ブックオフの会員情報漏えい。公式が「案内メールにリンクは載せない」と明言した意味

• 対象はアプリ会員・オンラインストア会員・Web会員。会員カードのみの人は対象外
• 決済情報、本人確認書類の画像、銀行口座情報は別のシステムなので対象外
• 公式が「案内メールにパスワード変更画面へのリンクは載せない」と明言している

ブックオフグループホールディングスが、子会社の会員管理システムへの不正アクセスを公表した。会社が10月13日付で出した資料に、利用者向けの質問と回答がまとまっている。報道より細かく、かつ実際に行動を決められる内容だったので、そこから整理する。

漏えいした可能性がある項目

会社の資料に挙げられているのは次の項目だ。

• 氏名、生年月日、性別
• メールアドレス、電話番号
• 会員情報として登録された郵便番号・住所
• パスワードのハッシュ値
• ポイントカード番号、会員番号

重要な但し書きが付いている。「すべての会員について、これらすべての情報が漏えいしたものではありません」。項目の一覧は「最大でここまで」を示すもので、全員が全部ではない。

件数については、最大約643万件と報じられている。

「パスワードのハッシュ値」とは

資料には注記が付いている。「パスワードを一定の方式で変換した情報であり、そのままでは元のパスワードを読み取ることはできません」。

つまりパスワードそのものが流れたわけではない。ただし「そのままでは」読めない、という書き方になっている点は押さえておきたい。変換の方式と、元のパスワードの単純さによっては、時間をかけて突き合わせる手口がある。変えておくに越したことはないというのが実務的な結論になる。

対象に含まれないもの

ここが今回の発表で丁寧だった部分だ。4つの質問に対して、それぞれ明確に答えている。

いずれも理由が「そのシステムで持っていないから」で揃っている。預かる情報をシステムごとに分けてあると、1か所破られたときの範囲がそこで止まる。設計の分け方が、そのまま被害範囲の分け方になっている例と言える。

自分が対象かどうか

資料に明記されている。

• 対象 … アプリ会員、オンラインストア会員、Web会員
• 対象外 … 会員カードのみを利用し、アプリ登録もウェブ登録もしていない人

対象となる会員には、2026年10月15日（木）から登録メールアドレス宛に順次連絡するとされている。件数が多いため、完了までに一定の期間がかかる見込みで、登録メールアドレスを変えている場合は届かないこともある、とも書かれている。

ここがいちばん大事

資料の中で、実際に被害を防ぐ効果が大きいのはこの一文だ。

当社からお送りするご案内メールに、パスワード変更画面へ誘導するリンクを掲載することはありません。パスワードを変更する場合は、公式アプリ又は公式サイトへ直接アクセスのうえ、お手続きください。

漏えいが報じられた直後は、その件を装ったメールが届く。「パスワードを変更してください」と書かれたリンクは、本物であればまず送られてこないとあらかじめ宣言しておくことで、リンク付きのメールはすべて偽物と判断できるようになる。

利用者側の行動も1つに決まる。メールのリンクを押さず、アプリか公式サイトを自分で開く。これだけでよい。

届いたお知らせが本物かどうかを見分ける考え方は漏えいの後に「お詫びとお知らせ」が届く。偽物かもしれないに書いた。

不審な連絡への対応

資料にはこうもある。同社グループから、メール・SMS・電話でパスワード、クレジットカード情報、銀行口座情報を尋ねることはない。身に覚えのない連絡のURLや添付は開かず、情報を入力しない。

利用者がやること

会社が案内している内容を、順番に並べる。

1. 公式アプリか公式サイトを自分で開いて、パスワードを変更する（メールのリンクからは行かない）
2. 同じ、または似たパスワードを他のサービスでも使っているなら、そちらも変える
3. 不審なメール・SMS・電話が来たら、リンクを開かず、情報を入力しない

2番が本題になる。今回パスワードそのものは流れていないとされるが、使い回していると、別のところで破られたときに連鎖する。管理の仕方はパスワードを覚えようとするのをやめたに書いた。

あわせて、2段階目の確認を用意しておくとパスワードが漏れても止められる。選び方は多要素認証はどれを選ぶか。SMSとアプリとパスキーにまとめた。

発表の読み方として

今回の資料は、「含まれない」を項目ごとに明示している点が参考になる。漏えいの発表では、何が漏れたかより何が漏れていないかのほうが利用者の不安に直結することが多い。

一方で、「現時点で判明している情報に基づく」「今後の調査により新たに公表すべき事実が判明した場合には内容を更新する」とも書かれている。調査中の案件は、後から範囲が広がることがある。最初の発表を最終結論として扱わないのが読み方の基本になる。

発表に使われる言い回しの意味は「漏えいしたおそれ」は何を意味しているのかに整理した。この秋の他社の事例と並べたものは10日間で何社公表したのか。2026年秋の不正アクセスを並べたにある。

預かる側として見ると

サイトを運営している側から見ると、今回の「対象外」の並びは参考になる。決済情報、本人確認書類の画像、口座情報を、会員情報と同じシステムに置いていなかったから、範囲がそこで止まった。

• 預かる量を減らす — 持っていない情報は漏れない
• 分けて持つ — 1か所破られても、全部は出ない
• 連絡の形を先に決めておく — 「リンクは送らない」と決めておけば、事が起きたときに宣言できる

3番目は平時に決めておく話だ。事故が起きてから決めると、偽物との区別がつけられない。

まとめ

• 対象はアプリ会員・オンラインストア会員・Web会員。会員カードのみの人は対象外
• 漏えいの可能性があるのは氏名・生年月日・性別・連絡先・住所・パスワードのハッシュ値・ポイントカード番号・会員番号。全員が全項目ではない
• 決済情報、本人確認書類の画像、銀行口座情報は別システムのため対象外
• 対象者への連絡は10月15日から順次メール
• 公式は案内メールにパスワード変更のリンクを載せないと明言。リンク付きは偽物と判断できる
• やることは、自分でアプリか公式サイトを開いて変更。使い回していれば他も変える

出典

• ブックオフグループホールディングス「不正アクセスによる個人情報の漏えいについて」（お問い合わせ窓口・案内の時期）
• 同社「不正アクセスによる個人情報漏えいについて よくお寄せいただくご質問と回答」（2026年10月13日）（漏えい項目、対象外の範囲、対象会員、パスワードに関する案内）
• ブックオフ「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月9日）
• 最大約643万件という件数、および不正アクセスの確認が10月6日であった点は、共同通信・日本経済新聞・NHKなどの報道による

本記事は2026年10月13日時点で公表されている内容に基づく。調査中の案件は、後から範囲が変わることがあるので、最新の発表を同社のページで確認すること。なお本記事は法的な助言ではない。