ブックオフ会員情報漏えい638万人｜企業が学ぶ個人情報保護と対策

2026年10月13日、ブックオフグループホールディングスは、会員管理システムへの不正アクセスに関する第2報を公表しました。

公表内容によると、外部への送信が確認された会員データは642万7,735件、影響対象者は638万3,279人に上ります。

氏名、住所、電話番号、メールアドレスなどの情報が対象となり、同社は会員にパスワード変更を呼びかけています。一方、決済情報は今回の対象システムで管理されておらず、漏えい対象には含まれないと説明しています。

今回の事案は、個人情報を保有する企業にとって、決して他人事ではありません。何が起きたのかを整理し、中小企業が日頃から考えておきたい対策を確認します。

1．ブックオフで何が起きたのか

ブックオフグループの公表によると、2026年10月6日に子会社が運営する会員管理システムへの不正アクセスを確認。その後の調査で、10月4日から6日にかけて会員情報が外部から取得されたことが判明しました。

10月13日の第2報で公表された主な内容は次のとおりです。

• 外部への送信が確認された会員データ：642万7,735件
• 影響対象者：638万3,279人
• 対象情報：氏名、生年月日、性別、メールアドレス、電話番号、住所、パスワードのハッシュ値、ポイントカード番号、会員番号など
• 決済情報：今回の対象システムでは管理されておらず、対象外

会員データ件数と対象者数が異なるのは、同じメールアドレスで複数の会員データが登録されている場合、対象者数では1人として集計しているためです。

なお、同社は公表時点で、漏えいした情報の外部公開、ポイントの不正利用、会員情報の書き換えは確認されていないと説明しています。これは悪用の可能性が将来にわたってないことを意味するものではありません。

2．個人情報が漏えいすると、何が問題になるのか

氏名や住所、電話番号、メールアドレスなどが組み合わさると、本人になりすました連絡や、実在する企業・サービスを装った詐欺に悪用されるおそれがあります。

例えば、実在するサービス名や氏名をメールに記載し、アカウントの確認やパスワード変更を求める連絡が届いた場合、受け取った人が正規の案内だと信じてしまう可能性があります。

また、漏えいした情報と別の場所から入手した情報が組み合わされることで、より信ぴょう性の高い詐欺連絡につながる可能性もあります。

ただし、今回の情報が実際に悪用されたと確認されたわけではありません。大切なのは、確認されている事実と今後起こり得るリスクを分けて考え、落ち着いて対策することです。

3．会員や利用者が確認したい4つのこと

① 公式サイトや公式アプリからパスワードを変更する

ブックオフグループは、対象となる会員にパスワード変更を呼びかけています。公式サイトや公式アプリを自分で開き、正規の手順で変更しましょう。

② 同じパスワードを使っている他のサービスも見直す

複数のサービスで同じパスワードを使い回している場合、1つのサービスで情報が漏えいすると、別のサービスへの不正ログインにもつながるおそれがあります。使い回しがある場合は、他のサービスもそれぞれ異なるパスワードに変更しましょう。

③ 不審なメールやSMSのリンクを開かない

情報漏えいの発表後は、企業を装ったメールやSMSに注意が必要です。パスワードや決済情報の入力を求められても、メッセージ内のリンクから手続きしないでください。公式アプリや公式サイトを自分で開いて確認しましょう。

④ 公式発表と連絡内容を確認する

対象者への個別連絡については、ブックオフグループの公式発表を確認してください。連絡が届いた場合も、送信元や内容を慎重に確認し、パスワードや決済情報の返信を求める連絡には応じないようにしましょう。

4．中小企業も考えたい、個人情報を守るための対策

今回の事案から考えたいのは、個人情報を保有する企業にとって、情報を管理するシステムの安全性と、問題が発生した場合の対応準備が重要だということです。

① どのような個人情報を保有しているか把握する

顧客名簿、問い合わせ履歴、従業員情報、取引先担当者の連絡先など、社内で扱う個人情報を洗い出しましょう。どのシステムに保存され、誰がアクセスできるのかを把握することが対策の出発点です。

② アクセス権限と認証を見直す

業務上必要な人だけが情報にアクセスできるようにし、不要になったアカウントは速やかに停止します。多要素認証の導入や、管理者アカウントの適切な管理も検討したい対策です。

③ システム更新と監視を継続する

OSやソフトウェア、ネットワーク機器などを適切に更新し、不審なログインや通信を検知できる体制を整えます。外部の事業者にシステム管理を委託している場合も、対応範囲や連絡手順を確認しておきましょう。

④ 事故発生時の対応手順を決めておく

不正アクセスが疑われた場合、誰が初動を判断するのか、どこに連絡するのか、システムをどう隔離するのか、顧客や関係機関への報告をどう進めるのか。事前に役割と手順を決め、必要に応じて訓練しておくことが重要です。

5．サイバー保険に加入していれば安心なのか

サイバー事故では、原因調査、専門家への相談、システム復旧、顧客への通知、問い合わせ対応など、さまざまな費用が発生する可能性があります。

サイバー保険は、契約内容や事故の状況に応じて、こうした費用や賠償責任などを補償する場合があります。ただし、すべての費用や損害が自動的に補償されるわけではありません。補償対象、支払限度額、免責金額、事故対応費用の条件などを確認する必要があります。

また、保険はセキュリティ対策の代わりにはなりません。情報管理のルール、アクセス制御、システム更新、バックアップ、事故対応手順といった日常の備えと組み合わせて考えることが大切です。

6．まとめ｜個人情報を扱うすべての企業に関係する問題

ブックオフグループの公表では、会員データ642万7,735件、影響対象者638万3,279人という規模が明らかになりました。決済情報は今回の対象外とされていますが、氏名や連絡先などの情報が漏えいした場合、なりすましや詐欺連絡などの二次的なリスクに注意する必要があります。

中小企業でも、顧客情報や従業員情報、取引先情報を保有している以上、情報管理の見直しは重要です。まずは、保有する情報、アクセスできる人、システムの更新状況、事故発生時の連絡手順を確認してみてはいかがでしょうか。

サイバーリスクへの備えは、特別な設備を導入することだけではありません。自社が保有する情報を把握し、日常の管理と事故発生時の対応を具体的に決めておくことが、被害を抑えるための第一歩です。

※本記事は、2026年10月13日に公表された情報に基づいています。状況や対応方針が更新される可能性があるため、最新情報はブックオフグループホールディングスの公式発表をご確認ください。