ブックオフ会員 約638万人の情報漏えい、漏れた住所・電話番号・パスワードのハッシュ値で何をされるのかまとめました

2026年10月9日、ブックオフグループホールディングス株式会社は、子会社が提供する会員情報を管理するシステムに第三者による不正アクセスがあり、会員情報が外部に流出したことを確認したと公表しました[1][2]。10月13日の第2報では、漏えいの対象者は6,383,279人（有効会員6,170,908人、退会会員212,371人）と確定しています[14]。対象は、アプリ会員・オンラインストア会員・Web会員です。会員カードだけを使っていて、アプリやWebで登録していない人は対象外です[14]。漏えいした可能性がある情報は、氏名・生年月日・性別・メールアドレス・電話番号・郵便番号と住所・パスワードのハッシュ値・ポイントカード番号・会員番号です[14]。クレジットカードなどの決済情報と銀行口座情報は含まれていないとされていますが[14]、それで安心とは言い切れません。

「自分の住所やパスワードの情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、会員サービスの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は報道が多いため、短くとどめます。

この記事の要点

• 名前・住所・会員番号まで正しく入った偽メール・偽SMS・偽の電話が届きやすくなります。同社も10月15日から対象者へメールで順次連絡するとしており[14]、本物と偽物が同じ時期に届く可能性があります。
• 対象の会員には、同社が公式オンラインストアと公式アプリのパスワード変更を求めています[14]。同じか似たパスワードを他のサービスで使っている人は、そちらも変えてください。同社のメールにパスワード変更画面へのリンクは載らないとされています[14]。公式アプリか、ブックマークした公式サイトから直接操作してください。
• 会社側がまず見直したいのは、サービスごとに違う「2段階認証のかかり方」と、登録メールアドレスを変える場面の確認です。

なお、本記事は公表文や公式のよくある質問など、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2][14]と同社のよくあるご質問[3][15]によると、概要は次のとおりです。

対象者には、10月15日から登録メールアドレスあてに順次メールで連絡するとしています。件名は「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」です[14]。登録メールアドレスを変えた人など、メールが届かない場合もあるとしています[14]。

漏れた情報で、何ができてしまうか

決済情報が含まれていないとされている点は、不幸中の幸いです。ただ、今回の対象には住所・生年月日に加えて、パスワードのハッシュ値まで含まれています。

大事なのは、どれも「知っていれば本人らしく見える情報」だという点です。住所や生年月日は、パスワードと違って本人が変えることがほぼできません。知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。

このサービスで認証が使われる場所

公式のよくある質問から確認できた範囲で、認証や本人確認が関わる場所を並べました。会員にはカード会員・Web会員・アプリ会員の区分があるとしています[4]。今回の対象はアプリ会員・オンラインストア会員・Web会員のため[14]、その会員が使う主な場所を並べています。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、攻撃元からの通信と不正アクセスの経路の遮断、アクセス制御や監視の強化、全システムの緊急総点検が挙げられています[14]。第2報では、対象の会員にパスワードの変更を求めています[14]。一方で、ログインの確認方法を変えるといった記載は、公表文にはありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 2段階認証のかかり方をそろえる。オンラインストアでは認証コードを求める場合がある一方、アプリと会員サイトでは求められないと案内されています[9][10]。特に登録メールアドレスの変更は、確認の届け先を変える操作です。ここにパスワード以外の確認を足すことが、まず効くと考えられます。

2. パスワードの変更を確実に済ませてもらう流れを用意する。同社は対象の会員にパスワード変更を求めていますが、変えないままの人の入口は残ります。ハッシュ値が対象になった以上、推測されやすいパスワードの人ほど影響を受けやすくなります。次回ログイン時に再設定と追加の確認を組み合わせる形が考えられます。

3. 窓口の本人確認から、漏れた項目を外す。氏名・住所・生年月日・電話番号が合えば本人、という扱いになっていないか。仕組みを作り直さなくても、運用の見直しから始められます。

認証の観点から：「電話番号を知っている」と「その電話を持っている」は違う

今回、住所・電話番号に加えてパスワードのハッシュ値が対象になりました。メールに届く認証コードも、メールアカウントが無事であることが前提です。ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。前者は、もう多くの第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[13]。禁止ではありませんが、SIMの切り替えや電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインや窓口の流れを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら