ブックオフ個人情報漏えい、対象638万人に拡大 退会者21万人も含まれていた理由

古本や中古品の買い取り・販売で知られるブックオフグループホールディングスが、重大な個人情報漏えいを公表した。

10月13日に発表された最新の調査結果では、外部に送信された会員データは642万7735件におよび、対象者は638万3279人にのぼることが判明した。

さらに、このうち21万2371人はすでに退会していた人たちだったという。

長年サービスを使っていなくても、何年も前に登録した情報が狙われてしまう時代になったことを示す事例として、大きな注目を集めている。

不正アクセスはいつ、どのように発覚したのか

事の発端は、ブックオフの子会社であるブックオフコーポレーションが運営する会員管理システムへの不正アクセスだった。

同社によると、外部からの不正なアクセスが確認されたのは10月6日で、実際に会員データが外部に送信されたのは10月4日から6日の間だったとみられている。

最初の発表は10月9日で、この時点では「最大約643万件が漏えいした可能性がある」という速報的な内容にとどまっていた。

その後、ブックオフは外部の専門家とともに調査を進め、10月13日に詳しい調査結果を第2報として公表した。

この第2報で、外部に送信されたことが確認された会員データは642万7735件、重複するメールアドレスを1人として数えた対象者数は638万3279人であることが明らかになった。

内訳を見ると、現在も会員として登録が続いている人が617万908人、すでに退会していた人が21万2371人だった。

わずか4日間の不正アクセスで、600万人を超える規模の情報が流出した計算になる。

この数字の大きさは、同社が全国に展開する店舗網とオンラインストアの会員基盤の広さを物語っている。

漏えいした情報の中身と、対象外とされたもの

今回対象となったのは、氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値(元のパスワードの文字列には戻せないように変換した値)、ポイントカード番号、会員番号などだ。

一方で、クレジットカードなどの決済情報や銀行口座情報、宅配買取の際に提出する本人確認書類の画像データは対象外とされている。

対象となるサービスも、「BOOKOFF」アプリ会員、公式オンラインストア会員、Web会員に限られており、店頭で会員カードだけを使っている利用者や、「ブクログ」「青山ブックセンター」の会員は対象に含まれないという。

決済情報や本人確認書類が別システムで管理されていたことは、不幸中の幸いと言えるだろう。

クレジットカード番号まで流出していれば、被害の深刻さはまったく違う次元になっていたはずだ。

とはいえ、パスワードそのものではなくハッシュ値が漏れたからといって、手放しに安心はできない。

同じメールアドレスとパスワードの組み合わせを他のサービスでも使い回している場合、別サイトへの不正ログインに悪用されるリスクは残るからだ。

実際、過去の個人情報漏えい事件でも、流出したメールアドレスとパスワードの組み合わせが、全く別のサービスへの不正アクセスに転用される「リスト型攻撃(漏えいしたIDとパスワードの一覧を使い、他のサービスへ次々とログインを試みる攻撃手法)」が繰り返し起きてきた。

氏名・生年月日・電話番号・住所という基本情報がまとまって流出した場合、なりすましによる新規契約や、別の詐欺行為の「種」として使われる懸念も指摘されている。

今回のケースでも、こうした二次被害への警戒が必要になりそうだ。

今回漏えいしたとされる情報と、対象外となった情報を整理すると、以下のようになる。

漏えいの対象となった情報

▶ 氏名・生年月日・性別

▶ メールアドレス・電話番号

▶ 郵便番号・住所

▶ パスワードのハッシュ値

▶ ポイントカード番号・会員番号

対象外とされた情報

▶ クレジットカードなどの決済情報

▶ 銀行口座情報

▶ 宅配買取時に提出する本人確認書類の画像

項目	件数・人数
外部送信が確認された会員データ	642万7735件
対象者数(メールアドレス単位で集計)	638万3279人
うち現在も会員登録中	617万908人
うち退会済み会員	21万2371人

なぜ退会者の情報まで流出したのか

今回の件で特に注目されているのが、21万2371人という退会者の情報まで流出していた点だ。

対象者全体の約3割を、すでにサービスを離れた人たちが占めている計算になる。

サービスを使わなくなって何年も経つ人からすれば、「なぜ自分の情報がまだ残っていたのか」という疑問を持つのは当然だろう。

企業が退会後も一定期間、会員データを保持すること自体は珍しくない。

不正利用の調査や、法律上必要な取引記録の保存、再入会時の利便性確保など、保持にはそれなりの理由がある。

しかし、保持期間や削除の基準が利用者には見えにくく、「いつまで情報が残っているか分からない」という不安につながりやすいのも事実だ。

個人的には、退会から一定年数が経過した会員データについては、匿名化や削除を定期的に進めるルール作りが、今後より強く求められるようになると感じている。

便利さのためにデータを長く保持したい企業側の事情と、使わなくなったサービスにまでリスクを背負いたくない利用者側の感覚との間には、まだ大きな溝がある。

今回のような大規模な漏えいが起きるたびに、この溝の存在が改めて浮き彫りになる。

ポイントサービスや会員制度が乱立する今、利用者の側も「どのサービスに自分の情報を預けているか」を定期的に棚卸しする習慣を持つことが、これからますます重要になっていくはずだ。

漏えいに便乗したフィッシング詐欺に要注意

ブックオフは10月15日から、対象となる会員に登録メールアドレス宛てで個別に連絡を始めるとしている。

注意したいのは、案内メールの中にパスワード変更画面への直接リンクをあえて載せない方針になっている点だ。

これは、漏えいに便乗して「ブックオフを装った偽のメール」を送りつけ、偽サイトに誘導するフィッシング詐欺(金融機関や企業を装ったメールなどで偽サイトに誘導し、ID・パスワードやカード情報を盗み取る詐欺の手口)を防ぐための措置とみられる。

裏を返せば、今後「ブックオフ公式」を名乗り、リンク付きでパスワード変更を迫るメールが届いた場合、それ自体が偽メールである可能性が高いということになる。

対象となりうる会員は、メール内のリンクを安易にクリックせず、公式サイトのアドレスを自分でブラウザに入力してアクセスし、そこからパスワードを変更することが望ましい。

また、ブックオフと同じメールアドレス・パスワードの組み合わせを他のサービスでも使っている場合は、そちらのパスワードもあわせて見直しておくと安全だ。

同社は現在のところ、漏えいした情報の外部公開やポイントの不正利用、会員情報の書き換えといった二次被害は確認されていないとしている。

とはいえ、不正利用が確認されていないことと、リスクがないことは同じではない。

しばらくは身に覚えのない連絡やログイン通知、見覚えのないポイント利用履歴がないか、意識しておく必要があるだろう。

パスワードを使い回している人は、この機会にサービスごとに異なるパスワードへ切り替え、可能であれば二段階認証(ログイン時にパスワードに加えてスマートフォンへの通知などもう一段階の確認を求める仕組み)も設定しておくと安心だ。

今すぐできる対策

▶ メール内のリンクはクリックせず、公式サイトを自分で検索してアクセスする

▶ ブックオフと同じパスワードを使っている他サービスも、この機会に変更する

▶ 設定できるサービスでは、二段階認証もあわせて有効にしておく

繰り返される大規模情報漏えい、企業の対応をどう見るか

会員情報をまとめて狙ったサイバー攻撃による情報漏えいは、ブックオフに限った話ではない。

国内では近年、ECサイトやポイントサービスなど、大量の会員データを一括管理するシステムが相次いで攻撃の標的になってきた。

会員情報を一元管理する仕組みは利用者にとって便利である一方、攻撃者にとっては「一度の侵入で効率よく大量の個人情報を得られる標的」でもある。

ブックオフは個人情報保護委員会への報告と警察への相談を済ませ、不正アクセスに使われた通信経路の遮断やグループ全体のシステム緊急点検を実施したと説明している。

発覚から4日というスピードで第1報を出し、さらに4日後には内訳まで含めた詳細な第2報を公表した対応の早さは、評価できる部分もある。

一方で、なぜ4日間にわたって不正アクセスを許してしまったのか、そもそも退会者のデータをどこまでの期間保持する設計だったのかという、根本的な問いへの説明はまだ十分とは言えない。

被害の全容公表と再発防止策の具体化が、今後の信頼回復の鍵を握ることになりそうだ。

店舗や公式オンラインストア、公式アプリ自体は現在も通常どおり稼働しており、サービス自体が止まっているわけではない点は利用者にとって救いだが、業績への影響は現時点でまだ精査中とされ、完全に収束したとは言い切れない状況が続いている。

リユース業界全体に突きつけられた課題

ブックオフのような中古品のリユース業界は、ここ数年でアプリ会員やオンライン買取の利用者を大きく増やしてきた分野でもある。

店舗に足を運ばなくてもスマートフォンひとつで査定や買い取りを依頼できる手軽さが支持されてきた一方、その裏側では氏名・住所・電話番号といった個人情報と、買い取り依頼や取引履歴といった行動データが紐づけられて蓄積されていく。

利便性が上がるほど、システムに集まる情報の価値も、攻撃者にとっての魅力も高まっていくという構図は、リユース業界に限らず多くのサービスに共通する課題だ。

今回の一件は、同業他社にとっても、自社の会員データの管理体制を見直すきっかけになるはずだ。

セキュリティ対策には当然コストがかかるが、一度大規模な漏えいが起きれば、調査費用や通知対応、信頼回復のための施策など、事後にかかる負担ははるかに大きくなる。

目先の投資を惜しんだ結果として、より重いツケを払うことになりかねない。

利用者の側も、「便利だから」という理由だけで安易に会員登録を増やし続けるのではなく、使わなくなったサービスはこまめに整理するという意識を、あらためて持っておきたいところだ。

補足情報

ブックオフが対象とするサービスは、スマートフォン向けアプリ、公式オンラインストア、Web会員の3つで、店頭での会員カード利用のみの人や、「ブクログ」「青山ブックセンター」の会員は対象外とされている。

自分が対象に含まれるかどうか不安な場合は、該当するアプリやサイトに登録した覚えがあるメールアドレスを確認し、公式からの通知を待つのが確実だ。

通知メールが届かない場合は、公式サイトの発表を通じて知らされる方針とされている。

なお、店舗や公式オンラインストア、公式アプリ自体は通常どおり稼働しており、2027年5月期の連結業績への影響については現時点で精査中で、修正が必要になった場合は改めて開示するとしている。

今後の続報にも注目しておきたい。

まとめ

ブックオフの個人情報漏えい事件は、現役会員だけでなく21万人を超える退会者まで巻き込む形で発覚し、デジタル時代における会員データの扱いの難しさを改めて浮き彫りにした。

対象者には10月15日以降、順次メールで連絡が届く見通しだが、便乗したフィッシング詐欺への警戒も欠かせない。

自分が過去にブックオフの会員サービスを利用した記憶があるなら、この機会にパスワードの使い回しがないかを一度見直し、使っていないサービスの整理も進めておきたい。