ブックオフの会員管理システムに不正アクセス、最大約643万件の氏名・住所・パスワードのハッシュ値が流出 — ポイントカード会員を持つ店舗の確認点
ブックオフグループホールディングスは2026年10月9日、子会社が提供する会員情報の管理システムが第三者の不正アクセスを受け、会員情報が外部に流出したと公表した。漏えいの可能性がある会員データは最大約643万件で、氏名、住所、電話番号に加えて、パスワードのハッシュ値とポイントカード番号が含まれる。公表時点で、流出した情報が公開された事実や悪用された事実は確認されていない。この記事では公表資料で確認できる事実を整理し、会員が気をつけることと、ポイントカード会員を持つ店舗が見直す点をまとめる。
背景
同社の発表によると、10月6日に子会社の会員管理システムへの不正アクセスを確認した。調査の結果、同システムで管理している会員情報が外部から取得されたことが分かった。確認から公表までは3日である。
漏えいの可能性がある情報は、氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号の9項目である。クレジットカード情報などの決済情報は、このシステムで保有していないため含まれない。会員情報の書き換えも確認されていない。
「最大約643万件」は漏えいした可能性のある会員番号の件数で、対象者の人数ではないと同社は注記している。1人が複数の会員番号を持つ場合があるため、実際の人数はこれより少なくなる可能性がある。人数と項目の精査は続いており、続報で知らせるとしている。
同社は攻撃元からの通信を遮断し、脆弱性を修正して、対象システムへの外部からのアクセスを止めた。判明している取得経路は封じ込めを終えたとしている。あわせて全システムの緊急点検を行い、個人情報保護委員会に報告した。対象の会員には調査結果を踏まえて個別に連絡する。
リスクの全体像
会員にとっての危険は2つある。1つめは、氏名、住所、電話番号、メールアドレスがそろって外に出たことである。攻撃者はこれを使って、ブックオフや関係先を名乗る偽の連絡を本人の名前入りで送れる。同社も、グループや関係先を装った不審なメール、SMS、電話に注意するよう呼びかけている。同社がメールや電話でパスワード、認証コード、クレジットカード情報、銀行口座情報を尋ねることは無いと明記しているので、それらを尋ねる連絡は偽物と判断してよい。
2つめは、パスワードのハッシュ値である。ハッシュ値とは、パスワードを元に戻せない形に変換した文字列で、同社も「そのままでは読み取りできない情報」と説明している。ただし、攻撃者は手元でよく使われるパスワードを同じ方法で変換し、流出したハッシュ値と一致するものを探すことができる。「123456」や誕生日のような短く単純なパスワードは、この方法で割り出されやすい。変換の方式は公表されていないため、割り出しにどれだけ時間がかかるかは分からない。割り出されたパスワードを他のサービスでも使っていれば、そちらに不正ログインされるおそれがある。
企業側から見ると、9月から10月にかけて、会員情報をまとめて管理するシステムへの不正アクセスが国内で相次いで公表されている。今回も入口は会員管理システムの脆弱性で、同社は修正したと述べている。ポイントカードや会員アプリを運用している小売・サービス業は、規模にかかわらず同じ種類のシステムを持っている。
チェックリスト
- 自社の会員情報を管理しているシステムがどれで、どの会社が開発・運用しているかを把握しているか
- そのシステムがインターネットから直接つながる状態になっていないか、つなぐ必要がある範囲に絞っているか
- 会員管理システムの更新プログラムを、公開から何日以内に適用するか決めているか
- パスワードをどの方式で変換して保存しているかを、開発会社に確認したことがあるか
- 会員情報が短時間に大量に取り出されたとき、気づける記録と通知の仕組みがあるか
- 退会した会員や長期間利用の無い会員の情報を、いつまで保管するか決めているか
打ち手
ポイントカード会員を持つ企業は、まず会員管理システムの置き場所と接続経路を確かめる。店舗のレジやアプリから会員情報を照会するために、システムを外部から接続できる状態にしている場合が多い。接続元を店舗の回線やアプリのサーバーに限定できるなら限定する。外部の開発会社に任せている場合は、接続を許可している範囲の一覧を出してもらう。
次に、パスワードの保存方式を確認する。ハッシュ化していても、古い方式や、利用者ごとに異なる値を混ぜない方式では、流出後に短時間で割り出される。現在は、計算にわざと時間がかかる方式（bcrypt や Argon2 など）で保存するのが標準である。開発会社に「どの方式で保存しているか」を1通のメールで尋ねれば分かる。
保管する情報を減らすことも有効である。生年月日や住所は、誕生月の割引や郵送物のために集めていることが多い。使っていない項目があれば集めるのをやめ、長期間利用の無い会員の情報は消す。持っていない情報は流出しない。
ブックオフの会員は、同じパスワードを他のサービスで使っていれば、そちらを先に変更する。公式サイトの案内を確かめ、メールやSMSに書かれたリンクからはパスワードを入力しない。
あわせて読みたい
- 23万件が漏えいしたECサイト不正アクセス ― パスワードのハッシュ化では守れないもの
- 焼肉きんぐ公式アプリに不正アクセス、会員1,078万人分の氏名・メールアドレス・電話番号が漏えい — 会員アプリを持つ店舗の確認点
- ローソンIDに不正アクセス、215万件の氏名・メールアドレス・住所が漏えい — アプリの本人向け表示の仕組みが悪用、会員アプリを持つ企業の点検点
- 【はじめてのセキュリティ 第2回】パスワードと認証 ― 一番身近で一番大事な守り
Omamori AI の結論
ブックオフの件では、会員管理システムの脆弱性から最大約643万件の会員データが取得された。カード情報が無くても、氏名・住所・電話番号とパスワードのハッシュ値がそろえば、偽の連絡と他サービスへの不正ログインに使われる。会員制度を持つ企業は、会員管理システムへの接続範囲、パスワードの保存方式、保管している項目の3点を確認しておくべきである。
経営者視点で考えるべきこと
会員情報は、集めた件数に比例して、流出時の通知と問い合わせ対応の費用が増える。数百万件の規模になれば、対象者への個別連絡だけでも大きな負担になる。会員数を増やす施策を決めるときに、その情報を守る費用と、不要になった情報を消す手順を同時に決めておきたい。開発会社との契約には、更新プログラムの適用期限と、不正アクセスに気づいたときの報告期限を書いておく。
