ジョーシンに不正アクセス、会員最大約600万件とサブスク23万件に漏えいのおそれ、手書きサインや初期パスワード、免許証画像まで — 業務ごとの小さなシステムを棚卸しする
家電量販店のジョーシン（株式会社Joshin）は2026年10月26日、不正アクセスの第2報を公表した。会員情報データベースの最大約600万件（氏名・住所・電話番号・会員番号）に漏えいのおそれがある。さらに、「ジョーシンのサブスク」の最大約23万件では、手書きサインのデータとログインIDの初期パスワードまでが対象になった。リフォーム写真アップロードシステムには、免許証画像やマイナンバーカードの画像も置かれていた。会員データベースの外で、業務ごとに作った小さなシステムに機微な情報が残っていたことが、今回の事案の特徴である。
背景
ジョーシンの発表によると、経緯は次のとおりである。
- 10月16日：社内ネットワークで異常を検知。不正アクセスの形跡があるサーバーを遮断し、外部専門機関に調査を依頼
- 10月17日：自社ホームページで第1報を公表（10月19日に東京証券取引所へ開示）
- 10月26日：第2報で、漏えいのおそれがある情報の範囲を公表
漏えいのおそれがあるのは、次の3つのシステムである。
- 会員情報データベースサーバー：最大約600万件。氏名、住所、電話番号、会員番号
- ジョーシンのサブスク：最大約23万件。会員番号、電話番号と手書きサイン（画像などのデータ）、ログインIDと初期パスワード、請求履歴、契約番号、デバイスID、有効化コード
- リフォーム写真アップロードシステム：最大約800件。施工中の工事写真のほか、免許証画像2件、マイナンバーカード1件、口座番号5件
件数は漏えいの可能性がある総数で、漏えいが確定したわけではない。決済情報は持たない運用のため、クレジットカード情報は含まれない。侵入の経路は公表されていない。一部のサービスは止まったままで、同社は自社を装う不審なメール・SMS・電話に注意するよう呼びかけている。
リスクの全体像
会員600万件という数字に目が向きがちだが、中小企業にとって示唆が大きいのは、サブスクとリフォームの2つのシステムである。
サブスクのシステムには、契約時の手書きサインと、ログインIDの初期パスワードが保存されていた。初期パスワードを利用者が変えていなければ、そのままログインに使われるおそれがある。初期パスワードが、復元できる形で保存されていた可能性もある。手書きサインは、パスワードのように変更できない。
リフォーム写真のシステムは、本来は工事の写真をやり取りするためのものだった。そこに、本人確認や支払いのために受け取った免許証やマイナンバーカードの画像、口座番号が残っていた。件数はわずかでも、該当する顧客にとっての影響は大きい。現場の担当者が便利だからと業務用システムに書類を上げ、そのまま消されずに残る。中小企業でも同じことが起きやすい。
社内ネットワークに侵入されると、攻撃者は会員データベースだけでなく、つながっている業務システムをたどれる。主要なシステムだけを守っても、脇にある小さなシステムに機微な情報が置かれていれば、そこから漏れる。
チェックリスト
自社の業務システムについて、次の点を確かめる。
- 会員管理以外のシステム（予約、見積、工事写真、問い合わせ、サブスク契約など）に、顧客の個人情報がどれだけ置かれているかを一覧にしているか
- 本人確認書類（免許証・マイナンバーカード）や口座番号を、確認後も保存したままにしていないか
- 顧客に発行する初期パスワードを、元に戻せる形（平文など）で保存していないか
- 初回ログイン時に初期パスワードの変更を必ず求めているか
- 手書きサインなど、顧客が変更できない情報を保存する必要が本当にあるか
- 社内ネットワークで、業務システム同士が必要以上につながっていないか
打ち手
最初に、顧客の個人情報を置いているシステムを全部書き出す。基幹システムだけでなく、部署ごとに導入したクラウドサービス、共有フォルダ、現場で使う写真アプリも含める。それぞれに、何の情報が何件あり、誰が消す責任を持つかを書く。
次に、確認が済んだ本人確認書類や口座番号の画像を消す。保存が必要な場合でも、保存期間を決め、期限が来たら自動で消える設定にする。顧客に初期パスワードを渡す仕組みがあれば、初回ログインで変更を強制し、初期パスワード自体は元に戻せない形で保存する。
ジョーシンの会員やサブスクの利用者が社内にいる場合は、同社を名乗るメール・SMS・電話に注意するよう周知する。漏えいした住所や電話番号、契約内容を使えば、本物らしい連絡を作れる。
あわせて読みたい
- タイムズカーへの不正アクセスで運転免許証画像など約160万件が漏えい、本人確認書類を預かる企業が見直すこと
- ブックオフの会員管理システムに不正アクセス、最大約643万件の氏名・住所・パスワードのハッシュ値が流出 — ポイントカード会員を持つ店舗の確認点
- ムラウチドットコムで771万件の個人情報漏えい — Webシステムの脆弱性1つから複数システムへ広がった経緯
- 【はじめてのセキュリティ 第2回】パスワードと認証 ― 一番身近で一番大事な守り
Omamori AI の結論
- 事実: ジョーシンへの不正アクセスで、会員情報最大約600万件、サブスクの最大約23万件（手書きサイン、初期パスワードを含む）、リフォーム写真システムの最大約800件（免許証・マイナンバーカード画像を含む）に漏えいのおそれがある。
- 判断軸: 会員データベースの外にある業務システムに、本人確認書類や初期パスワードを残していないかを問う。
- 打ち手: 個人情報を置くシステムを全部書き出し、確認済みの本人確認書類は消す。初期パスワードは初回ログインで変更させ、元に戻せない形で保存する。
経営者視点で考えるべきこと
新しいサービスを始めるたびに、現場は小さなシステムやクラウドサービスを足していく。経営者は、そのどこに顧客の免許証画像や口座番号が置かれているかを把握しているだろうか。今回の事案で対象になったのは、会員数で見ればごく一部の、工事写真のためのシステムだった。担当者に「顧客の個人情報を置いているシステムの一覧」を作らせ、本人確認書類と初期パスワードの扱いを報告させたい。消せる情報を消しておくことが、侵入されたときの被害を最も確実に小さくする。
