ゴルフダイジェスト・オンラインの不正アクセス、従業員・委託先など1,789件の個人情報流出を確認会員55件にも不正照会の可能性|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月20日更新日時: 2026年10月20日

株式会社ゴルフダイジェスト・オンライン（GDO）は2026年10月16日、同社システムへの不正アクセスについて続報を公表し、現職従業員や退職者、委託先・パートナー企業関係者の氏名・社用メールアドレス計1,789件が外部に流出したことを明らかにしました。さらに、別のサーバーを経由してGDO会員の情報計55件が外部から不正に照会された可能性も判明しています。

10月13日の初報では個人情報の流出は確認されていませんでしたが、その後のログ調査で攻撃者によるファイルのダウンロードが確認されました。従業員らの情報の「流出確認」と、会員情報の「不正照会の可能性」は区別する必要があります。

GDO不正アクセス続報のサマリー

2026年10月16日、GDOは10月13日に確認した不正アクセスの調査結果を公表しました。
現職従業員、退職者、委託先・パートナー企業関係者の氏名と社用メールアドレス計1,789件の外部流出を確認しました。
流出元は、社内システムやツールの管理者・利用者リストが記載されたファイルです。
GDO会員の登録情報計55件について、外部から照会された可能性があります。
55件のうち51件は識別子IDのみ、4件は氏名・生年月日・住所・ログインID・保有ポイントなどの個人情報を含む可能性があります。
10月13日7時9分ごろに不正アクセスの兆候を検知し、7時41分ごろに該当サーバーの通信を遮断しました。
10月14日に攻撃者によるファイルのダウンロードを確認し、15日に別サーバー1台の侵害を把握しました。
GDOは個人情報保護委員会へ報告済みで、対象者への個別連絡と専門機関による調査を進めています。

確認項目	GDOの10月16日付公表内容
公表日	2026年10月16日（続報）
不正アクセスの検知	2026年10月13日7時9分ごろ
初動対応	同日7時41分ごろにサーバーの通信遮断、攻撃に用いられた権限の停止など
外部流出が確認された情報	従業員・退職者・委託先・パートナー企業関係者の氏名（一部フリガナ）と社用メールアドレス
流出確認件数	1,789件
会員情報の不正照会の可能性	計55件（識別子IDのみ51件、個人情報を含む可能性があるもの4件）
会員情報の主な項目	対象者により氏名、性別、生年月日、電話番号、メールアドレス、住所、ログインID、保有ポイントなど
パスワード・決済情報	顧客パスワード、クレジットカード番号等の流出は確認されていない
行政機関への報告	個人情報保護委員会に報告済み
調査	外部専門機関と連携して影響範囲・侵入経路を調査中

攻撃者によるファイルのダウンロードを確認、1,789件の流出が判明

GDOは10月13日朝、セキュリティ監視ツールを通じて外部からの不審なアクセスを検知しました。約32分後に該当サーバーの通信を遮断し、攻撃に使われた権限を停止するなど、被害拡大を防ぐための措置を講じています。

その後、10月14日14時ごろの操作ログ調査で、攻撃者によって一部ファイルがダウンロードされていたことを確認しました。ファイルには社内システムと各種ツールの管理者・利用者のリストが含まれており、現職従業員や退職者、委託先・パートナー企業の関係者の氏名と社用メールアドレス計1,789件の外部流出が判明しました。

10月13日の初報で公表されたサービス障害に加え、10月16日の続報では情報流出の具体的な範囲が示された形です。

別サーバー1台も侵害、会員情報55件を不正照会した可能性

10月15日には外部のセキュリティ監視窓口からの報告を受けて調査した結果、当初通信を遮断したサーバーとは別のサーバー1台も侵害されていたことが判明しました。

GDOによると、攻撃者は10月13日10時16分から10時20分ごろ、この別サーバーを経由して会員情報を照会していました。同社は対象となる会員情報が合計55件だったと説明しています。内訳は以下のとおりです。

区分	件数	情報の内容
識別子IDのみ	51件	GDOのシステムで利用者を区別するための文字列
個人情報を含む可能性があるもの	4件	識別子IDのほか、氏名、性別、生年月日、電話番号、メールアドレス、住所、ログインID、保有ポイントなど。項目は対象者ごとに異なる
合計	55件	外部から照会された可能性がある会員情報の件数

GDOは、識別子IDだけでは個人を特定できず、ログインなどの操作もできないと説明しています。また、会員のパスワードやクレジットカード番号などの決済情報の流出は、10月16日時点で確認されていません。同社はクレジットカード番号を管理サーバーに保存していないとしています。

別サーバーの侵害は、10月13日に検知した同一の不正アクセスの範囲内で確認されたもので、GDOは新たに発生した別の攻撃ではないと説明しています。

社用メールアドレスの流出で懸念される業務連絡へのなりすまし

今回流出が確認された情報には、社内システムやツールの利用者・管理者に関するリストが含まれます。氏名と社用メールアドレスを組み合わせることで、攻撃者が企業の従業員や委託先を装い、業務上の連絡に見せかけたフィッシングメールや不正な問い合わせを行う材料となるおそれがあります。

GDOも従業員その他の関係者を装ったメール、電話、SMSに注意を呼びかけています。ただし、このような二次被害が実際に発生したと確認されたわけではありません。

取引先の担当者は、GDOの関係者を名乗る相手から口座変更、ファイル共有、認証情報の確認などを求められた場合、メール本文に記された連絡先だけで判断せず、従来利用していた連絡経路で真偽を確かめる対応が考えられます。

対象者には個別連絡、サービス障害の復旧状況は別途確認

GDOは、対象となる会員、従業員、退職者に個別に連絡するとしています。委託先・パートナー企業の関係者には、対象企業を特定でき次第、個別に案内する方針です。すでに個人情報保護委員会へ報告し、外部専門機関の協力を得ながら事実関係と影響範囲を調査しています。

初報では、ネットワーク遮断に伴ってクーポンの利用、商品配送、プレーチケット（前払い価格プラン）の購入などに影響があると公表されていました。10月16日の続報は主に情報流出と不正照会を扱うものであり、各機能の全面復旧を示す発表ではありません。利用者はGDOのサービス別お知らせで最新状況を確認できます。