ビックカメラ・コジマ・ソフマップ 約1,520万件の情報漏えい、漏れたメールアドレス・生年月日で何をされるのかまとめました

2026年11月2日、株式会社ビックカメラ、株式会社コジマ、株式会社ソフマップの3社は連名で、メール配信などを委託しているアララ株式会社のメール配信システムに不正アクセスがあり、お客様情報の一部が外部に流出した可能性があることが判明したと公表しました[1]。第1報では対象を「メールアドレス 等」、件数をグループ合計約1,490万件としていましたが、11月6日の第2報で、当初確認できていなかったデータや過去の登録データが見つかったとして、合計15,204,757件（約1,520万件）に改められました[7]。このうちビックカメラの約1,422万件は、メールアドレスに加えて氏名・性別・生年月日・ポイントカード番号なども含みます（項目は最大の場合で、人によって異なります）。クレジットカード情報、電話番号、住所、各社の通販サイトのログインパスワードは含まれないとしていますが、それで安心とは言い切れません。

「自分のメールアドレスで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、流出した情報が悪用されうる場面と、3社の通販サイトで狙われやすい場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• ログインパスワードは対象外とされる一方、本物らしい「ビックカメラ」「コジマ」「ソフマップ」名義の偽メールが届きやすくなります。ビックカメラ分では氏名入りの偽メールもありえます。
• ビックカメラ.comのパスワード再設定に使うメールアドレスと生年月日が、そろって漏れました。再設定を装った連絡には特に注意が必要です。
• 通販サイトと同じパスワードをほかのサービスでも使っている人は、変えておくと安心です。
• 会社側がまず見直したいのは、パスワード再設定と、問い合わせ窓口での本人確認のしかたです。

なお、本記事は公表文や各社のよくあるご質問など、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

3社連名の公表文[1]と11月6日の第2報[7]、委託先の親会社であるペイクラウドホールディングスの第2報[2]によると、概要は次のとおりです。

会社ごとの内訳と、漏えいが確認された情報は次のとおりです[7]。

※ビックカメラとソフマップ（41件）の項目は最大の場合で、人によって異なり、個別に知らせるとしています[7]。

委託先の第2報では、同じサービスの一部の環境が不正に利用され、クレジットカード会社を装った不審メールが最大約713万通（2つの環境の合計）送られたことも公表されています[2]。

流出した情報で、何ができてしまうか

コジマとソフマップのほとんどはメールアドレスのみですが、ビックカメラの約1,422万件には氏名や生年月日まで含まれます[7]。メールアドレスを中心に、ビックカメラ分で加わる情報もあわせて考えます。

つまり、ログインパスワードは対象外でも、「ログインIDと、そこへ届く連絡の宛先」が攻撃者の手に渡り、ビックカメラ分では再設定に使う生年月日まで含まれていた、ということです。

3社の通販サイトで認証が使われる場所

各社のよくあるご質問などで確認できた範囲で、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

第2報で示された再発防止策は、セキュリティ体制の総点検、委託先に対する監査と評価の強化、委託先が扱う個人情報の範囲と保管期間の適正化などです[7]。ログインやパスワード再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. パスワード再設定に、メール以外の確認をもう一つ足す。ビックカメラ.comでは、再設定の入口に必要なメールアドレスと生年月日がそろって漏れています。再設定の最後がメールの受け取りだけだと、偽メールに引っかかった人や、メールを乗っ取られた人を守れません。
2. 価値が動く場面に追加の確認を入れる。ポイントの利用、配送先やメールアドレスの変更などです。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。
3. 委託先の管理画面のログインを見直す。委託先の第2報では、管理画面への不正ログインからデータが持ち出されたとしています[2]。顧客の名簿を預ける先が、どんな方法で管理者を確かめているかを確認しておきたいところです。

認証の観点から：「アドレスを知っている」と「その電話を持っている」は違う

今回の件で目立つのは、自社の通販サイトではなく、メールを送るための委託先で起きたことです。それでも、流出したメールアドレスは、3社の通販サイトのログインIDとパスワード再設定の宛先を兼ねています。

「アドレスや生年月日を知っていること」は、もう第三者に知られたかもしれません。一方で「その人の電話回線を実際に持っていること」は、情報が流出しても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし、米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[6]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら