Joshin(ジョーシン)への不正アクセス(2026年10月公表)
結論から
- 家電量販店「ジョーシン」を運営する株式会社Joshinは2026年10月17日、ネットワークが第三者の不正アクセスを受けたと公表しました。10月16日に異常を検知し、外部からのアクセスを制限した結果、一部のサービスを提供できない状態になっています。
- 10月26日の第2報で、漏えいした可能性がある件数を公表しました。会員情報データベースサーバーが最大約600万件、ジョーシンのサブスクが最大約23万件、リフォーム写真アップロードシステムが最大約800件です。いずれも可能性のある総件数で、漏えいが確定した件数ではありません。
- クレジットカード情報は保持していないとしています。停止したサービスの名称と再開時期、侵入経路は公表されていません(2026年10月30日時点)。
概要
- 公表日
- 2026年10月17日
- 検知・発覚
- 2026年10月16日
- 最新の公表
- 2026年10月26日
- 組織・業種
- Joshin(上新電機)(家電量販 / 小売・EC・アパレル)
- 漏えいした情報・件数
- 漏えいした可能性がある件数(確定ではない総件数): 会員情報データベースサーバー 最大約600万件(氏名・住所・電話番号・会員番号)、ジョーシンのサブスク 最大約23万件(会員番号、電話番号と手書きサイン、ログインIDと初期パスワード、請求履歴、契約番号・デバイスID、有効化コード)、リフォーム写真アップロードシステム 最大約800件(運転免許証の画像2件・マイナンバーカード1件・口座番号5件と工事写真データ)。クレジットカード情報は保持していない(2026-10-26 第2報)
- 業務への影響
- 外部からのアクセスの制限などの緊急措置で、一部のサービスを提供できない状態。停止したサービスの名称と再開時期は未公表(2026-10-30時点)
- 行政の対応
- 第1報の時点で個人情報保護委員会へ第一報。第2報で、発生の確認後に個人情報保護委員会と警察へ相談・報告したと公表
- 手口
- 不正アクセス(経路未公表)
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
ネットワークの異常を検知し、ネットワークの一部が不正アクセスを受けた形跡を確認。形跡のあるサーバーをネットワークから遮断し、外部の専門機関に調査を依頼 [3]
-
公式サイトで第1報。外部からのアクセスを制限した結果、一部のサービスを提供できない状態と公表。個人情報漏えいの可能性を否定できないとして、個人情報保護委員会へ第一報 [1]
-
第1報と同じ内容を東京証券取引所に適時開示 [2]
-
ITmedia NEWSが、停止したサービスの名称と復旧状況は明らかにされていないと報道 [4]
-
第2報(適時開示)。3つのシステムについて、漏えいした可能性がある件数と項目を公表。本人確認書類の画像などの該当者には個別に連絡しているとした [3]
侵入経路と原因
未公表です。会社によると、2026年10月16日にネットワークで異常を検知して調べたところ、ネットワークの一部が第三者の不正アクセスを受けた形跡を確認しました。
侵入の経路や手法、攻撃者は公表されていません。会社は外部の専門機関と連携して、不正アクセスの詳細と影響範囲、情報漏えいの有無を調べています(2026年10月30日時点)。
影響
10月26日の第2報によると、漏えいした可能性がある情報は3つのシステムにまたがります。会員情報データベースサーバーは最大約600万件で、項目は氏名、住所、電話番号、会員番号です。
「ジョーシンのサブスク」は最大約23万件です。項目は会員番号、電話番号と手書きサイン、ログインIDと初期パスワード、請求履歴、契約番号とデバイスID、有効化コードです。
リフォーム写真アップロードシステムは最大約800件です。リフォーム施工中の工事写真データのほか、運転免許証の画像2件、マイナンバーカード1件、口座番号5件が含まれます。これらの該当者には個別に連絡しているとしています。
会社は、これらの件数は漏えいした可能性のある総件数で、漏えいが確定した件数ではないとしています。報道(ITmedia NEWS)は3つを合わせて約623万件としていますが、会社は件数をシステムごとに示しています。
会社は決済情報の非保持化に対応しており、クレジットカード情報は保持していないとしています。
緊急措置の結果、一部のサービスを利用できない状態が続いています。どのサービスが止まっているか、いつ再開するかは公表されていません(2026年10月30日時点)。
会社の対応と再発防止策
会社は不正アクセスを認識したあと、外部からのアクセスを制限し、形跡のあるサーバーをネットワークから遮断しました。外部の専門機関に詳細な調査を依頼しています。
個人情報保護委員会には第1報の時点で第一報を入れ、第2報では個人情報保護委員会と警察に相談・報告したとしています。今後、再発防止と停止中のサービスの早期再開に取り組むとしています。
会社は、当社を装った不審なメール、SMS、電話が来る可能性があるとして注意を呼びかけています。身に覚えのない連絡や不審なURLに注意するよう求めています。
問い合わせは、お客様相談窓口の電話(06-6631-1323、9時30分〜18時30分)とメール(joshin_otoiawase@joshin.co.jp)で受け付けています。侵入経路と再発防止策の中身は、2026年10月30日時点で公表されていません。続報が出たら、このページを更新します。
この事案から学べること
- 会社は件数をシステムごとに分け、「可能性のある総件数」と明記して示しました。システムごとに、持っている情報の項目と件数を把握しておくと、調査中でも影響を説明しやすくなります。
- 決済情報の非保持化に対応していたため、クレジットカード情報は対象になりませんでした。持たない情報は漏えいの対象になりません。
- 会員情報の本体だけでなく、工事写真をアップロードするシステムにも本人確認書類の画像や口座番号が含まれていました。周辺のシステムに何が保存されているかも、影響の範囲を左右します。
自社で確認すること
- 1 会員情報の本体以外のシステム(写真のアップロード、契約の受付など)に、本人確認書類の画像や口座番号が保存されていないか把握していますか?
- 2 システムごとに、保存している個人情報の項目と件数をすぐに数えられますか?
- 3 初期パスワードを発行するサービスで、利用者がそれを変えたかを確認できますか?
関連する事案
よくあるご質問
- ジョーシンの不正アクセスで、どんな情報が漏れた可能性がありますか?
- 会社の第2報(2026年10月26日)によると、会員情報データベースサーバーの氏名・住所・電話番号・会員番号が最大約600万件です。ジョーシンのサブスクの会員番号、電話番号と手書きサイン、ログインIDと初期パスワード、請求履歴などが最大約23万件です。リフォーム写真アップロードシステムの工事写真などが最大約800件です。いずれも可能性のある総件数で、確定した件数ではありません。
- クレジットカード情報は漏れましたか?
- 会社は決済情報の非保持化に対応しており、クレジットカード情報は保持していないとしています(2026年10月26日の第2報)。
- 運転免許証やマイナンバーカードの画像は漏れましたか?
- リフォーム写真アップロードシステムに、運転免許証の画像2件、マイナンバーカード1件、口座番号5件が含まれていました。会社は、該当する人には個別に連絡しているとしています。
- 利用者は何をすればよいですか?
- 会社は、Joshinを装った不審なメール、SMS、電話が来る可能性があるとして、身に覚えのない連絡や不審なURLに注意するよう求めています。パスワードの変更などほかの対応の案内は、2026年10月30日時点の公式発表にはありません。
- 止まっているサービスはいつ再開しますか?問い合わせ先は?
- 停止したサービスの名称と再開時期は公表されていません(2026年10月30日時点)。問い合わせは、お客様相談窓口の電話 06-6631-1323(9時30分〜18時30分)とメール joshin_otoiawase@joshin.co.jp です。
出典
- 不正アクセスによるシステム障害発生のお詫びとお知らせ ↗ (株式会社Joshin、2026-10-17)
- 不正アクセスによるシステム障害発生のお詫びとお知らせ(適時開示) ↗ (株式会社Joshin、2026-10-19)
- 不正アクセスによるシステム障害発生のお詫びとお知らせ(第2報) ↗ (株式会社Joshin、2026-10-26)
- 家電量販のJoshin、不正アクセスで一部サービス停止 個人情報漏えい「可能性否定できず」 ↗ (ITmedia NEWS、2026-10-19)
- Joshin、不正アクセスで最大約600万件の会員情報などが漏えいの可能性 ↗ (INTERNET Watch、2026-10-26)
- ジョーシンへの不正アクセス、最大623万件漏えいか 運転免許証2件・マイナカード1件なども ↗ (ITmedia NEWS、2026-10-26)