ブックオフの会員システムに不正アクセス、最大約643万件の個人情報流出

　ブックオフグループホールディングスは2026年10月9日、傘下の子会社が提供する会員管理システムに対し、第三者から不正アクセスが行われたことを公表した。同社によると、10月6日にシステムへの不審なアクセスを検知し、その後の社内調査によって内部の会員データが外部から取得された事実が判明した。

　漏えいの対象となったのは最大約643万件の会員番号データである。流出した情報には、会員の氏名、生年月日、性別、郵便番号、住所、電話番号、メールアドレス、ポイントカード番号、会員番号が含まれる。さらに、暗号化処理が施されたパスワードのハッシュ値も対象となっている。一方で、当該システムにおいてクレジットカード情報や銀行口座情報といった決済関連のデータは保有しておらず、金銭に直結する決済情報の流出は起きていない。

　同社は不正アクセスを把握した後、直ちに攻撃元からの通信を遮断し、脆弱性の是正措置を講じた上で対象システムへの外部アクセスを制限した。現時点で判明している侵入経路の封じ込めは完了しており、並行して全社システムを対象とした緊急点検を進めている。 発表時点において、流出した情報が第三者によってインターネット上に公開されたり、悪用されたりした事実は確認されていない。

　システム内における会員データの書き換えや改ざんといった被害も発生していない。同社は実際の対象人数や情報範囲の精査を引き続き進めるとともに、個人情報保護委員会への報告手続きを行っている。影響を受ける会員には、調査結果を踏まえて順次個別に連絡する方針を示している。 また同社は利用者に対し、流出した連絡先情報を悪用した二次被害への警戒を求めている。

　ブックオフグループや関係先になりすました不審なメール、SMS、電話による連絡が届くおそれがあるとして、身に覚えのない連絡に記載されたURLを開いたり、個人情報やパスワードなどの認証情報を入力したりしないよう注意を呼びかけている。