概要

2026年10月6日に子会社の会員管理システムへの不正アクセスを確認し、調査で会員情報が外部から取得されたことが判明した。対象は氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号で、クレジットカード等の決済情報は保有しておらず含まれない。約643万件は会員番号の件数で実人数ではない。同社は攻撃元からの通信遮断、脆弱性の是正、外部アクセス遮断を実施し、全システムの緊急総点検を進めている。10月9日時点で流出情報の公開・悪用・書き換えは確認されていない。

経緯

経緯情報は未登録です。

原因

第三者による子会社の会員管理システムへの不正アクセス。同社は脆弱性の是正を実施しており、システムの脆弱性が悪用されたとみられるが詳細は未公表。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

不明

金銭的被害

不明

対象システム

子会社の会員管理システム

漏洩した情報

• 可能性あり氏名
• 可能性あり生年月日
• 可能性あり性別
• 可能性ありメールアドレス
• 可能性あり電話番号
• 可能性あり郵便番号・住所
• 可能性ありパスワードのハッシュ値
• 可能性ありポイントカード番号
• 可能性あり会員番号

最大約643万件（会員番号ベース、実人数ではない）の会員情報が流出した可能性。情報流出自体は確認済みで、対象人数や詳細は精査中。決済情報は含まれない。

対応

攻撃元からの通信遮断、脆弱性の是正、対象システムへの外部アクセス遮断を実施し、判明している不正取得経路の封じ込めを完了。監視を継続し、全システムの緊急総点検と追加対策を進め、対象会員へ順次個別連絡する。

• 攻撃元からの通信遮断
• 脆弱性の是正
• 対象システムへの外部アクセス遮断
• 監視の継続
• 全システムの緊急総点検
• ネットワーク・アプリケーション両面の追加対策
• 対象会員への個別連絡
• 不審なメール・SMS・電話への注意喚起

教訓・対策

• 大規模な会員管理システムでは脆弱性管理と外部アクセス制御を徹底する必要がある
• 情報流出後はなりすましメール・SMSへの注意喚起が重要

参考資料

1. ブックオフに不正アクセス、最大約643万件の会員情報漏洩の可能性 氏名・住所などが対象
   サイバーセキュリティ.com公開日: 2026-10-11報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

ブックオフグループホールディングス株式会社

関連するインシデント

関連付けられたインシデントはありません。