株式会社ウェステリア 相談する
セキュリティ相談窓口
無料で初動相談
調査中(続報があれば更新) 公開 ・ 最終更新

ブックオフへの不正アクセス(2026年10月公表)

不正アクセス(経路未公表)

結論から

  • ブックオフグループホールディングスは2026年10月9日、子会社ブックオフコーポレーションの会員管理システムに第三者が不正アクセスし、会員情報が外部に流出したと公表しました。会員情報は10月4日から6日にかけて取得されていました。
  • 10月13日の第2報で、漏えいの対象は6,427,735件(会員番号の件数)、6,383,279人と確定しました。対象はアプリ会員、オンラインストア会員、Web会員です。クレジットカード情報、銀行口座、本人確認書類の画像は含まれません。
  • 対象の会員への個別メールは10月15日に始め、送れることを確認できたアドレスへの送信は10月22日に終えました。10月23日には、会員サイトで自分が対象かを確かめられるWEB照会機能と、専用のフリーダイヤルを設けました。侵入経路と手法は、今後の攻撃を招くおそれがあるとして公表を控えています(2026年10月30日時点)。

概要

公表日
2026年10月9日
発生
2026年10月4日
検知・発覚
2026年10月6日
最新の公表
2026年10月23日
組織・業種
ブックオフグループホールディングス株式会社(子会社ブックオフコーポレーションの会員管理システム)(リユース(中古品小売) / 小売・EC・アパレル)
漏えいした情報・件数
漏えい対象の会員データ 6,427,735件(会員番号の件数)、漏えい対象者 6,383,279人(有効会員 6,170,908人、退会会員 212,371人。同じメールアドレスの複数の会員データを1人として集計)。第1報では最大約643万件と発表。氏名、生年月日、性別、職業、ニックネーム(職業・ニックネームは2026-10-16の訂正で追加)、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号。クレジットカード情報・銀行口座情報・本人確認書類の画像は含まれない
業務への影響
グループの各システムは正常に稼働し、店舗・公式オンラインストア・アプリなどは通常どおり利用できる(第2報)。本件による事業継続への影響はないとしている
業績への影響
第1四半期の業績への影響はない(本件は期末日後の発生)。2027年5月期の業績への影響は精査中で、業績予想には織り込んでいない(第2報)
犯行グループ(企業・当局の認定)
なし(攻撃者は公表されていない)
行政の対応
個人情報保護委員会へ報告し、警察へ相談したと公表(第2報)
手口
不正アクセス(経路未公表)

何から手を付けるか迷ったら、無料で初動相談ができます →

この事案の続報をメールで受け取る

続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。

ご登録のアドレスに、この続報と、当社のセキュリティ関連のお知らせをお送りします。配信停止はメールへの返信で承ります。

経緯

  1. この日から10月6日にかけて、会員管理システムで管理している会員情報が外部から取得された(第2報で公表) [4]

  2. 子会社の会員管理システムへの第三者による不正アクセスを確認。攻撃元からの通信と不正アクセスに使われた経路を遮断 [1]

  3. 第1報(適時開示)。最大約643万件の会員情報が漏えいした可能性を公表。外部への公開・悪用・会員情報の書き換えは確認されていないとした [1]

  4. ITmedia NEWSが、氏名・住所・ハッシュ化されたパスワードなどが対象と報道 [2]

  5. 第2報(適時開示)。漏えい対象を6,427,735件・6,383,279人と確定し、対象のサービスと対象外のサービスを公表。10月15日から対象者にメールで連絡するとした [4]

  6. よくある質問と回答を公開。個別メールの件名と送信元アドレス(bookoff@2902.net)を案内 [5]

  7. 第2報の一部を訂正(適時開示)。漏えいした可能性のある情報に「職業」と「ニックネーム」が抜けていたとして追加。件数・人数などほかの公表内容に変更はないとした [6]

  8. 送れることを確認できたメールアドレスへの個別メールの送信を終えた。同日、本件専用のフリーダイヤルを開設 [7]

  9. 会員サイトに、自分が漏えいの対象かを確かめられるWEB照会機能を追加したと公表。個別メールが届いていなくても対象外とは限らないとした [7]

侵入経路と原因

ブックオフグループホールディングスによると、第三者が、子会社ブックオフコーポレーションが提供する国内のブックオフの会員管理システムに不正にアクセスしました。会社は2026年10月6日にこの不正アクセスを確認しました。10月13日の第2報では、10月4日から6日にかけて会員情報が外部から取得されたことを確認したとしています。

侵入の経路や手法は公表されていません。会社は第2報で、具体的なシステム構成、脆弱性、攻撃の手法の詳細は、今後の不正アクセスを誘発するおそれがあるため公表を控えるとしています。第1報では、攻撃元からの通信を遮断し、脆弱性を是正したと説明していました。

会社は外部の専門家の協力を得て原因の調査を進め、グループの全システム・全環境を対象に緊急総点検を行っています。判明している不正取得の経路は封じ込めを完了し、新たな会員情報の不正取得は確認されていないとしています(2026年10月30日時点)。

影響

第2報によると、漏えいの対象となった会員データは6,427,735件、対象者は6,383,279人です。第1報では最大約643万件と発表していました。件数は、会員情報が外部に送られたことをシステムの記録で確かめた会員番号の数です。人数は、同じメールアドレスで登録された複数の会員データを1人として数えています。

対象者の内訳は、有効会員が6,170,908人、退会会員が212,371人です。対象はアプリ会員、オンラインストア会員、Web会員で、会員カードだけを使い、アプリやWebの登録をしていない人は含まれません。

対象のサービスは、BOOKOFF SUPER BAZAAR、BOOKOFF PLUS、BOOKOFF、BOOKOFF公式オンラインストア、あそビバ、BOOKOFF FASHION、BINGO、B・SPORTS、B・STYLE、Rehello by BOOKOFF(店舗)です。hugall、aidect、Rehello by BOOKOFF(ECサイト)、Japan TCG Center、ブクログ、青山ブックセンター、ブックオフおかたづけサービスは、別のシステムで管理しており対象外です。

漏えいした可能性のある情報は、氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、会員情報として登録した郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号です。職業とニックネームは、10月16日の訂正で追加されました。漏えい対象の件数と人数は変わっていません。すべての会員について、これらすべての情報が漏れたわけではないとしています。ハッシュ値は、パスワードを一定の方式で変換した情報で、そのままでは元のパスワードを読み取れません。

クレジットカード情報などの決済情報と銀行口座情報は、対象のシステムで管理していないため含まれません。店頭買取で提示した本人確認書類は、画像を保存していないとしています。店頭買取で入力した住所と書類の読み取りによる文字情報、注文時に別に指定した配送先、宅配買取の集荷先住所と本人確認書類の画像も対象外です。

第2報の時点で、漏えいした情報が外部に公開された事実、ポイントの不正利用、会員情報の書き換えは確認されていません。グループの各システムは正常に動いており、事業の継続への影響はないとしています。業績については、第1四半期の決算期末より後に起きた件のため第1四半期への影響はなく、2027年5月期への影響は精査中としています。

会社の対応と再発防止策

会社は不正アクセスを確認したあと、攻撃元からの通信と、不正アクセスに使われた経路を遮断しました。アクセス制御や監視の強化などの追加の安全対策も行っています。判明している不正取得の経路は封じ込めを完了したとしています。

外部の専門家の協力を得て原因を調べ、グループの全システム・全環境の緊急総点検を進めています。個人情報保護委員会に報告し、警察に相談したうえで捜査への協力を進めているとしています。今後、追加の安全対策と恒久的な再発防止策を実施するとしています。

対象の会員には、2026年10月15日から登録メールアドレスに順次連絡するとしています。件名は「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」、送信元は bookoff@2902.net です(10月14日のFAQ)。対象者が多いため、連絡が終わるまで一定の期間がかかる見込みです。送信元アドレスを変える場合はFAQで知らせるとしています。メールが届かない会員には、第2報をもって個別連絡に代えるとしています。

会社は10月23日、送れることを確認できたメールアドレスへの個別メールの送信を10月22日に終えたと公表しました。メールアドレスの変更や受信設定などで届かない場合があり、届いていなくても対象外とは限らないとしています。あわせて、ブックオフ会員サイトに、登録したメールアドレスとパスワードでログインして自分が対象かを確かめられるWEB照会機能を加えました。退会などでログインできない人は、専用の窓口に問い合わせます。照会のときは、お知らせかブックオフの公式サイトから会員サイトに入るよう求めています。

会社は対象の会員に、BOOKOFF公式オンラインストアと公式アプリのパスワードの変更を求めています。同じか似たパスワードを他のサービスで使っている場合は、そちらも変えるよう呼びかけています。案内メールにパスワード変更画面へのリンクは載せないとしており、変更は公式アプリか公式サイトに直接アクセスして行います。

問い合わせは、専用のお問い合わせフォームと、10月22日に開設した本件専用のフリーダイヤル(0120-300-663、10時〜18時30分、年中無休)で受け付けています。侵入経路を含む調査の結果と再発防止策の中身は、2026年10月30日時点で公表されていません。続報が出たら、このページを更新します。

この事案から学べること

  • 件数は「会員番号の件数」で、人数とは一致しません。会社は第2報で、同じメールアドレスの登録を1人として数え直し、件数と人数を分けて示しました。件数と人数を数え分けられるようにしておく必要があります。
  • 会員管理システムとは別のシステムで管理していたサービスや情報(宅配買取の本人確認書類の画像など)は、対象から外れました。どの情報をどのシステムに置くかで、事故のときの被害の範囲が変わります。
  • パスワードはハッシュ値で保存されていました。それでも会社は、念のためパスワードの変更を求めています。会員情報を持つシステムでは、ハッシュ化に加えて、取り出されたあとの影響まで考えておく必要があります。

自社で確認すること

  1. 1 会員情報を持つシステムについて、外部から届く経路と、使っているソフトの脆弱性の状況を把握していますか?
  2. 2 会員番号の件数と、実際の会員の人数を、すぐに数え分けられますか?
  3. 3 本人確認書類の画像や決済情報を、会員情報とは別のシステムに分けて管理していますか?

経営者・情シスが今週確認する10項目を見る →

関連する事案

よくあるご質問

ブックオフの不正アクセスで、何が漏れましたか?
会社は、氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、会員情報として登録した郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号が漏えいした可能性があるとしています(職業とニックネームは2026年10月16日の訂正で追加)。すべての会員ですべての情報が漏れたわけではありません。対象は6,383,279人(会員番号では6,427,735件)です(2026年10月13日の第2報)。
自分が対象かどうか、連絡は来ますか?
会社は、対象の会員に2026年10月15日から登録メールアドレスへ順次メールを送るとしています。件名は「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」、送信元は bookoff@2902.net です。対象者が多いため、届くまで時間がかかる場合があります。会社からのメールにパスワード変更画面へのリンクは載っていません。送れることを確認できたアドレスへの送信は10月22日に終わりました。届いていなくても対象外とは限らず、10月23日からはブックオフ会員サイトのWEB照会機能で、自分が対象かを確かめられます。退会などでログインできない人は専用の窓口に問い合わせます。
会員カードだけを使っている場合も対象ですか?
会員カードだけを使い、アプリやWebの登録をしていない人は対象に含まれません。対象はアプリ会員、オンラインストア会員、Web会員です。
クレジットカード情報や、買取のときの本人確認書類は漏れましたか?
会社によると、クレジットカード情報などの決済情報と銀行口座情報は、対象のシステムで管理していないため含まれません。店頭買取で提示した本人確認書類は画像を保存しておらず、読み取った文字情報も対象外です。宅配買取で提出した本人確認書類の画像も、別のシステムで管理しているため対象外です。
会員は何をすればよいですか?
会社は、BOOKOFF公式オンラインストアと公式アプリのパスワードの変更を求めています。同じか似たパスワードを他のサービスで使っている場合は、そちらも変えてください。変更は公式アプリか公式サイトに直接アクセスして行います。ブックオフグループを装った不審なメール、SMS、電話にも注意が必要です。
問い合わせ窓口はどこですか?
ブックオフグループホールディングスの専用お問い合わせフォーム(https://www.bookoffgroup.co.jp/contact-us/contact-us-261009/)と、2026年10月22日に開設した本件専用のフリーダイヤル 0120-300-663(10時〜18時30分、年中無休)です(10月23日のお知らせ)。それまではお客様窓口の電話(0570-01-2902、ナビダイヤル)を案内していました。

出典

  1. 不正アクセスによる個人情報漏えいに関するお詫びとお知らせ ↗ (ブックオフグループホールディングス株式会社、2026-10-09)
  2. ブックオフに不正アクセス、最大約643万件の個人情報流出 氏名、住所、ハッシュ化パスワードなど ↗ (ITmedia NEWS、2026-10-09)
  3. お問い合せ(不正アクセスによる個人情報の漏えいについて) ↗ (ブックオフグループホールディングス株式会社、2026-10-09)
  4. 不正アクセスによる個人情報漏えいに関するお詫びとお知らせ(第2報) ↗ (ブックオフグループホールディングス株式会社、2026-10-13)
  5. 不正アクセスによる個人情報漏えいについて よくお寄せいただくご質問と回答 ↗ (ブックオフグループホールディングス株式会社、2026-10-14)
  6. (訂正)「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ(第2報)」の一部訂正について ↗ (ブックオフグループホールディングス株式会社、2026-10-16)
  7. 不正アクセスによる個人情報漏えいに関するWEB照会機能の追加および専用フリーダイヤル開設のお知らせ ↗ (ブックオフグループホールディングス株式会社、2026-10-23)

当社がお手伝いできること

当社はAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。当社がお手伝いできるのは、下のような、システムを作り直す側の仕事です。

当社がお手伝いできるのは、入口とアカウントの棚卸し、認証の強化の組み込み、VPNを使わない接続への置き換え、持つデータを減らす、気づける仕組みといった、システムを作り直す側の仕事です。

国内の事案まとめ・手口別の対策を見る → どこに頼むか迷ったら: セキュリティ相談窓口 → AIでのセキュリティ対策の相談窓口 →

この事案で、自社は何をすればよいか迷ったら、まず相談してください。

不審なメールが来た、不正アクセスかもしれない、漏えいの通知が届いた、取引先が被害に遭った。いまの状況を一言で送ってください。 状況を伺い、最初にやること、どこに頼むか(公的な窓口・専門会社の種類)、当社でできることを整理して、2営業日以内にメールでお返しします。無料です。いま被害が起きている場合は、フォームより先にIPA・警察・事故対応の専門会社・加入しているサイバー保険の事故窓口へ連絡してください。

  1. 1

    状況を送る

    フォームの送信は1分です。「社員が怪しいメールを開いた」「取引先から漏えいの連絡が来た」といった一言で十分です。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。会社のドメインを書いていただければ、なりすましメール対策(SPF・DKIM・DMARC)の設定も公開情報で確かめます。

  2. 2

    2営業日以内にメールで返信

    お返しするのは次の3点です。①最初にやること ②どこに頼むか(公的な窓口・専門会社の種類) ③当社でできること。確認作業をAIで回す仕組みなど当社が手伝える部分があれば、その範囲と費用の目安もお返しします。

  3. 3

    必要なら1時間のオンライン相談

    返信を読んで終わりにしてかまいません。続けて話したい場合は、1時間のオンライン相談を無料で承ります。

ご相談の種類当てはまるものを選ぶだけでも送れます(複数可)

セキュリティの初動相談は無料です。いただいた内容はご相談への回答にのみ使用します。

ご相談後に、こちらからしつこく営業することはありません。相談の内容は、ご相談者の同意なく第三者に渡しません。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。