Joshinで最大600万件の会員情報が漏えいの可能性。カード情報は「持っていなかった」から無事だった

• 家電量販店ジョーシンを運営する株式会社Joshinが10月26日、不正アクセスで最大約600万件の会員情報（氏名・住所・電話番号・会員番号）が漏れた可能性があると発表した
• ほかに、サブスクの初期パスワードや手書きサイン（最大約23万件）、リフォームで預かった免許証やマイナンバーカードの画像（最大約800件）も対象になっている
• クレジットカード情報は、もともと保持していない。持っていないものは漏れない。利用者は、Joshinを名乗る不審な連絡に注意したい

Joshinは10月16日にネットワークの異常を検知し、17日に公式サイトで、19日に東京証券取引所で不正アクセスを公表していた。26日の第2報で、漏れた可能性のある情報の中身と件数が明らかになった。

何が漏れた可能性があるのか

調査中のシステムは3つ。それぞれ件数も中身も違う。

件数は漏れた可能性のある総数で、漏えいが確定した件数ではない。リフォームのシステムで本人確認書類などが対象になった人には、個別に連絡しているという。

分かっていないこと

• どこから、どうやって入られたかは公表されていない。第2報には、再発防止として「新たな社会課題となっているセキュリティの脆弱性への対処」を進めるとだけある
• 止まっているサービスの範囲と、再開の時期
• 漏えいが確定したかどうか。調査は続いている

カード情報は、なぜ無事だったのか

Joshinは「決済情報の非保持化」に対応していて、クレジットカード情報を自社で持っていなかった。カード番号は決済代行会社の側で扱い、店のシステムには残さない仕組みだ。

だから、会員データベースに入られても、カード番号は最初からそこにない。今回いちばん効いた守りは、侵入を防ぐ仕組みではなく、持たないという設計だった。

ジョーシンを使っている人がやること

1. Joshinを名乗る連絡を疑う。Joshinも、当社を装った不審なメール、SMS、電話がありうると注意している。氏名・住所・電話番号がそろって漏れていると、本物らしい詐欺が作りやすい。「会員情報の確認」「返金の手続き」などで、URLを開かせたり、カード番号を聞いたりする連絡には応じない
2. 確かめたいときは、自分で公式サイトを開いて、そこに載っている窓口に問い合わせる。届いたメールやSMSのリンクから開かない
3. ジョーシンのサブスクを使っている人は、初期パスワードのままになっていないか確かめ、変えておく。同じパスワードをほかで使っているなら、そちらも変える
4. リフォームで書類の画像を送った人は、Joshinからの個別の連絡を確認する。不安があれば、公式の窓口に問い合わせる

問い合わせ先は、Joshinの第2報によるとお客様相談窓口（06-6631-1323、9:30〜18:30）、またはメール（joshin_otoiawase@joshin.co.jp）。

預かる側の教訓：持っていなければ漏れない

ここからは筆者の見方だ。今回の発表は、持っていたから漏れたものと、持っていなかったから漏れなかったものが、はっきり分かれている。

中小の会社やWebサイトでも、同じことができる。

• カード決済は決済代行に任せ、番号を自社で持たない。フォームで直接受け取らない
• 本人確認書類は、確認したら消す。問い合わせフォームやアップロード機能に、書類の画像がたまっていないか見直す
• 初期パスワードは、渡したら読める形で残さない。最初のログインで変えてもらう
• 何を、どこに、いつまで持っているかを一覧にする。Renta!の件やMR君の件でも、漏れたのは「持っていたもの」だった

入られない努力は欠かせない。それでも入られたときに、持っていなければ、漏れない。

まとめ

• Joshinで、最大約600万件の会員情報（氏名・住所・電話番号・会員番号）が漏れた可能性。サブスクの初期パスワードや、本人確認書類の画像も対象
• 件数は可能性のある総数で、漏えいの確定ではない。侵入経路は未公表
• カード情報は保持していなかったので対象外
• 利用者はJoshinを名乗る連絡を疑い、サブスクの初期パスワードを変える
• 預かる側は、持たない・確認したら消す・読める形で残さない

出典

• 株式会社Joshin「不正アクセスによるシステム障害発生のお詫びとお知らせ（第2報）」（2026年10月26日。漏れた可能性のある情報と件数、非保持化、問い合わせ先）
• 株式会社Joshin「不正アクセスによるシステム障害発生のお詫びとお知らせ」（2026年10月19日開示。初報）
• 関西テレビ「Joshinに不正アクセス　約600万件超える個人情報が漏洩した可能性」（2026年10月26日配信）

本記事は2026年10月26日時点の公式発表に基づく。件数は漏えいの可能性がある総数で、確定したものではない。「預かる側の教訓」は筆者の見方である。最新の情報はJoshinの公式発表で確認すること。