ブックオフの「最大約643万件」は会員番号の数で、人数は精査中。自分が対象かを確かめる公式の経路は確認できない

2026年10月13日

この記事のポイント

いつ：10月6日に不正アクセスを確認し、10月9日に公表（確認日と公表日は別）
何が：ブックオフグループの子会社が提供する会員管理システムに第三者が不正アクセスし、会員情報が外部に取得されたと判明
規模：最大約643万件で、これは会員番号の件数であり、実際の人数は精査中
漏れた可能性がある情報：氏名・住所・メールアドレス・電話番号・パスワードのハッシュ値などで、クレジットカード等の決済情報はこのシステムに保有がなく対象外
取るべき行動：パスワードや認証コードを尋ねる連絡には応じず、不審なメール・SMS・電話のURLは開かない。パスワードを使い回している場合は見直す（公式の要請とは別）

10月6日に確認、10月9日に公表——子会社の会員管理システムから、氏名・住所・パスワードのハッシュ値まで

ブックオフグループホールディングスは2026年10月9日、「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」を公表しました（公式お知らせ、日経・適時開示）。ITmediaなどの報道によると、子会社が提供する会員管理システムに第三者が不正アクセスし、その後の調査で会員情報が外部に取得されたと判明したとされています。

不正アクセスを確認した日は10月6日で、公表日の10月9日とは別です。

どの子会社かは、報道でも「子会社」止まりで確認できていません。

複数の報道が一致して伝えている、漏えいした可能性がある項目は次のとおりです。公式本文では項目の一覧を確認できていません。

自分で変更できるもの：メールアドレス、電話番号、パスワード（漏れた可能性があるのは、パスワードを元に戻せない形に変換した「ハッシュ値」です）
変更しにくいもの：氏名、生年月日、性別、郵便番号・住所
自分では変えられないもの：会員番号、ポイントカード番号

一方、クレジットカード等の決済情報は、このシステムで保有していないため対象外と説明されています。

「最大約643万件」は会員番号の数であって人数ではない——重複が含まれうるのかは公式発表の範囲では判断できない

公表されている事実は、「最大約643万件」が会員番号の件数であり、実際の対象人数は精査中、という点です（ITmedia、日経）。件数を人数として受け取ると誤りになります。

件数と人数がずれる一般的な仕組みとしては、退会済みの会員番号が残っている場合や、1人が複数の番号を持っている場合が考えられます。ただし、これは一般論としての推測です。今回の件で重複が含まれるのか、含まれるならどの程度かは、公式発表の範囲では判断できません。件数と人数が一致しなかった事例は、大和証券の約22万件の漏えいでも起きています。

店舗のカード、アプリ、オンラインストアが同じ会員番号の体系なのかも、確認できていません。人数の確定は、続報を待つ必要があります。

「自分は対象か」を確かめる公式の窓口は見つからない——それでも手元で確認できる3つのこと

照会ページや会員番号の照合手段は、公式発表では確認できていません。窓口の詳細も同様です。そのため、自分が対象かどうかを個別に判定する方法は、現時点ではありません。

なお、影響を受ける顧客には調査結果に応じて順次個別に連絡する方針が示されていますが、具体的な方法と時期は公表されていません（ITmedia）。

そのうえで、手元で確かめられることが3つあります。

どの形態で会員登録したか：店舗の会員カード、アプリ、オンラインストアのどれで登録したかを思い出します。対象になりうる範囲を自分で絞るためです。ただし、これらが今回の漏えい対象とどう対応するかは未確認です。
登録メールアドレスの棚卸し：ブックオフ関連で使ったアドレスを書き出しておきます。個別連絡や不審な連絡が届きうるアドレスを把握するためです。
届いている連絡の確認：そのアドレスに届いた通知を確認します。真偽を見極めるため、メール内のURLは開かず、公式お知らせを自分でたどって内容を確かめます。

漏れた可能性があるのはパスワードそのものではなくハッシュ値——使い回している人が先に見直したいこと

一般に、ハッシュ値から元のパスワードがすぐに読めるわけではありません。変換の前にランダムな文字列を加える「ソルト」という仕組みが使われていると、解読はさらに難しくなります。

ただし、今回の変換方式やソルトの有無は、確認できていません。単純なパスワードは、ハッシュ値から割り出されるおそれもあります。そのため、安全とは言い切れません。

公式の呼びかけとして確認できているのは、グループや関係先を装うメール、SMS、電話への注意です。不審な連絡のURLを開かないよう求めています（ビジネス＋IT）。また、同社は、パスワード・認証コード・クレジットカード情報などをメール・SMS・電話で尋ねることはないと明示しています（ITmedia）。これらを尋ねる連絡は、偽の連絡を見分ける手がかりになります。

以下は公式案内とは別の、一般的な対策です。公式が全会員にパスワード変更を要請した、という確認は取れていません。そのうえで、ブックオフで使ったパスワードを他のサービスでも使い回している場合は、次の順で見直します。

同じパスワードを使い回しているサービスを洗い出す
ブックオフ側のパスワードを変更する（公式FAQによると、会員サイトのログイン画面から再設定できます。今回の件に特化した案内ではなく、通常の再設定手順です）
使い回していた他のサービスを、重要度の高いものから順に変更する
2段階認証が使えるサービスは有効にする

侵入経路・人数・補償は公表されていない——10月9日時点で悪用は確認されていないという説明の範囲

10月9日時点で、公式が述べている範囲と、公表されていない点を分けて整理します。

項目	現在の状況
侵入経路・開始時期	公表されていない（10月6日は「確認」した日）
外部専門家による調査の有無	確認できていない
補償・ポイント付与	確認できていない
ハッシュ化の方式とソルトの有無	確認できていない
専用窓口の詳細	公式発表で確認できていない

公表済みの対応は次のとおりです。