📡 Signal｜ブックオフの漏えい、退会会員を含む 638 万人で確定

ブックオフグループホールディングスは10月13日、会員情報の漏えいについて第2報を出し、漏えいの対象を会員番号で 642 万 7,735 件、人数で 638 万 3,279 人と確定した。人数のうち 21 万 2,371 人は、すでに退会した会員だった。

第1報で伏せられていた子会社とサービスの名前も明らかになった。侵入されたのは、子会社のブックオフコーポレーションが国内のブックオフ事業で使う会員管理システムで、情報は10月4日から6日にかけて外部へ持ち出されていた。退会した人の情報まで残っていたことが、被害の範囲を広げた。

10月9日の記事の続報として、第2報で新たに分かったことを整理する。

「最大約 643 万件」が人数で確定した

第1報は「最大で約 643 万件」とし、これは会員番号の件数で人数ではないと断っていた。第2報はこれを二つの数字で確定した。

漏えい対象の会員データ数: 会員番号ベースで 642 万 7,735 件
漏えい対象者数: 638 万 3,279 人 (有効会員 617 万 908 人、退会会員 21 万 2,371 人)

会員データ数は、システムの記録で外部への送信を確認した会員番号の件数だ。対象者数は、同じメールアドレスで登録された複数の会員データを 1 人として数え直したもので、その差が約 4 万 4,000 件になる。

対象はアプリ会員、オンラインストア会員、Web 会員だ。会員カードだけを使い、アプリやウェブで登録していない人は含まれない。

対象のサービスと、対象外の情報

第2報は、同じ会員管理システムにつながるサービスを列挙した。BOOKOFF SUPER BAZAAR、BOOKOFF PLUS、BOOKOFF、BOOKOFF 公式オンラインストア、あそビバ、BOOKOFF FASHION、BINGO、B・SPORTS、B・STYLE、そして Rehello by BOOKOFF の店舗だ。hugall、aidect、Rehello by BOOKOFF の EC サイト、Japan TCG Center、ブクログ、青山ブックセンター、ブックオフおかたづけサービスは別のシステムで管理しており、対象外とした。

漏えいした可能性のある情報は第1報と同じで、氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号だ。

対象外の線引きは、第2報でより細かくなった。クレジットカードなどの決済情報と銀行口座の情報に加え、店頭買取や宅配買取で出した本人確認書類の画像、その画像を読み取った文字情報、商品の注文や宅配買取で会員の住所と別に指定した配送先・集荷先は、このシステムで管理しておらず含まれない。買取で免許証を見せた人にとっては、ここが最も確かめたかった点になる。

漏えいした情報が外部に公開された事実、ポイントの不正な利用、会員情報の書き換えは、13日時点で確認されていない。

退会した 21 万人の情報が残っていた

今回の数字で読むべきは、退会会員の 21 万 2,371 人だ。ブックオフを使わなくなった人の情報も、会員管理システムに残り、持ち出された。

同じ週、アンケートサイト infoQ を運営する GMO リサーチ&AI は第2報で、持ち出された記録のうち 9,068 件は、退会から 2 か月以上たち個人情報をすでに消していた会員のもので、中身は空だったと明らかにした。退会者の情報を消していた会社では退会者の被害が出ず、残していた会社では 21 万人が対象に入った。

退会者の情報をどれだけの期間持つかは、各社のプライバシーポリシーと事業上の必要で決まる。ただ、10月に入って大型の漏えいの公表が続くなかで、持ち続けるデータの量そのものが、侵入された時の被害の上限を決めることが数字で見えてきた。

手口は公表しない方針

第2報は、具体的なシステムの構成、脆弱性、攻撃の手法については、新たな不正アクセスを誘発するおそれがあるとして公表を差し控えるとした。外部の専門家と原因の調査を進め、グループの全システムと全環境を対象に緊急の総点検をしている。個人情報保護委員会に報告し、警察にも相談した。

パスワードのハッシュ値がどの方式で作られていたかも、第2報には書かれていない。会社は対象の会員に、ブックオフ公式オンラインストアとブックオフアプリのパスワードを念のため変えるよう求め、同じか似たパスワードを他のサービスで使っている場合はそちらも変えるよう呼びかけた。

業績への影響は精査中で、2027年5月期の連結業績予想には織り込んでいない。事案は第1四半期の期末の後に起きたため、第1四半期の業績には影響しないとしている。

10月15日から届くメール

確認できる次の一点は、10月15日 (木) から対象の会員に順次届く個別のメールだ。件名は「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」で、対象の会員が多いため、届け終えるまでに一定の期間がかかるという。

会社は、案内のメールにパスワードの変更画面へのリンクを載せず、メールや SMS、電話でパスワード、認証コード、クレジットカード、銀行口座の情報を尋ねることもないと明記した。この時期は、本物の案内に紛れて同じ件名の偽のメールが届きやすい。パスワードを変えるなら、メールのリンクではなく公式アプリか公式サイトへ直接アクセスする。

次の開示では、ハッシュの方式、侵入の経路、業績への影響の 3 点が示されるかを見る。

ことば

ハッシュ値 — 元のデータから一定の計算で作る、元に戻せない値。方式が弱いと、よく使われるパスワードとの照合で元が割り出されることがある。ブックオフは第2報でも方式を明かしていない。
退会会員 — サービスの利用をやめた会員。退会後に個人情報をいつ消すかは各社の方針で決まり、今回のブックオフでは 21 万人分が漏えいの対象に入った。
会員番号ベース — 会員登録ごとに振られた番号で数える数え方。1 人が複数の登録を持つことがあるため、人数とは一致しない。

🔗 一次ソース