ブックオフの会員管理システムに不正アクセス、638万人分（642万件）の会員情報が外部に流出　氏名・住所・電話番号・パスワードのハッシュ値など　手口は非公表

【何が起きたか】中古品チェーン「ブックオフ」を展開するブックオフグループホールディングス株式会社（東証プライム、代表取締役社長・堀内康隆氏）は2026年10月9日、子会社が提供する会員情報の管理システムが第三者から不正アクセスを受け、会員情報が外部に流出したことを確認したと発表した。漏えいした可能性があるのは最大約643万件。この数は会員番号の件数で、実際に何人分かは精査中としている。 【漏えいした可能性のある情報】氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値（暗号化されたパスワードで、そのままでは読み取れないと説明）、ポイントカード番号、会員番号。クレジットカードなどの決済情報は、このシステムでは保有していない。会員情報の書き換えは確認されておらず、流出した情報の公開や悪用も10月9日時点で確認されていない。 【経緯】10月6日（火）に会員管理システムへの第三者の不正アクセスを確認し、調査で会員情報が外部から取得されたことが分かった。10月9日（金）に東京証券取引所の適時開示と自社サイトで公表した（確認から3日後）。 【原因・会社の対応】侵入の手口、攻撃者、どの子会社のどのサービスかは公表されていない。会社は、攻撃元からの通信を遮断し、脆弱性を是正し、対象システムへの外部からのアクセスを遮断したと説明。判明している不正取得の経路は封じ込めを終え、監視を続けている。全システムの緊急総点検を行い、ネットワークとアプリケーションの両面で追加の安全対策と恒久的な再発防止策を進めるとし、個人情報保護委員会への報告も進めている。対象者には調査結果を踏まえて順次個別に連絡する。 【利用者への注意】ブックオフグループや関係先を装ったメール・SMS・電話に注意し、身に覚えのない連絡のURLや添付ファイルを開かないよう呼びかけている。同社がパスワード、認証コード、クレジットカード情報、銀行口座情報を尋ねることはないとしている。問い合わせはお客様窓口（0570-01-2902、10:00〜18:30）と専用の問い合わせフォーム。 【責任者】ブックオフグループホールディングスの代表取締役社長は堀内康隆氏。適時開示の問い合わせ先は執行役員グループ戦略企画部長の長谷川孝氏。社長の記者会見やコメントの有無は、10月10日時点で確認できていない。 【同じグループの過去の不祥事】ブックオフグループホールディングスは2024年10月15日、国内26店舗と1部署で、架空の買い取りによる現金の横領や在庫の偽装など計29件の社員の不正があり、被害額は計5,600万円だったと公表した（特別調査委員会の報告書。堀内社長が会見で陳謝）。今回の不正アクセスとは別の事案。 【同じ時期の流出】9月下旬から10月上旬には、焼肉きんぐ（約1,079万件）、タイムズカー（約660万アカウント）、ミスターマックス（最大約174万人）など、会員情報の流出の公表が相次いでいる。一覧は当サイトの「個人情報流出・不正アクセスの公表が相次ぐ（2026年9〜10月）」（/incident/24）にまとめている。ブックオフの件と他社の件に共通する原因を示す発表は、10月10日時点で確認できていない。 【未公表の点（10月10日時点）】対象となる実人数、子会社名とサービス名、侵入の手口と時期、攻撃者。 【10月13日の第2報】外部に送られたことが確認された会員データは6,427,735件、対象者は6,383,279人（現会員6,170,908人、退会者212,371人）と確定した。情報が抜き取られたのは10月4〜6日。対象はアプリ・オンラインストア・Web会員で、ポイントカードだけの会員は含まない。決済情報、銀行口座、本人確認書類、会員登録とは別に指定した配送先は流出していない。外部公開、ポイントの不正利用、会員情報の書き換えは確認されていない。システム構成や弱点の中身、攻撃の手口は「次の不正アクセスを誘うおそれがある」として公表しない方針。警察に相談し捜査への協力を準備している。業績への影響は精査中で、事業継続への影響はないとしている。10月15日から対象者に個別メール（件名「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」、送信元 bookoff@2902.net）を順次送り、オンラインストアとアプリのパスワード変更を求めている。補償やポイント付与の発表はない（10月15日時点）。