家電量販店の株式会社ノジマは2026年11月2日、同社が運営する通販サイト「ノジマオンライン」の会員管理システムが第三者から不正アクセスを受け、登録されている会員情報約700万件が外部に漏えいしたと発表した。漏えいしたのは氏名、生年月日、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスなどである。同社は決済情報を保持しない仕組みを採っており、クレジットカード情報は含まれていないとしている。ノジマオンラインと中古スマホ買取サイトはサービスを一時休止しており、再開の時期は未定である。
11月1日に検知、同日中に漏えいを確認
ノジマによると、2026年11月1日に「ノジマオンライン」の会員管理システムへの第三者からの不正アクセスを検知・確認した。社内で調べた結果、同じ日に個人情報が外部に漏えいしたことを確認したという。
対象となったのは次の2つのサイトである。
- ノジマオンライン（EC専門サイト）
- 中古スマホ買取サイト
対象は約700万件で、退会した会員は含まれていない。漏えいした情報は次のとおりだ。
- 氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号
- ログインID、暗号化されたパスワード、メールアドレス
不正利用や二次被害が発生しているかどうかは調査中としている。侵入の経路や原因は、公表時点では明らかにされていない。
パスワードを強制リセット、警察にも相談
ノジマは、外部からのアクセスの遮断を含むセキュリティ対策と監視体制の強化を進め、所轄の警察署にも相談した。個人情報保護委員会などの関係機関には速やかに報告する予定としている。
11月3日には、漏えいの疑いがある会員を対象に、ログインパスワードの強制リセットを行ったと案内した。対象の会員には、登録したメールアドレスと電話番号を使ってパスワードを再設定するよう求めている。そのうえで、推測されにくい文字列を使い、ほかのサービスと同じパスワードを使い回さないよう呼びかけている。
「暗号化されていても」使い回しは見直したい
今回漏えいしたパスワードは暗号化された状態とされている。ただし、暗号化（またはそれに類する変換）の方式や強さによっては、時間をかければ元の文字列を割り出される場合もある。とくに短いパスワードや、よく使われる文字列は狙われやすい。漏えいしたパスワードを使われないよう、早めに変更することが重要だ。
利用者の側で注意したいのは、同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている場合である。1つのサイトから漏れた組み合わせを使って別のサイトへのログインを試みる「パスワードリスト攻撃」は、不正ログインの典型的な手口だ。ノジマオンラインと同じパスワードを使っているサービスがあれば、そちらも変更しておくことが望ましい。
氏名や住所、電話番号に生年月日まで揃った情報は、ノジマを装ったなりすましメールやSMS（ショートメッセージ）、電話にも悪用されうる。同社も、不審なメールやSMS、電話に注意し、身に覚えのないリンクや添付ファイルを開かないよう呼びかけている。
通販サイトの会員管理システムを点検する
ECサイトの会員管理システムは、氏名や住所、連絡先、ログイン情報がまとまって保管されている場所であり、侵入されたときの影響が大きい。対策としては、侵入を防ぐ取り組みに加え、不審な動きを早い段階で見つけて止める仕組みの点検も重要になる。
ノジマは、影響範囲と原因の調査・分析を進め、新たに知らせるべき内容が分かった時点で公表するとしている。侵入経路が明らかになれば、同様のシステムを運用する企業にとっても点検の手がかりになる。
同じ手口に、自社は備えられていますか？