ブックオフ、会員管理システムへ不正アクセスによるサイバー攻撃、最大約643万件の個人情報漏洩-退会者も含む

ブックオフグループホールディングス株式会社は2026年10月13日、子会社のブックオフコーポレーション株式会社が運営する会員管理システムへの不正アクセスについて、第2報を公表しました。外部への送信が確認された会員データは642万7,735件（会員番号ベース）、漏えい対象者は638万3,279人と判明しました。

10月9日の初報では最大約643万件が対象とされていましたが、今回の調査で実際の対象人数が明らかになりました。退会済みの会員21万2,371人も含まれています。

同社は10月15日から対象者への個別通知を開始し、公式オンラインストアと公式アプリのパスワード変更を求めています。また、氏名やメールアドレス、電話番号などが第三者に取得されていることから、ブックオフを装ったフィッシングメールやSMS、電話などへの注意も呼びかけています。

ブックオフ個人情報漏えい・第2報のサマリー

• 2026年10月6日、ブックオフコーポレーションの会員管理システムに対する不正アクセスを確認しました。
• 10月4日から6日にかけて、会員データ642万7,735件が外部へ送信されたことをシステム記録から確認しています。
• 漏えい対象者数は638万3,279人で、有効会員617万908人、退会会員21万2,371人です。
• 対象はアプリ会員、オンラインストア会員、Web会員です。カードのみの会員でアプリ・Web登録をしていない利用者は対象外です。
• 氏名、生年月日、性別、メールアドレス、電話番号、住所、パスワードのハッシュ値などが漏えい対象です。
• クレジットカード情報、銀行口座情報、本人確認書類画像などは今回の漏えい対象に含まれていません。
• 10月15日から、対象者の登録メールアドレス宛てに順次通知します。
• 対象会員に対し、ブックオフ関連サービスと、同じパスワードを使用する他サービスのパスワード変更を要請しています。
• 10月13日時点で、漏えい情報の外部公開、ポイントの不正利用、実在する会員情報の書き換えは確認されていません。

項目	公表内容
公表日	2026年10月13日（第2報）
公表企業	ブックオフグループホールディングス
対象システム	国内ブックオフの会員管理システム
不正取得期間	2026年10月4日～6日
漏えいした会員データ	6,427,735件
漏えい対象者	6,383,279人
有効会員	6,170,908人
退会会員	212,371人
個別通知	10月15日から順次
対応状況	不正取得経路の遮断、監視強化、原因調査、全システムの緊急総点検

ブックオフの漏えい対象は638万3,279人、退会済み会員も含む

ブックオフの第2報によると、漏えいが確認された会員データは会員番号ベースで642万7,735件でした。一方、実際の漏えい対象者数は638万3,279人です。

会員データ数は外部への送信をシステム記録で確認した会員番号の件数で、対象者数は同じメールアドレスで登録された複数の会員データを1人として集計した人数です。この集計方法の違いにより、両者の数字に差が生じています。

対象者には退会済みの会員も含まれます。過去にブックオフの公式アプリやオンラインストアを利用し、その後退会した人も、今回の情報漏えいの影響を受けている可能性があります。

一方、会員カードのみを利用し、アプリやWebサービスに登録していない利用者は対象外です。

対象サービスの範囲には、BOOKOFF、BOOKOFF SUPER BAZAAR、BOOKOFF PLUS、BOOKOFF公式オンラインストア、あそビバ、BOOKOFF FASHION、BINGO、B・SPORTS、B・STYLE、Rehello by BOOKOFF（店舗）が含まれています。

「hugall」「aidect」「Rehello by BOOKOFF（ECサイト）」「Japan TCG Center」「ブクログ」「青山ブックセンター」「ブックオフおかたづけサービス」は、別システムで管理されているため今回の対象範囲には含まれません。

漏えいした情報は氏名・住所・電話番号・パスワードのハッシュ値など

同社が公表した、漏えいした可能性のある個人情報は以下のとおりです。

情報の種類	漏えい対象
氏名	対象
生年月日・性別	対象
メールアドレス	対象
電話番号	対象
会員登録時の郵便番号・住所	対象
パスワードのハッシュ値	対象
ポイントカード番号・会員番号	対象
クレジットカードなどの決済情報	対象外
銀行口座情報	対象外
店頭買取時の本人確認書類の読み取り情報	対象外
本人確認書類の画像	対象外
会員登録住所とは別の配送先・集荷先情報	対象外

パスワードのハッシュ値とは、元のパスワードを一定の方式で変換した情報です。そのまま元のパスワードを読み取れるものではありませんが、保存方式やパスワードの強度によっては、元のパスワードが推測されるリスクがあります。

今回、実際にパスワードが解読されたという発表はありません。ただし、同社は対象会員にパスワード変更を要請しています。

また、クレジットカード情報や銀行口座情報は今回の対象システムでは管理しておらず、本件による漏えい対象には含まれないと説明しています。

ブックオフの個人情報が漏えいした場合、利用者が取るべき5つの対策

今回の不正アクセスを受け、対象となる可能性がある会員は、以下の対応を確認してください。パスワード変更についてはブックオフ自身が要請しているもので、それ以外は一般的な不正利用・フィッシング被害を防ぐための対策です。

1. ブックオフ公式アプリ・オンラインストアのパスワードを変更する

最初に、BOOKOFF公式オンラインストアとブックオフ公式アプリで利用しているパスワードを変更します。

同社は、対象会員に対してパスワード変更を求めています。漏えいしたのがハッシュ値であっても、パスワード変更によって、元の認証情報が推測・悪用された場合のリスクを低減できます。

変更する際は、メールやSMSに書かれたURLではなく、公式アプリまたは自分で開いた公式サイトから手続きを行ってください。

10月15日から通知が始まる予定ですが、対象となる可能性がある利用者は、通知を待たずに公式サイトからパスワードを変更することもできます。

2. 他のサービスで同じパスワードを使っている場合は変更する

ブックオフで使用していたパスワードを、Amazonや楽天市場などのECサイト、SNS、メールサービス、その他の会員サービスでも使用している場合は、それぞれ異なるパスワードに変更してください。

パスワードの使い回しがあると、一つのサービスで認証情報が知られた場合に、別のサービスへ不正ログインを試みる「パスワードリスト攻撃」につながるおそれがあります。

特に、メールアカウントは他のサービスのパスワード再設定にも利用されるため、同じパスワードを使用している場合は優先的に変更してください。

変更後はサービスごとに異なるパスワードを設定し、必要に応じてパスワード管理ツールを活用すると管理しやすくなります。

3. 二段階認証・多要素認証を設定する

利用しているサービスが二段階認証、多要素認証（MFA）、パスキーなどに対応している場合は、有効化を検討してください。

パスワード以外の認証要素を追加することで、仮にパスワードを知られても、第三者によるログインを防ぎやすくなります。

ただし、今回のブックオフの公式アプリやオンラインストアが、これらの認証方式に対応していると確認されたわけではありません。まずは普段利用しているメール、EC、SNS、金融サービスなどで対応状況を確認してください。

4. ポイント残高や会員情報に不審な変更がないか確認する

ブックオフは10月13日時点で、ポイントの不正利用や実在する会員情報の書き換えを確認していないと発表しています。

ただし、利用者側でも必要に応じて公式アプリなどからポイント残高や会員情報を確認し、身に覚えのない利用や変更がないか注意してください。

不審な履歴や会員情報の変更があった場合は、ブックオフの専用窓口に相談できます。

5. 氏名や住所を知っている相手からの連絡も信用しない

今回の漏えい対象には、氏名、メールアドレス、電話番号、住所などが含まれています。

これらの情報が悪用された場合、氏名を記載したメールや、住所・生年月日を知っていることを利用した電話など、本人に関する情報を使った詐欺が考えられます。

相手が正しい氏名や住所を知っていることだけでは、ブックオフの担当者や正規の事業者である証明にはなりません。

不審な連絡を受けた場合は、その場で認証情報や決済情報を伝えず、公式に案内されている窓口へ自分で連絡してください。

ブックオフを装うフィッシングメールに注意、10月15日からの通知を悪用する可能性

ブックオフは10月15日から、漏えい対象者へ個別の通知メールを順次送信します。

正規の通知が届く時期には、第三者が同社を装って偽のメールやSMSを送信する可能性にも注意が必要です。

例えば、次のような内容は警戒すべきものです。

• 「個人情報漏えいの対象者です。以下のURLから至急パスワードを変更してください」
• 「情報漏えいに伴う補償金を受け取るため、口座番号を登録してください」
• 「会員情報の安全確認のため、クレジットカードを再登録してください」
• 「24時間以内に本人確認をしない場合、ポイントが失効します」

これらは想定される偽通知の例であり、今回の事件に関連して実際に確認されたフィッシングメールの文面ではありません。

警察庁も、情報漏えいや不正アクセスを口実に利用者を急がせ、偽のサイトへ誘導するフィッシングの手口について注意喚起しています。

ブックオフの正規通知にはパスワード変更画面へのリンクを掲載しない

ブックオフが10月13日に公表した正規通知の案内は以下のとおりです。

確認項目	公式発表の内容
通知開始日	2026年10月15日
通知方法	登録メールアドレス宛てに順次送信
メール件名	不正アクセスによる個人情報漏えいに関するお詫びとお知らせ
パスワード変更画面へのリンク	掲載しない
パスワードの入力・返信要求	行わない
クレジットカード・銀行口座情報の入力・返信要求	行わない

特に、パスワード変更画面へ誘導するリンクを通知メールに掲載しないという点が判断材料になります。

したがって、ブックオフを名乗るメールに「パスワード変更はこちら」などのリンクがあり、ログイン情報の入力を求められた場合は、リンクを開かず公式サイトで案内を確認してください。

ただし、正規メールと同じ件名や本文を模倣することは可能です。メールの送信者名や差出人アドレスだけでも真偽を確実に判断できません。

個人情報が書かれていても正規のメールとは限らない

今回の事案では、氏名やメールアドレスなどの情報が外部へ取得されたことが確認されています。

そのため、今後不審なメールに正しい氏名や会員情報が書かれていたとしても、それだけで正規の連絡だと判断しないようにしてください。

また、検索結果に表示された広告が偽サイトへの誘導に使われる場合もあります。普段使っている公式アプリや保存済みのブックマークからアクセスする方法が安全です。

個人情報漏えい後の偽通知による二次被害については、セキュリティ対策Labの個人情報漏えい後の「おわび フィッシング詐欺」に関する注意喚起でも取り上げています。

偽メールのリンクを開いてしまった、情報を入力してしまった場合は？

不審なメールやSMSを受け取った場合と、実際に情報を入力してしまった場合では、必要な対応が異なります。

状況	対応
不審なメールを受信しただけ	URLや添付ファイルを開かず、迷惑メールとして報告・削除する
URLを開いたが何も入力していない	ページを閉じる。不審なダウンロードやアプリのインストールがないか確認する
ID・パスワードを入力した	公式サイトから直ちにパスワード変更。同じパスワードを使う他サービスも変更する
クレジットカード情報を入力した	カード会社へ連絡し、利用停止・再発行などの必要性を相談する
銀行口座の認証情報を入力した	金融機関へ直ちに連絡し、不正送金の有無を確認する
身に覚えのない利用・金銭被害が発生した	サービス提供会社と警察へ相談し、関連するメールや記録を保存する

なお、今回のブックオフの不正アクセスでは、決済情報や銀行口座情報の漏えいは確認されていません。そのため、今回の発表だけを理由に、すべての会員がクレジットカードを停止・再発行する必要があるわけではありません。

警察庁は、フィッシングサイトにIDやパスワードを入力した場合、同じ認証情報を使用するすべてのサービスで速やかにパスワードを変更するよう案内しています。

10月15日から個別通知、メールが届かない場合は？

ブックオフは2026年10月15日（木）から、登録されているメールアドレス宛てに順次連絡するとしています。

対象者が多数に及ぶため、すべての会員への連絡が完了するまでには一定期間を要する見込みです。

また、登録したメールアドレスを変更している場合や、過去に使用していたメールアドレスが現在利用できない場合などは、個別通知が届かない可能性があります。

同社は、メールを届けられない会員については公式発表をもって個別連絡に代える方針です。

通知が届いていないことだけで、今回の漏えい対象外と判断することはできません。

自分が対象かどうか確認したい場合は、ブックオフが案内する専用問い合わせ窓口を利用できます。

• ブックオフグループHD 専用問い合わせフォーム
• 電話：0570-01-2902（ナビダイヤル）
• 受付時間：10:00～18:30

不正アクセスの経路は遮断、漏えい情報の外部公開やポイント不正利用は未確認

ブックオフは不正アクセスを確認した後、攻撃元からの通信と不正アクセスに利用された経路を遮断しました。

アクセス制御と監視の強化を実施し、現時点で把握している不正取得経路の封じ込めは完了したとしています。新たな会員情報の不正取得も確認されていません。

また、外部の専門家と連携し、原因調査を進めるとともに、グループの全システム・全環境を対象とした緊急総点検を実施しています。

具体的なシステム構成や脆弱性、攻撃手法の詳細については、今後の不正アクセスを誘発するおそれがあるとして公表を差し控えています。

個人情報保護委員会への報告と警察への相談も行っています。

同社グループの店舗、公式オンラインストア、公式アプリなどは通常どおり稼働しており、事業継続への影響はないとしています。

また、2027年5月期の連結業績への影響については精査中で、現時点の業績予想には織り込んでいません。

情報システム部門が確認したい会員情報管理と漏えい通知の対策

今回の事案では、約638万人の会員が対象となり、退会済みの会員情報も漏えい対象に含まれていました。

企業の情報システム部門では、退会後の会員情報をどの程度保持しているか、データの削除・匿名化が適切に実施されているかを確認する機会となります。

また、今回のブックオフは、会員データ数と実際の対象人数を区別して公表しました。複数アカウントや過去の登録情報を保持する企業では、漏えい発生時に対象者数を正確に集計できる体制も確認しておく必要があります。

顧客への通知では、フィッシングメールと混同されないよう、公式サイトでの告知と通知メールの内容を統一することが対策の一つになります。

特に、パスワード変更を依頼する場合は、通知メールから直接ログイン画面に誘導する方式だけに頼らず、利用者が公式アプリや公式サイトから安全に操作できるよう案内することも検討できます。

10月9日の初報については、ブックオフの会員管理システムへの不正アクセスと最大約643万件の漏えいに関する記事で報じています。

出典

• ブックオフグループホールディングス株式会社「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第2報）」（2026年10月13日付、適時開示資料）
• ブックオフグループHD「不正アクセスによる個人情報の漏えいについて」
• 警察庁「フィッシング対策」
• フィッシング対策協議会「フィッシングとは」