会員情報を守る、6つの点検領域

会員サービスやオンラインストアを運営する企業にとって、顧客情報の保護は事業の信頼を支える土台です。2026年10月から11月にかけ、ブックオフグループホールディングス株式会社は、連結子会社の会員管理システムへの不正アクセスと個人情報の漏えいに関する調査結果や対応状況を公表しました。

本稿では、2026年11月6日現在の会社公表資料（第3報および関連資料）に基づき、確認された事実と未確認の事項を切り分けます。後半では個別事案を離れ、自社の会員情報や業務システムを落ち着いて点検するための視点と手順を整理します。

この記事で整理すること

• 2026年11月6日現在の会社公表に沿い、外部送信が確認された件数（6,427,735件）と対象者数（6,383,279人）の定義の違いや、対象範囲・対象外情報を整理します。

• 原因は会社が公表した「一部機能におけるアクセス制御上の問題」の悪用という範囲にとどめ、非公開の技術的詳細を推測で補いません。

• 後半は事案を離れ、一般的な6つの点検領域と採点しない10問の確認シートを使い、社内の担当・資料・次の着手を整理します。

公表事実と未確認事項

一次資料に基づき、2026年11月6日現在の会社公表として示されている事実と、非公開または未確認とされている事項を分けて確認します。

2026年11月6日現在の公表事実

• 運営主体と原因の概要 公表主体はブックオフグループホールディングス株式会社、不正アクセスを受けた対象は連結子会社ブックオフコーポレーション株式会社の会員管理システムです。2026年10月6日に第三者による不正アクセスを確認し、同月4日から6日にかけて会員情報が外部から取得されていたことが確認されました。調査の結果、「会員情報を取り扱うシステムの一部機能におけるアクセス制御上の問題を第三者に悪用され、会員情報が取得されていた」と公表され、不正アクセスの経路および原因は特定されたとしています。

• 件数と人数の定義、対象となる会員 システムの記録で外部への送信が確認された「漏えい対象会員データ数」は会員番号ベースで6,427,735件です。一方、同一のメールアドレスで登録された複数の会員データを1人として集計した「漏えい対象者数」は6,383,279人（内訳：有効会員6,170,908人、退会会員212,371人）です。対象はアプリ会員、オンラインストア会員、Web会員であり、会員カードのみの利用でアプリ登録またはウェブ登録をしていない利用者は対象外です（カードからアプリやウェブへ情報を引き継いだ場合は対象となる場合があります）。

• 対象サービスと別管理のサービス 対象範囲は、同会員管理システムを使う国内ブックオフ事業の各サービス（BOOKOFF、BOOKOFF SUPER BAZAAR、BOOKOFF PLUS、BOOKOFF公式オンラインストア、あそビバ、BOOKOFF FASHION、BINGO、B・SPORTS、B・STYLE）およびプレミアムサービス事業の「Rehello by BOOKOFF（店舗）」です。一方、別システムで管理している「hugall」「aidect」「Rehello by BOOKOFF（ECサイト）」「ブクログ」「青山ブックセンター」などは対象範囲外です（全一覧は第3報p.2に記載）。

• 漏えいした可能性のある情報項目 対象会員の情報として登録された「氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、会員情報として登録された郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号」です（「職業」「ニックネーム」は、10月13日の第2報で記載が漏れていたため、10月16日の訂正で対象項目に加えられました。件数・人数その他の公表内容に変更はありません）。なお、外部取得自体は確認されていますが、個々の項目は「漏えいした可能性のある情報」であり、すべての対象会員について全項目が漏えいしたものではありません。パスワードのハッシュ値（元の文字列を一定の計算手順で別の値に変換したもの）について、会社はそのままでは元のパスワードを読み取ることはできないと説明しつつ、念のため公式アプリまたは公式サイトへ直接アクセスして変更するよう案内しています（案内メールにパスワード変更画面への誘導リンクは掲載しないとしています）。

• 対象外とされた情報項目 クレジットカード情報等の決済情報と銀行口座情報は今回対象となった会員管理システムで管理していないため、BOOKOFF公式オンラインストアの宅配買取の際に提出された本人確認書類の画像は会員管理システムとは別のシステムで管理しているため、いずれも本件の漏えい対象外と説明されています。また、店頭買取時に入力した住所と本人確認書類の読み取りによる文字情報、商品注文時に会員登録住所とは別に指定した配送先情報、宅配買取時に会員登録住所とは別に指定した集荷先住所も対象外です。店頭買取時に提示された本人確認書類は、画像の保存・保管を行っていないとされています。一般論として、どのシステムに何の情報を持たせ、何を持たせないかは、万一の際に影響が及ぶ範囲を左右します。

• 対応状況と、個人情報保護委員会・警察への対応 判明後、直ちに攻撃元からの通信および不正アクセスに利用された経路を遮断し、遮断完了後は新たな不正取得は確認されていません。個人情報保護委員会へは速報を報告済みで、12月初旬に確報を提出する予定とされています。警察による捜査にも協力していると公表されています。なお、グループの各システムは正常に稼働し、店舗や公式オンラインストアは通常どおり営業を継続しており、事業継続への影響はないと説明されています。

• 再発防止策（11月6日時点の会社の区分） 第3報は対策を「実施済み」「実施中」「今後実施する対策」に分けています。実施済みは、不正アクセスに使われた経路の遮断と、外部からアクセス可能なシステム・機能の点検による公開範囲の見直し・アクセス制御の強化、対象システムの認証・認可（本人の確認と、操作やデータへの権限の確認）や通信制御等の見直し、アクセス監視の強化です（対象システムの横断的な点検で見つかった課題の是正は継続中とされています）。実施中は、外部専門家の知見を活用した安全性の確認と第三者評価を含む検証体制の強化、グループのシステムのセキュリティ点検と是正、監視・報告・初動対応などのプロセスの見直しです。今後実施する対策は、常時監視・検知体制の強化、システムの企画から運用までのセキュリティ基準の見直し、グループ全体のセキュリティガバナンスの強化です。

非公開・現時点で確認されていない事項

• 技術的詳細の非公開 具体的なシステム構成、セキュリティ製品、設定内容その他の技術的詳細については、今後の不正アクセス等に悪用されるおそれがあるため公表を差し控えるとしています。このため本稿では、原因の技術的な中身を推測で補いません。

• 外部公開・悪用・二次被害の未確認 11月6日現在、漏えいした会員情報が外部に公開された事実、ポイントが不正に利用された事実、会員情報が書き換えられた事実、その他本件に起因する二次被害の事実は確認されていないと公表されています（万一、本件に起因してポイントの不正利用が確認された場合は全額補塡する方針も示されています）。「現時点で確認されていない」ことと「今後も被害が起きない保証」は区別して受け止める必要があります。

時系列

事象の発生・確認日と、公表や顧客案内の日付は以下のとおりです。

6つの点検領域

ここからは個別事案を離れ、自社で会員情報を扱う業務システムを点検する際の一般的な視点に移ります。一つの仕組みだけを見ても全体の見落としは防げないため、経営層がICT部門や事業部門と対話する際は、次の「6つの点検領域」と、それらを横断する「気づく仕組みと初動」に分けて現状を尋ねるのが実用的です。

※本図と6つの点検領域は、会員情報を扱う一般的な業務システムを社内で点検するために本記事が整理した例です。特定企業の実構成や侵入経路を再現・示唆するものではなく、IPAなど公的機関のガイドラインが定める公式分類でもありません。領域6（保存し続けているデータ）は侵入の経路ではなく、万一の際に保有データや影響が及ぶ範囲に関わる点検項目です。

一般的な会員サービスの点検例（6つの点検領域と、横断する「気づく仕組みと初動」）

• 【領域1】既知の脆弱性と修正の管理 OSや、システムの土台となるソフトウェアの脆弱性（保安上の弱点）に関する情報を把握し、更新の要否や期限を判断する手順を確認します。（対応：問1、問2）

• 【領域2】アプリの裏側にあるAPI スマホアプリやWeb画面と裏側でデータをやり取りする窓口（API）について、認証・権限の確認範囲と変更時の再確認手順を把握します。（対応：問3）

• 【領域3】管理画面と管理者アカウント 運用・保守に使う管理画面の接続範囲、認証・権限の設定、異動や退職に伴うアカウント見直し手順を点検します。（対応：問4）

• 【領域4】子会社・委託先・外部サービス グループ会社や委託先、外部クラウドサービスを含めた運用分担と、預けるデータの範囲・緊急時の連絡手順を整理します。（対応：問1、問6）

• 【領域5】社外から到達できる社内向けの仕組み 社内向けの仕組みのうち社外から利用できるものを洗い出し、公開目的と接続制限が一致しているかを確認します。（対応：問5）

• 【領域6】保存し続けているデータ（保有データ・影響範囲の点検） 退会者を含む会員データの保存期間・削除手順、持つべき情報項目の絞り込み、認証情報の扱いと分離を確認します。（対応：問7、問8）

• 【横断：気づく仕組みと初動】 異常の記録や連絡を受けた際の調査・夜間休日を含む遮断判断の体制と、事実確認・顧客連絡・関係先報告の分担を確認します。（対応：問9、問10）

たとえば、複数のサービスで会員情報を扱っている場合は、どのサービスが共通の会員基盤を使い、どのサービスが別のシステムかを一覧にしておくと、異常時に影響が及ぶ範囲を確かめる手がかりになります（領域4・領域6）。また、アプリの裏側にあるAPI（領域2）や管理画面と管理者アカウント（領域3）について、権限を確認する手順が決まっているかを尋ねると、開発・保守の現場と具体的な点検課題を共有しやすくなります。

担当・資料・着手の一覧

各領域について、社内の誰に・どの資料で確認し、未整理なら何から始めるかの目安です。企業の事業形態やクラウド利用状況によって適切な管理方法は異なるため、一律の禁止や画一的なルールを押し付けるのではなく、「自社の設計意図と実際の設定が合っているか」を確かめる手がかりとしてお使いください。

出典・確認時点

事案に関する一次資料

一般的なセキュリティ対策の参考資料

以下は一般的な対策の参考情報であり、個別事案の原因や構成を示す資料ではありません。

資料の確認時点と留意事項

• 本記事の事実関係は、2026年11月12日（日本時間）時点で確認した上記の一次資料（事案の最新公表は2026年11月6日）に基づいています。同日以降に新たな公表や更新が行われる場合があります。

• 本記事の点検領域・確認シートは社内確認を進めるための一般的な整理案であり、攻撃の検知・防御・回復、被害防止、または法令適合を保証するものではありません。法令上の報告義務や期限等は、自社に適用される法令・ガイドラインおよび専門家の助言に基づきご確認ください。