リユース店「セカンドストリート」やレンタル・販売の「ゲオ」を運営するセカンドリテイリング（本社・名古屋市、旧ゲオホールディングス）は10月17日、社内システムが第三者による不正アクセスを受けたと公表した。不正アクセスを確認したのは15日で、二次被害を防ぐため、17日午後9時から両ブランドのアプリやオンライン通販、宅配買取などのサービスを止め、システムの保守作業に入った。店舗の営業時間は変えないが、アプリを使った買取などは利用できない。原因と影響範囲は外部のセキュリティ専門機関と連携して調べており、サービスを再開する時期は「目途が確認でき次第」知らせるとしている。
15日に確認、17日夜に一斉停止
同社の発表によると、社内システムへの第三者の不正アクセスを確認したのは10月15日（木）。確認した後に「必要な対策を講じている」とし、そのうえで17日（土）午後9時から、セカンドストリートやゲオなどのアプリとWebサービスを停止した。停止の理由は「二次被害を防ぐため」と説明している。
発表文は、どのシステムが、どのような手口で入られたのかを明らかにしていない。顧客の氏名や住所、購入・買取の履歴といった個人情報が外部に出たかどうかにも触れていない。現時点で同社が示しているのは、不正アクセスがあったという事実と、外部の専門機関と原因究明・影響範囲の調査を進めているという段階までだ。
確認から停止まで2日あいた理由も、発表文には書かれていない。いつまで止まるかは決まっておらず、同社は再開の見通しが立った時点で改めて案内するとしている。
止まったサービス 通販・宅配買取・ロッカー買取まで
停止の対象は、セカンドストリート、ゲオ、ゲオモバイルの3ブランドにまたがる。発表文に並んだサービスは次のとおり。
| ブランド | 停止したアプリ・Webサービス |
|---|---|
| セカンドストリート | アプリ／セカンドストリートオンライン／店舗取り寄せサービス／宅配買取／出張買取／ブランド出張買取（電話での受け付けは継続）／アプリを使った店舗での買取 |
| ゲオ | アプリ／ゲオオンライン／ゲオオンラインストア／ゲオあれこれレンタル／宅配レンタル／宅配買取／アプリを使った店舗での買取 |
| ゲオモバイル | ゲオモバイル UQ mobile オンラインストア／モバイル宅配買取／アプリを使った店舗での買取 |
| その他 | ゲオ買取ロッカー・コンビニ買取／2nd STORAGE |
ネット通販とアプリだけでなく、商品を送って査定してもらう宅配買取、自宅に査定員が来る出張買取、ロッカーやコンビニに預ける買取も止まった。ゲオの宅配レンタルや「ゲオあれこれレンタル」、収納サービスの「2nd STORAGE」も対象に入っている。ネットを経由して申し込むサービスは、ほぼ全面的に止めた形だ。
一方で、ブランド品の出張買取は電話での受け付けを続けている。ネット上の申し込みの窓口を閉じつつ、電話や対面で受けられる部分は残した。
店舗は通常営業、問い合わせは専用メールで
店舗の営業時間は変わらない。発表文は「各店舗の営業時間等に変更はございません」としたうえで、一部でアプリを利用した買取などが使えない場合があると注記した。3ブランドとも、アプリを使わない店頭での買取は続けている。手持ちの品物を売りたい利用者は、アプリを通さずに店頭へ持ち込めば買取を受けられる。
問い合わせについて、同社は「店舗では詳細なご案内ができかねる」として、店舗ではなく所定の窓口へ連絡するよう求めた。窓口はメールで、セカンドストリートに関する一般の問い合わせは「セカンドストリートカスタマーサポート」（2ndstreet-cs@geo-reply.com）、ゲオとゲオモバイルに関する問い合わせは「ゲオカスタマーサポート」（geo-cs@geo-reply.com）が受ける。いずれも同社のお客様相談室が担当する。
報道関係者向けには別に広報課の窓口を設けている。一般の利用者向けに発表で示された窓口はこの2つのメールアドレスだけで、電話の窓口は記載されていない。情報漏えいの被害に遭った個人の対処については、情報処理推進機構（IPA）が「情報セキュリティ安心相談窓口」で電話とメールの相談を受けている。
旧ゲオHD、10月に社名を変えたばかり
セカンドリテイリングは1989年1月に設立された。沿革によると、2011年11月に小売りサービス事業を新設の株式会社ゲオに引き継がせ、自らは株式会社ゲオホールディングスに社名を変えた。2026年10月に社名をセカンドリテイリングに改めた。社名の変更から1か月もたたないうちに、今回の不正アクセスが起きた。
会社概要によると、グループの店舗数は2,274店舗、従業員数は7,249人。株式は東京証券取引所のプライム市場に上場しており、2026年10月1日には名古屋証券取引所のプレミア市場にも上場した。事業内容は、グループ会社の経営企画・管理と管理業務の受託だ。
同社のサイトは、グループの事業としてセカンドストリート、ゲオ、ゲオモバイル、ゲオデジタルベースのほか、ラックラック、OKURA、viviONを挙げている。今回止まったサービスの多くは、店舗網とネットをつなぐ通販や買取の窓口だった。
原因と影響範囲は調査中 個人情報の報告は「発覚から60日以内」
今後の焦点は、入られた社内システムに顧客の個人情報があったかどうかと、それが外へ持ち出されたかどうかだ。同社は調査中としており、現時点では何も明らかにしていない。
個人情報保護法は、不正な目的による行為で個人データが漏えいした場合や、そのおそれがある場合に、事業者に個人情報保護委員会への報告を義務付けている。委員会は、外部からの不正アクセスでサーバーのデータが盗まれた場合をこの例に挙げる。委員会は、発覚したらまず速やかに報告するよう求め、不正な目的で行われたおそれがある場合の報告の期限を「発覚日から、60日以内」としている。今回の事案が報告の対象になるかは、漏えいやそのおそれが確認されるかどうかで決まる。
サイバー攻撃と情報漏えいの現状はサイバー攻撃と情報漏えいの全体像 ランサム被害は最多123件、入口はVPNと委託先にまとめた。IPAは10月16日、不正アクセスの被害を受けている、またはその可能性がある企業・組織向けに「不正アクセス特別相談窓口」を設けた（IPA、不正アクセス被害の企業向けに特別相談窓口 初動対応を電話で助言、専門業者も紹介）。
サービスの再開時期について、同社は「再開の目途が確認でき次第、速やかにご案内いたします」としている。アプリや通販を使っていた利用者にとっては、どこまでの情報が影響を受けたのかを示す続報が、再開の時期とあわせて確かめるべき点になる。