2日前に挙げた5つの項目に、答えが出た

• 漏れたのはメールアドレス・ハッシュ化されたパスワード・生年月日・性別・ニックネーム
• 購入履歴とMY本棚は対象外とされている
• 新たにシステムのログファイルも取られていたことが判明

10月16日に「まだ何も分かっていない発表をどう読むか」を書いた。あのとき、続報で見るべき項目を5つ挙げた。

第2報と第3報が出たので、答え合わせをする。

5つの項目と、その答え

4つに答えが出て、1つが残った。期間だけが、まだ分からない。

⑤を挙げた理由

あのとき、こう書いた。何を買ったかは、本の好みがそのまま出る情報になる。氏名や住所と違って代わりがきかない。

公式は第2報と第3報の両方で、購入履歴の流出、MY本棚の流出・消失・欠損は確認されていないと明記している。わざわざ2回とも書いているのは、同じ懸念を持った人が多かったからだと思う。

新しく出てきた話

第3報に、第2報には無かった一文がある。

前回発表いたしました流出した会員情報に加え、一部のシステムログファイルにつきましても閲覧・取得されたことが判明したことから、会員情報の有無を確認するため当該ログの精査を行っております。

つまり会員情報のデータベースとは別に、ログも取られていた。そしてそのログに会員情報が入っていないかを、いま調べている段階になる。

ログは後から効いてくる

前日に書いたskyticketの件が、まさにログだった。あちらは決済方式の移行時に消し忘れたログにカード情報が残っていて、第1報の「カード番号は含まれない」が覆った。

ログは本番のデータとは別に扱われやすい。消す対象からも、守る対象からも抜けやすい。そして中に何が書かれているかを、誰も見ていないことがある。

今回も対象が増える可能性が残っている。第3報は最終報ではない。

ハッシュ化されていても、やることがある

公式は注記でこう説明している。

ハッシュ化されたパスワードとは、元のパスワードをそのまま保存せず、元の内容を読み取れない形に変換したものです。

それでも、お願いの最初に来ているのがこれになる。

今回流出した会員情報（メールアドレスとパスワード）の組み合わせを使い、第三者が他のWebサービスへ不正ログインを試みるおそれがございます。当社と同じメールアドレス・パスワードの組み合わせを他社サービスでもお使いの場合は、念のため該当サービスのパスワードもご変更いただきますよう……

自社のパスワードを変えろ、ではなく、他社のを変えろと書いている。

3段階の読み分けで言うと

イエローハットの記事で、パスワードの扱いを3段階に整理した。今回を当てはめると、こうなる。

3段目に入る。断言はせず、念のための変更を求めるという位置づけになる。

やることははっきりしている。同じ組み合わせを他で使っているなら、そちらを変える。

再開の見通し

第3報で、原因については進展があった。

原因については特定ができ、現在は同様の不正アクセスおよび被害拡大の防止措置を実施しております。

ただし再開は別だ。

サービス再開に向けてはさらなる安全性の確保や関係機関との調整が必要なため、現時点で正確な再開日時をお伝えすることが困難な状況です。

10月15日11時35分に止めてから、3日が経っている。

段階的に戻す

再開の仕方についても書かれている。

安全性の確保がされた段階で、ご購入済書籍のWEBでの閲覧から順次サービスを再開できるよう準備を進めております。

全部を一度に戻さない。まず買った本が読める状態にして、そこから順に広げる形になる。

購入済みの本が読めないのは、利用者にとっていちばん困る部分だ。そこを先に戻すという優先順位は、妥当だと思う。

再開時には全会員にパスワードの再設定を求める予定とされている。

2日前の記事で書いたこと

あのとき、こうも書いた。確定を待たずに止めた判断は遅くない。止まっている間は調べられていると。

実際、止めた翌日に漏えいを確認し、3日後には原因を特定している。止めていなければ、この速さにはならなかったはずだ。

一方で「カードを止める・退会するのは不要」とも書いた。カード情報は保有していなかったので、これは結果的に正しかった。

まだ出ていないもの

• 対象件数 — 精査中
• 不正アクセスの期間 — 未公表
• ログの中に会員情報があったか — 精査中
• 再開の日時 — 未定

公式は流出が確認された人には、確認でき次第すぐに連絡するとしている。

まとめ

• 漏れたのはメールアドレス・ハッシュ化されたパスワード・生年月日・性別・ニックネーム
• カード情報は保有しておらず流出なし。購入履歴とMY本棚も確認されていない
• 新たにシステムのログファイルも取得されていた。中身を精査中
• ハッシュ化されていても、他社での使い回しは変える
• 原因は特定済み。ただし再開日時は未定
• 再開は購入済み書籍の閲覧から順次。全会員にパスワード再設定を求める予定
• 期間と件数は、まだ公表されていない

出典

• NTTソルマーレ株式会社「『コミックシーモア』会員情報の流出に関するご報告（第3報）」（2026年10月18日）（原因の特定、ログファイルの取得、再開の進め方、利用者への依頼）
• 同「『コミックシーモア』会員情報の流出に関するお詫びとお願い（第2報）」（2026年10月16日）（経緯、流出した会員情報の項目、カード情報・購入履歴・MY本棚に関する記載、パスワード再設定の予定）

本記事は2026年10月18日時点で公表されている内容に基づく。件数と期間は精査中とされており、ログの精査により対象が追加される可能性がある。本記事は法的な助言ではない。