ブックオフグループの会員システムに不正アクセス、最大約643万件が漏えいの可能性。カード情報は「システムでは保有していない」

ブックオフグループホールディングスは10月9日、子会社が提供する会員情報管理システムへの不正アクセスにより、会員情報が外部に流出したことを確認したと発表した。漏えいした可能性がある会員データは最大約643万件にのぼる。クレジットカード情報などの決済情報は、対象システムで保有していないため、漏えい対象には含まれないという。

ブックオフグループホールディングスが不正アクセスを確認したのは10月6日。調査の結果、子会社の会員情報管理システムで管理していた会員情報が外部から取得されたことが判明した。

漏えいした可能性がある情報は、氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、暗号化されたパスワードのハッシュ値、ポイントカード番号、会員番号。最大約643万件という件数は会員番号を基準としたもので、実際の対象人数とは異なるという。

10月9日時点で、流出情報が外部に公開された事実や、第三者に悪用された事実は確認されていない。会員情報の書き換えも確認されていないとしている。

ブックオフグループホールディングスは不正アクセスの確認後、攻撃元からの通信を遮断し、脆弱（ぜいじゃく）性を是正したうえで、対象システムへの外部からのアクセスも遮断した。10月9日時点で判明している不正取得の経路については封じ込めを完了しており、引き続き監視を続けているという。

あわせて、全システムを対象とした緊急総点検を実施。ネットワークとアプリケーションの両面から、追加の安全対策と恒久的な再発防止策を進める方針だ。個人情報保護委員会への報告など、必要な対応も進めている。対象となる顧客には、調査結果を踏まえて順次個別に連絡するとしている。

ブックオフグループホールディングスは、取得された可能性のある情報が悪用された場合、同社グループや関係先を装った不審なメール、SMS、電話などが送られる可能性があるとして、注意を呼びかけている。

具体的には、身に覚えのない連絡に記載されたURLや添付ファイルを開かないこと、個人情報や認証情報を入力しないことを求めている。また、同社グループがメール、SMS、電話でパスワード、認証コード、クレジットカード情報、銀行口座情報などを尋ねることはないとしている。不審な連絡や身に覚えのない利用を確認した場合は、専用窓口への連絡を案内している。

ブックオフグループホールディングスは今回の事態を重く受け止め、引き続き事実関係と影響範囲の調査を進めるとともに、セキュリティ体制の見直しと再発防止に取り組む。今後、新たに公表すべき事実が判明した場合は、速やかに知らせるとしている。