ブックオフグループホールディングス（9278）は、会員データ漏えいの規模を公表した。システムから取得された会員データ642万7735件から集計した、影響を受けた人数は638万3279人。同社の第2報で確定した範囲が示されている。詳しくはTokyo Briefの過去の報道。
二つの数字と二つの母数
多い方の数字は、システムの記録で会員情報が外部に送信されたことを確認した会員番号の件数。少ない方は人数で、同じメールアドレスで登録された複数の会員データを1人として集計している。638万3279人のうち、有効会員は約617万908人、退会会員は21万2371人。
対象はアプリ会員、オンラインストア会員、Web会員のみ。アプリ登録もウェブ登録もせず会員カードだけを使う顧客は、漏えいの対象外。
漏えいした情報
同社によると、漏えいした可能性がある情報は、氏名、生年月日、性別、メールアドレス、電話番号、登録された郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号。全会員について全項目が漏えいしたわけではない。パスワードのハッシュ値は、パスワードを一定の方式で変換した情報で、そのままでは元のパスワードを読み取れない。
クレジットカード番号などの決済情報や銀行口座情報は、対象となった会員管理システムで管理しておらず、漏えいの対象に含まれないと同社は説明している。宅配買取の際に提出された本人確認書類の画像は、対象となったシステムとは別のシステムで保管されている。店頭で本人確認書類から読み取った文字情報も対象外。こうした除外で被害は限定されるが、漏えいした連絡先や本人を特定する情報が無害になるわけではない。
不正アクセスの期間と封じ込め
ブックオフグループホールディングスによると、連結子会社の国内の会員管理システムに第三者が不正アクセスした。同社は10月6日に侵入を確認し、会員データは10月4日から6日にかけて外部から取得されたという。
同社は、攻撃元からの通信と不正アクセスに使われた経路を遮断し、判明している不正取得経路の封じ込めは完了したとしている。新たな取得は確認されていないという。漏えいしたデータが公開された事実、ポイントが不正に利用された事実、実在する会員の情報が書き換えられた事実も確認していないとしている。いずれも同社自身の説明による。
外部専門家の協力を得て原因を調べるとともに、グループの全システムを対象に緊急総点検を実施している。システム構成、脆弱性、攻撃手法などの技術的な詳細は、公表すれば今後の不正アクセスを誘発するおそれがあるとして明らかにしていない。個人情報保護委員会に報告し、警察にも相談した。
会員に求める対応
登録メールアドレス宛ての個別連絡は10月15日（木）に始まり、順次送る。会員数が多いため、完了まで一定の期間を要する見込みという。登録アドレスが使えなくなった会員には、個別連絡に代えて今回の公表で知らせる。
対象の会員には、公式オンラインストアとアプリのパスワードを変更するよう求めている。他のサービスで同一または類似のパスワードを使っている場合も、変更を求める。同社は、案内メールにパスワード変更画面へのリンクは載せず、メール、SMS、電話でパスワードやクレジットカード情報、銀行口座情報を尋ねることもないとしている。
業績への影響
漏えいは第1四半期末後に起きたため、第1四半期の業績への影響はない。同社は業績への影響を精査中で、2027年5月期の連結業績予想には織り込んでいない。