家電量販店「ジョーシン」を展開する株式会社Joshin（本社・大阪市、東証プライム上場）は、自社のネットワークが第三者による不正アクセスを受け、一部のサービスを提供できない状態になっていると公表した。不正アクセスを認識したのは10月16日（金）で、すぐに外部からのアクセスを制限するなどの対策をとった結果、サービスの一部が止まった。同社は「現時点では個人情報漏洩の可能性も否定できない」として、個人情報保護委員会に第一報を入れたと説明している。情報が外に出たかどうかは、外部の専門機関と連携して調べている。

16日に認識、アクセスを絞ってサービスが止まる

同社の発表によると、不正アクセスを認識したのは10月16日（金）。認識した後、速やかに外部からのアクセスを制限するなどの対策をとった。その結果として、一部のサービスを提供できない状態になっているという。つまり、サービスの停止は攻撃そのものによる故障というより、被害の広がりを抑えるために外とのつながりを絞った結果だと同社は位置づけている。

発表は「当社のネットワークが第三者による不正アクセスの影響を受け」たとしているが、攻撃の手口（ランサムウェアかどうか、どこから侵入されたか）は明らかにしていない。どのサービスが止まっているのか、店舗の営業に影響があるのかも、発表文には具体的な記載がない。

同社の公式サイトでは20日時点で、定額制の「ジョーシンのサブスク」の案内に「メンテナンス中」と表示されている。ただし、これが今回の不正アクセスと関係しているかどうかを同社は説明していない。通販サイト「Joshin webショップ」の状況は、本紙が確認できていない。

17日に第1報、19日に適時開示

公表は2段階で行われた。まず10月17日付で同社の公式サイトに「不正アクセスによるシステム障害発生のお詫びとお知らせ」を掲載し、19日には同じ題名・同じ内容の文書を、東京証券取引所の適時開示情報閲覧サービス（TDnet）でも開示した。2つの文書の本文は同一で、19日時点で新しく分かった事実は加わっていない。

問い合わせの窓口は、同社お客様相談室のメールアドレス（joshin_otoiawase@joshin.co.jp）とされている。同社は「今後、公表すべき新たな事実が判明した場合には、当社公式ホームページ等を通じて速やかにお知らせいたします」としており、次の発表で停止中のサービスや調査結果が示されるかが焦点になる。

Joshinは、2026年4月1日に「上新電機株式会社」から「株式会社Joshin」へ商号を変更した。店名の「ジョーシン」はそのままで、同社は公式サイトで、ジョーシンカードやジョーシンギフトカード、長期保証の保証書など旧社名が書かれたものも有効期限内はそのまま使えると案内している。証券コードは8173。発表は、個人情報に加えて「その他の重要な情報など」についても流出の有無を確認中だとしており、どの種類の情報が調査の対象になっているかも、現時点では示されていない。

「漏えいのおそれ」でも報告が必要な仕組み

同社が個人情報保護委員会に「第一報」を入れたのは、個人情報保護法で、一定の場合に漏えいの報告が義務づけられているためだ。委員会の案内によると、報告が必要になるのは、病歴などの「要配慮個人情報」を含む場合、クレジットカード番号など不正に使われると財産的な被害が出るおそれがある場合、不正な目的をもった行為による場合、そして件数が1000人を超える場合などで、いずれも実際に漏れたと確定する前の「おそれ」の段階から対象になる。

委員会は、外部からの不正アクセスでサーバーのデータが盗まれた場合や、ランサムウェアで個人データが暗号化されて元に戻せなくなった場合を、報告が必要な例として挙げている。報告の期限は、発覚したら「まずは速やかに」報告し、不正な目的で行われたおそれがある場合は、発覚日から60日以内に詳しい報告を出すことになっている。

Joshinの発表が「漏洩の可能性も否定できない」という段階で委員会に第一報を入れたのは、この「おそれ」の段階での報告にあたる。今後の調査で、どの情報が、どれだけの件数漏れたのか（あるいは漏れていないのか）がはっきりすれば、改めて報告と公表が行われることになる。同社も「万一漏洩が判明した場合には、関係各所に速やかにご報告いたします」としている。

小売りで相次ぐ不正アクセス被害

同じ週には、リユース店「セカンドストリート」やレンタル・販売の「ゲオ」を運営するセカンドリテイリング（名古屋市）も、10月15日に社内システムへの第三者の不正アクセスを確認したと公表している。同社は二次被害を防ぐため、17日午後9時からアプリやWebサービスを止めた（詳しくは「ゲオ・セカスト運営会社に不正アクセス　アプリと通販、宅配買取を停止」）。

企業がサイバー攻撃を受けたときの相談先として、情報処理推進機構（IPA）は10月16日、「不正アクセス対策特設サイト」を公開し、被害を受けているかその可能性がある全国の企業・組織向けの「不正アクセス特別相談窓口」を設けた。電話（03-6759-5760）やメールで、インシデントが起きたときの初動対応について相談を受け、必要に応じてほかの相談・報告先を紹介する（「IPA、不正アクセス被害の企業向けに特別相談窓口　初動対応を電話で助言、専門業者も紹介」）。

Joshinの発表は、外部からのアクセスを制限して被害の拡大を防いだうえで、外部の専門機関と影響範囲を調べるという、不正アクセスを受けた企業の多くがとる初動の流れに沿っている。利用者にとっては、停止しているサービスの範囲と再開の見通し、そして自分の情報が流出したかどうかが今後の発表で示されるかが焦点となる。