにされていない。
不正アクセスの具体的な手口、侵入経路、悪用された脆弱性の内容、攻撃の発生時期などについては、本記事執筆時点で詳細は明らかにされていない。
同社は2026年10月9日時点で、流出した可能性がある情報の外部への公開や、第三者による悪用は確認していないとしている。ただし、「脆弱性を是正した」という説明のみで、具体的な脆弱性の種類や製品名は公表されておらず、今回の説明だけから特定の原因を断定することはできない。
影響と背景
会員管理システムという性質上、氏名・住所・電話番号・メールアドレスなど、個人を特定し得る情報が広範囲に含まれている点が今回の事案の特徴である。クレジットカード情報が含まれていないため直接的な金銭被害のリスクは相対的に低いと見られるが、氏名・住所・生年月日・電話番号の組み合わせは、なりすましや精巧なフィッシング詐欺の材料として悪用される可能性がある。
また、パスワードのハッシュ値が流出した場合、ハッシュ化方式によっては解析により元のパスワードが推測されるリスクがある。他のサービスで同じパスワードを使い回している利用者は、そちらのアカウントにも影響が及ぶ可能性がある。
ブックオフは全国に実店舗を持つ中古品買取・販売大手であり、会員数・利用者数の規模からも、今回の事案は国内で2026年9月から相次ぐ大規模情報漏えいの一つに数えられる。
対策・今後の展望
- 公式の案内を確認する：ブックオフの会員である場合、公式サイトや公式アプリからの案内を確認し、対象者への個別連絡を待つ。メールやSMSのリンクを安易に開かない。
- パスワードの使い回しを確認する：ブックオフの会員サービスと同じパスワードを他サービスでも使っている場合は、速やかに別のパスワードへ変更する。
- フィッシングへの警戒を強める：「ブックオフを装う」お詫びメールやポイント進呈を騙る連絡に注意し、リンクから重要情報を入力しない。
- 同社の対応：全システムの緊急総点検を実施し、ネットワーク・アプリケーション両面から追加の安全対策と恒久的な再発防止策を進めるとしている。対象者には順次個別連絡を行う方針。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用でも、会員管理システムやECプラットフォームなど、個人情報を大量に扱う外部公開システムへの不正アクセスの相談が増えている。多くの場合、既知の脆弱性の修正遅れや、認証まわりの設定不備が侵入の糸口になっている。
【平易な解説】会員管理システムは、氏名・住所・連絡先など「その人を特定するための情報」をまとめて保管している場所だ。クレジットカード情報が含まれていなくても、氏名・住所・生年月日・電話番号がそろえば、なりすましや、より本物らしいフィッシングメールを作る材料になり得る。「カード情報が漏れていないから大丈夫」と考えず、パスワードの使い回しとフィッシングへの警戒を優先したい。
【今週中にできること】自社が会員管理システムやECプラットフォームを運用している場合、既知の脆弱性に対する修正プログラムの適用状況を点検する。顧客向けには、同種の事案が起きた際の「お詫びメール」を装うフィッシングが増える傾向があるため、公式サイト・公式アプリからの確認を促す周知文を準備しておくとよい。