中古品販売「ブックオフ」を展開するブックオフグループホールディングス（東証プライム）は10月13日、子会社ブックオフコーポレーションの会員管理システムが第三者の不正アクセスを受けた問題で、会員638万3279人分の情報が外部に漏えいしたと発表した（第2報）。9日の初報では「最大約643万件」としていた件数を、会員番号ベースで642万7735件と確定させ、実際の人数も初めて示した。漏えいしたのは氏名、生年月日、住所、電話番号、メールアドレスなどで、16日には第2報に「職業」と「ニックネーム」の記載が漏れていたとして訂正を出した。クレジットカードなどの決済情報や銀行口座、本人確認書類の画像は対象に含まれない。同社は15日から、対象の会員に登録メールアドレスで順次連絡している。
10月4〜6日に取得、6日に確認
同社の発表によると、ブックオフコーポレーションが不正アクセスを確認したのは10月6日。その後の調査で、10月4日から6日にかけて、会員管理システムに保存された会員情報が外部から取得されていたことが分かった。
確認の後、同社は攻撃元からの通信と、不正アクセスに使われた経路を遮断し、アクセス制御や監視を強めた。第2報の時点で「判明している不正取得経路の封じ込めは完了」しており、新たな不正取得は確認していないという。外部の専門家の協力を得て原因を調べ、グループの全システムと全環境を対象に緊急の総点検を進めている。システムの構成や脆弱性、攻撃の手口は「今後の不正アクセスを誘発するおそれがある」として公表していない。
個人情報保護委員会へ報告し、警察にも相談した。第2報の時点で、漏えいした情報が外部に公開された事実、ポイントの不正利用、実在する会員の情報の書き換えは、いずれも確認されていない。店舗や公式オンラインストア、アプリなどの各サービスは通常どおり使えるとしている。
初報の「643万件」から第2報で人数を確定
9日の初報が示した数字は「最大約643万件」の1つだけだった。同社はこれを「漏洩した可能性のある会員番号の件数であり、対象となる方の実際の人数ではありません」と注記し、人数は精査中としていた。
13日の第2報では、数え方の異なる2つの数字を確定値として出した。
| 項目 | 第2報の確定値 |
|---|---|
| 漏えい対象の会員データ数（会員番号ベース） | 642万7735件 |
| 漏えい対象者数 | 638万3279人 |
| うち有効会員 | 617万908人 |
| うち退会した会員 | 21万2371人 |
出典: ブックオフグループホールディングス「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ(第2報)」（2026年10月13日）
会員データ数は、会員情報が外部に送られたことをシステムの記録で確かめた会員番号の件数。対象者数は、同じメールアドレスで登録された複数の会員データを1人として数え直した人数で、この違いが件数と人数の差（4万4456）になっている。対象者のうち21万2371人は、すでに退会した会員だった。退会しても会員管理システムに情報が残っていたことになる。
対象となるのは、アプリ会員、オンラインストア会員、Web会員の3種類。店頭で会員カードを使うだけで、アプリやウェブで会員登録をしていない人は含まれない。
対象のシステムは、国内のブックオフ事業の会員を管理するもので、「BOOKOFF」「BOOKOFF SUPER BAZAAR」「BOOKOFF PLUS」の各店舗、公式オンラインストア、「あそビバ」「BOOKOFF FASHION」、プレミアムサービス事業の「Rehello by BOOKOFF」の店舗などが含まれる。一方、「hugall」「aidect」、Rehello by BOOKOFF のECサイト、「ブクログ」「青山ブックセンター」などは別のシステムで管理しており、対象外としている。
訂正で「職業」「ニックネーム」を追加
漏えいした可能性のある情報として第2報が挙げたのは、氏名、生年月日、性別、メールアドレス、電話番号、会員情報として登録した郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号だった。
同社は16日、この一覧に「職業」と「ニックネーム」の記載が漏れていたとして訂正を出した。訂正は対象の項目を2つ加えるもので、会員データ数や対象者数などほかの内容は変わらないとしている。15日付で公表した「よくある質問」でも、漏えいした可能性のある情報に職業とニックネームを含めている。ただし、すべての会員について、これらの情報がすべて漏えいしたわけではないという。
パスワードは、一定の方式で変換した「ハッシュ値」の形で保存されており、同社は「そのままでは元のパスワードを読み取ることはできません」と説明している。
対象外としたのは次の情報だ。
- クレジットカードなどの決済情報と銀行口座情報（このシステムでは管理していない）
- 店頭買取で入力した住所と、運転免許証などの本人確認書類を読み取った文字情報
- 宅配買取で提出した本人確認書類の画像と、会員住所とは別に指定した集荷先（別のシステムで管理）
- 商品の注文時に会員住所とは別に指定した配送先
店頭買取で提示した本人確認書類は、画像を保存・保管していないという。
対象者にメール、パスワードの変更を要請
同社は10月15日から、対象の会員に、登録されているメールアドレスあてに順次連絡している。件名は「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」、送信元は「bookoff@2902.net」。対象者が多く、全員への連絡を終えるまでには一定の期間がかかる見込みで、送信状況によって送信元アドレスを変える場合があるとしている。メールアドレスを変えたなどの理由で届かない会員には、公表文をもって個別連絡に代えるとした。
対象の会員には、ブックオフ公式オンラインストアと公式アプリのパスワードを変えるよう求めている。同じか似たパスワードをほかのサービスでも使っている場合は、そちらも別のパスワードに変えるよう呼びかけた。同社の案内メールにはパスワード変更画面へのリンクを載せないため、変更は公式アプリか公式サイトへ直接アクセスして行うよう案内している。
漏えいした情報を悪用し、同社や関係先を装うメール、SMS、電話が届くおそれもある。同社は、メールやSMS、電話でパスワードやクレジットカード情報、銀行口座情報を尋ねることはないとしている。問い合わせはお客様窓口（0570-01-2902、午前10時〜午後6時30分）と専用の問い合わせフォームで受け付けており、フリーダイヤルを準備している。
個人情報保護法の報告義務と業績への影響
個人情報保護法は、企業が持つ個人データの漏えいのうち、本人の数が1000人を超えるものや、不正の目的で行われたおそれがあるものについて、個人情報保護委員会への報告を義務づけている。委員会の案内では、発覚したらまず速やかに報告し、不正の目的で行われたおそれがある場合は発覚日から60日以内に詳しい報告を出す。今回は人数、手口のどちらの要件にもあたる。
この秋には、ほかの事業者からも不正アクセスの公表が続いている（クロネコ代金後払いに不正アクセス、利用者情報約526万件が持ち出し ヤマト運輸が第4報、ゲオ・セカスト運営会社に不正アクセス アプリと通販、宅配買取を停止）。
業績への影響について、ブックオフグループホールディングスは、今回の不正アクセスは第1四半期の末日より後に起きたため、同期間の業績には影響しないと説明した。2027年5月期の連結業績予想には影響を織り込んでおらず、現在精査している。業績予想の修正など開示すべき事項が出れば、速やかに知らせるとしている。