ノジマオンラインに不正アクセス、会員約700万件が漏えい、ログインIDと暗号化パスワードも — カードを持たないECサイトが見直すパスワードの守り方
家電量販店のノジマは2026年11月2日、ECサイト「ノジマオンライン」の会員管理システムに第三者による不正アクセスがあり、会員情報約700万件が外部に漏えいしたと公表した。対象は氏名、住所、電話番号、メールアドレスに加え、ログインIDと暗号化されたパスワードである。クレジットカード情報は持たない設計だったが、ログイン情報と連絡先がそろって漏れたことで、パスワードの使い回しを狙った不正ログインや、本物らしい偽の連絡に悪用されるおそれがある。自社で会員制のECサイトを持つ中小企業にとって、カードを持たないだけでは守りきれないことを示す事例である。
背景
ノジマの公表文によると、経緯と被害は次のとおりである。
- 11月1日：ノジマオンラインの会員管理システムへの不正アクセスを検知・確認し、同日、個人情報が外部に漏えいしたことを確認
- 対象サイト：ノジマオンライン（EC専門サイト）と中古スマホ買取サイト
- 対象件数：約700万件（退会した会員は含まない）
- 対象となる情報：氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレス
同社は決済情報を持たない方式に対応しており、2つのサイトではクレジットカード情報を保持していない。不正利用や二次被害の有無は調査中としている。
対応として、外部からのアクセスの遮断と監視の強化、警察への相談、個人情報保護委員会への報告準備を進め、2つのサイトを一時休止した。侵入の経路や原因は、公表時点では明らかにされていない。再開時期は、安全性を確認したうえで知らせるとしている。
リスクの全体像
今回漏れた項目の組み合わせで、第一に心配されるのはパスワードの使い回しである。パスワードは暗号化された状態で保存されていたが、どの方式で保護していたかは公表されていない。保護の方式が弱ければ、時間をかけて元のパスワードを割り出される可能性がある。会員が同じメールアドレスとパスワードを他のサイトでも使っていると、そちらに不正ログインされる。被害はノジマの外、別の通販サイトや会員サービスで起きる。
第二は、偽の連絡の材料になることである。氏名、住所、電話番号、メールアドレス、生年月日がそろっていると、「ご注文の確認」「ポイント失効のお知らせ」「返金のご案内」といった連絡を本物らしく作れる。ノジマも、なりすましメールやフィッシング詐欺への注意を呼びかけている。家電の購入や中古スマホの買取という取引の性質上、高額な決済や振込を装った連絡にも警戒が要る。
第三は、事業そのものへの影響である。ノジマは2つのサイトを休止した。ECサイトを止めれば、その間の売上が止まり、問い合わせ対応も増える。中小企業では、ECが売上の柱になっている例も多い。会員管理システムの侵害は、情報の問題であると同時に、売上と現場の負担の問題になる。
チェックリスト
会員制のECサイトや会員サービスを運営している企業は、次の点を確かめる。
- 会員のパスワードを、元に戻せない方式（ソルト付きのハッシュ化）で保存しているか。開発会社やEC構築サービスに方式を確認したか
- 会員管理システムや管理画面に、どこから誰がアクセスできるか把握しているか。社外から管理画面に入れる設定になっていないか
- 短時間に大量の会員データが読み出されたときに気づける記録と通知があるか
- 退会した会員や長く使われていないアカウントのデータを、決めた期間で消しているか
- 漏えいが起きたとき、会員へのパスワード変更の依頼文、注意喚起の文面、問い合わせ窓口を事前に用意しているか
- ECサイトを止めたときの売上と顧客対応への影響を、誰が判断するか決めているか
打ち手
まず、パスワードの保存方式を確かめる。自社で作ったECサイトなら開発会社に、EC構築サービスを使っているならサービス提供会社に、「会員のパスワードをどの方式で保存しているか」を文書で確認する。元に戻せる暗号化や、古いハッシュ方式のままなら、更新の計画を立てる。あわせて、ログイン時の多要素認証や、ログインの連続失敗の制限を有効にできないか確かめる。
次に、会員データの持ち出しに気づける仕組みを作る。管理画面のログイン記録、データの出力（CSVのダウンロードなど）の記録、データベースへの大量の読み出しを、日々見られる状態にする。管理画面には社内のネットワークや決まった端末からしか入れないように絞り、担当者のアカウントには多要素認証を付ける。
最後に、事故のあとの動きを決めておく。会員へのお知らせとパスワード変更の依頼、個人情報保護委員会への報告、問い合わせ窓口の設置を、誰がどの順で進めるかを平時のうちに決める。退会者や休眠会員のデータを持ち続けていれば、それも漏えいの対象になる。保存期間を決めて消すことが、被害の件数を減らすいちばん確かな方法である。
カードを持たなくても、ログイン情報と連絡先がそろえば被害は外へ広がる。
あわせて読みたい
- ジョーシンに不正アクセス、会員最大約600万件とサブスク23万件に漏えいのおそれ — 業務ごとの小さなシステムを棚卸し
- SONICWIREとD2Rに不正アクセス、会員36万2,137件の氏名・メールアドレス・ハッシュ化パスワードが流出
- CAPCOM IDに不正アクセス、1,177万件のメールアドレスが漏えい — 会員IDを共通化する企業の点検点
Omamori AI の結論
- 事実: ノジマオンラインと中古スマホ買取サイトの会員約700万件について、氏名、住所、電話番号、メールアドレス、ログインID、暗号化されたパスワードなどが漏えいした。クレジットカード情報は保持しておらず、原因は調査中である。
- 判断軸: カード情報を持たないことに加え、パスワードの保存方式と、会員データの大量の読み出しに気づけるかを問う。
- 打ち手: パスワードの保存方式を開発会社に文書で確認し、管理画面の接続元を絞って多要素認証を付ける。退会者のデータは期間を決めて消す。
経営者視点で考えるべきこと
「うちはカード情報を持っていないから大丈夫」という判断は、カード番号の漏えいについては正しい。しかし会員のログイン情報と連絡先は、別のサイトでの不正ログインや詐欺の連絡に使われ、顧客の被害は自社の外で起きる。経営者が確かめるべきことは3つある。会員のパスワードをどの方式で守っているかを、開発会社から文書で受け取っているか。退会者や休眠会員のデータを、必要以上に持ち続けていないか。ECサイトを止める判断と顧客への連絡を、誰がどの順で行うか決まっているかである。ECサイトの保守費用を削ると、こうした確認が後回しになる。保守にかける費用は、サイトを止めたときの売上の損失と、顧客対応の負担と比べて判断したい。
