【ブックオフ】会員管理システムに不正アクセス、約638万人分の氏名・住所・パスワードのハッシュ値などが漏えい（第2報で確定）

公表：2026年10月9日／続報：2026年10月13日（第2報：対象の人数・件数が確定）／続報：2026年10月16日（第2報の一部訂正：漏えい項目に「職業」「ニックネーム」を追加）

3行でわかるポイント

1. ブックオフグループの子会社が提供する会員管理システムに外部から侵入され、会員情報が外部に持ち出されたことが分かりました。
2. 第2報で、漏えいの対象は6,383,279人（会員番号ベースで6,427,735件）と確定しました。氏名・住所・電話番号・メールアドレス・パスワードのハッシュ値などが含まれます。クレジットカード情報はこのシステムにはありません。
3. ブックオフと同じパスワードを他のサービスで使っている人は、そちらのパスワードを変えておきましょう。

何が起きたか

ブックオフグループホールディングスは10月6日、子会社の会員管理システムへの第三者による不正アクセスを確認しました。調査の結果、システムで管理していた会員情報が外部から取得されたことが判明し、10月9日に公表しました。

漏れた可能性のある情報

対象はアプリ会員、オンラインストア会員、Web会員です。会員カードだけを使っていて、アプリやWebの登録をしていない人は対象外です。店頭・宅配買取で出した本人確認書類の画像や、注文時に別に指定した配送先の情報も対象外とされています。

影響／原因

公表時点で、会員情報の書き換えや、流出した情報がネットに公開されたり悪用されたりした事実は確認されていません。会社は攻撃元との通信を遮断し、弱点（脆弱性）を直したうえで、対象システムへの外部からのアクセスを止めました。全システムの緊急点検も進めています。侵入の詳しい手口は公表されていません。

【続報 10月13日】

ブックオフグループホールディングスは第2報で、漏えいの対象を確定しました。外部から情報が取られたのは10月4日から6日にかけてで、対象は6,383,279人（有効会員6,170,908人、退会会員212,371人）です。同じメールアドレスで複数の会員データを持つ人を1人と数えたため、会員番号ベースの件数（6,427,735件）とは差があります。会員情報の書き換えやポイントの不正利用は確認されていません。対象の会員には10月15日から、登録メールアドレスあてに順次連絡するとしています。会社からの連絡でパスワードやカード情報の入力を求めることはなく、パスワード変更画面へのリンクも載せないとしています。

【続報 10月16日】

ブックオフグループホールディングスは、第2報の内容を一部訂正しました。漏えいした可能性のある情報に「職業」と「ニックネーム」が含まれていたことが分かり、対象の項目に追加しました。漏えいの対象となった会員データの数や人数など、そのほかの公表内容に変更はないとしています。

利用者が今すべきこと

1. ブックオフと同じメールアドレス・パスワードの組み合わせを他のサービスで使っている場合は、他のサービス側のパスワードを変更してください。パスワードは計算で変換された値（ハッシュ値）で保存されていましたが、使い回しの危険がなくなるわけではありません。
2. ブックオフを名乗るメール・SMS・電話で、パスワードやカード番号を聞かれても答えないでください。
3. 心当たりのない連絡にあるURLは開かず、公式サイトの問い合わせ窓口で確認しましょう。

私たちが学べること

買い物アプリや会員カードの情報は、店舗の利用が多い人ほどたまりやすいものです。数百万件規模の漏えいが続く今、「サービスごとに別のパスワードを使う」ことが、自分の被害を一番確実に小さくします。

経過

出典

1. ブックオフグループホールディングス「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月9日）
2. セキュリティ対策Lab（10月9日）
3. ブックオフグループホールディングス「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ(第2報)」（2026年10月13日）
4. ブックオフグループホールディングス「（訂正）不正アクセスによる個人情報漏えいに関するお詫びとお知らせ(第2報)の一部訂正について」（2026年10月16日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。