ジョーシンの不正アクセス — 会員情報からサブスク、リフォーム写真のシステムまで漏洩の可能性が及んだ経緯と、付帯サービスを持つ企業の3つの対策

ジョーシンの不正アクセスとは

ジョーシンの不正アクセスは、株式会社Joshinのネットワークの一部が第三者による不正アクセスを受け、会員情報などのお客さま情報が漏洩した可能性がある事案です。同社は2026年10月16日にネットワークの異常を検知し、不正アクセスの形跡が見られるサーバーをネットワークから遮断しました。外部からのアクセスを制限した結果、一部のサービスを提供できない状態が続いており、外部の専門機関と連携して影響範囲の調査を進めています。

10月26日の第2報では、調査中の3つのシステムについて、漏洩した可能性がある件数と対象となる情報が示されました。同社は、これらの件数を漏洩した可能性のある総件数とし、個人情報漏えいが確定した件数ではないと説明しています。決済情報の非保持化に対応しているため、クレジットカード情報は保持していません。最新の動きは、当社の事例速報「株式会社Joshin（ジョーシン）のサイバー攻撃被害」で更新しています。

異常の検知から第2報までの経緯

検知の翌日に公式ホームページで第1報が出され、システムごとの件数がそろったのは10日後でした。侵入の経路や手口、停止しているサービスの再開時期は、第2報の時点でまだ示されていません。

漏洩した可能性がある情報

対象となる情報は、システムごとに性質が大きく異なります。会員情報データベースは連絡先が中心で、サブスクは契約とログインに関わる情報、写真のシステムは画像のデータが中心でした。

写真のシステムで免許証画像やマイナンバーカード、口座番号が対象となったお客さまには、同社が個別に連絡を取っています。3つのシステムの件数の重なりや、対象となるお客さまの実人数は公表されていません。

なぜ会員情報だけでなく、サブスクや写真のシステムまで対象になったのか

第2報は、本業の会員情報データベースと並べて、サブスクとリフォーム写真のシステムを「調査中のシステム」として挙げました。家電の販売を支える会員基盤のほかに、定額のサービスや工事の写真のやり取りといった付帯サービスにも、それぞれ別の個人情報がたまっていた形です。公表された内容から、付帯サービスを持つ企業が読み取れる点を3つに整理します。

システムごとに、事故の後にお客さまへ伝える中身が変わる

会員情報データベースの対象は氏名、住所、電話番号、会員番号で、不審な連絡への注意を呼びかけることが中心になります。これに対してサブスクには請求履歴やデバイスID、有効化コードがあり、写真のシステムには本人確認書類の画像と口座番号がありました。同じ会社の事故でも、システムによって、お客さまに案内する内容と個別に連絡する相手が変わったわけです。どのシステムに何があるかを把握していれば、第2報のように、システムごとの件数と項目をそろえて示せます。

ログインIDと初期パスワードが、組みで対象に挙がった

サブスクの対象には「ログインID 初期パスワード」が含まれています。初期パスワードは、サービスの開始時に事業者が発行して利用者に渡す値で、利用者が変えないまま使い続けることも珍しくありません。発行した値が事業者の側に残っていると、それ自体が守るべき情報になります。同社は第2報で、同社を装った不審なメール、SMS、電話等が行われる可能性があるとして注意を呼びかけました。

写真をやり取りするためのシステムに、書類の画像や口座番号が届いていた

リフォーム写真アップロードシステムの対象には、工事写真に加えて、免許証画像2件、マイナンバーカード1件、口座番号5件が含まれました。件数は少ないものの、なりすましや不正な引き出しに使われうる種類の情報です。写真の共有を目的に作った仕組みでも、お客さまや現場の担当者にとって手軽な送り先であれば、書類の画像も一緒に届くことがあります。同社は該当するお客さまに個別に連絡を取りました。

付帯サービスを持つ中小企業が狙われる理由

付帯サービスのシステムは、本業のシステムより後から加わり、担当の部門や開発の委託先が分かれることが多いため、点検の順番が後ろに回りやすい場所です。当社代表の青山は、総合解説「サプライチェーン攻撃の起点は中小企業にある」で、同じサーバーに残っていた旧ECサイトの顧客データベースや、補助的に使っていたクラウドストレージのアカウントが漏えいの範囲になった事例を挙げ、「補助的に使っていた」システムへの備えを促しています。小売、サービス、リフォーム、工務店では、会員カード、定期のメンテナンス契約、見積もりや工事の写真の共有など、本業の周りに個人情報を扱う仕組みが増えていきます。本人確認書類の画像を預かる仕組みの守り方は、タイムズカーの事例でも詳しく取り上げました。

付帯サービスの個人情報漏えいを防ぐには？本業以外のシステムを持つ企業の3つの対策

付帯サービスを持つ企業が優先したいのは、①本業以外のシステムも含めて、どのシステムに誰のどの情報が何件あるかを台帳にする、②初期パスワードを初回ログインで必ず変えてもらい、変更後は初期値で入れない作りにする、③写真や書類の受け渡し用システムで受け取る情報と残す期間を決め、終わったデータを消す、の3つです。①は事故の日に影響の範囲を早く示すため、②は漏れた値がそのまま鍵として使われないため、③は侵入されたときに外へ出うる情報を減らすための備えになります。

対策1：本業以外のシステムも含めて、どのシステムに誰のどの情報が何件あるかを台帳にする

最初に整えたいのは、付帯サービスまで含めて、どのシステムに誰のどの情報が何件あるかを一覧にした台帳です。ジョーシンの第2報は、3つのシステムごとに件数と項目を並べ、個別に連絡すべきお客さまがいるシステムを分けて示しました。事故の日にこの形で説明するには、システムの名前、預かっている項目、件数、運営している部門や委託先を、ふだんから書き出しておく必要があります。

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、付録に資産管理台帳のサンプルを用意しています。これを下敷きにして、個人情報を扱うシステムごとに次の列を足すと、付帯サービスの漏れに気づきやすくなります。

判断の目安は、「どのシステムの事故でも、件数と項目を1日以内に社内で示せる」状態です。陥りやすいのは、店舗や工事の部門がキャンペーンや便利さのために始めた仕組みが台帳に載らないまま、何年も動き続けることでしょう。契約が終わったお客さまのデータが残っている場合も、その件数まで書いておかないと、事故の日の数字が後から増えます。台帳は個人情報の責任者が各部門に聞き取れば1日ほどでまとまり、新しいサービスを始めるときと終えるときに書き足します。

対策2：初期パスワードは初回ログインで必ず変えてもらい、変更後は初期値で入れない作りにする

2つ目は、会員サービスやサブスクで発行する初期パスワードを、初回のログインで利用者自身のものに変えてもらう作りにすることです。ジョーシンのサブスクでは、ログインIDと初期パスワードが漏洩した可能性のある情報に挙がりました。初期値のまま使われているアカウントは、IDと組みで知られた時点で、他人に入られる入口になり得ます。

発行した初期値は、利用者が変えた時点で役目を終えるのが本来の形です。サービスの設計と運用を、次の順で見直してください。

1. 初期パスワードを発行しているサービスを洗い出す（会員サイト、サブスクの管理ページ、アプリ、機器の有効化など）
2. 初回ログインの直後にパスワードの変更を必須にし、変更が済むまでほかの画面へ進めないようにする
3. 初期パスワードに有効期限を設け、期限内に使われなかった値は自動で無効にする
4. 発行した初期値を、後から読み出せる形で社内のシステムや書類に残さない
5. 初期値のまま残っているアカウントを毎月抽出し、変更を案内するか、一時的に止める

判断の目安は、「初期パスワードのままログインできるアカウントが1件もない」状態です。落とし穴は、店頭の申込書の控えや契約書に初期パスワードを印字し、それが紙やスキャンの画像として保管され続けることにあります。電話番号の下4桁や生年月日など、推測しやすい規則で初期値を作っている場合も、早めに乱数での発行へ切り替えたい部分です。改修は開発の委託先と相談して数日から2週間ほどが目安で、未変更のアカウントの抽出は会員サービスの担当者が毎月行います。

対策3：写真や書類の受け渡し用システムは、受け取る情報と残す期間を決め、終わったデータは消す

3つ目は、工事写真や見積もりの資料をやり取りする仕組みについて、何を受け取ってよいかと、いつ消すかを決めておくことです。ジョーシンのリフォーム写真アップロードシステムには、工事写真のほかに免許証画像、マイナンバーカード、口座番号が含まれていました。受け渡しの仕組みは手軽で便利なぶん、本来は別の窓口で受け取るはずの書類まで集まりやすい性質を持っています。

使い終えた個人データについて、個人情報保護法は遅滞なく消去する努力を事業者に求めています。マイナンバー（個人番号）については、番号法が、法律で定められた事務以外で集めたり保管したりすることを制限しています。届く情報の種類ごとに、扱いを次のように分けておくと迷いません。

判断の目安は、「受け渡し用システムに、完了から決めた期間を過ぎた工事のデータと、受け取らないと決めた書類の画像が残っていない」状態です。落とし穴は、現場の担当者がお客さまから書類の画像を受け取り、スマートフォンやチャットにも同じ画像が残ることでしょう。お客さま向けの案内には「本人確認書類や口座番号は、このシステムに送らないでください」と一文で明記し、送られてきた場合の消し方を現場に配っておきます。決まりはリフォーム部門の責任者が半日ほどで作れ、削除の作業は月に一度、システムの担当者が受け持ちます。

ジョーシンの事例で見えた課題から逆引きする、ガーディアンの支援

この事例で見えた課題は、付帯サービスのシステムが本業の外側で増え、その入口、お知らせの出し先、会社の名前を名乗る連絡のそれぞれに備えが要るという点でした。当社は、課題ごとに次のサービスを当てて支えます。

最初の一歩に向くのは、SCAN DOG ライト版です。台帳づくりの途中で見つかった付帯サービスのURLをまとめて預けていただければ、急いで手を入れたい先から順に並べたレポートを約10営業日でお届けします。そのうえで、会員やサブスクのように改修が続くページは SCAN DOG 正規版で決めた頻度の診断に移し、お客さまが確かめに来る公式サイトは SCSC Dog で当社が運用する、という組み合わせが合っています。SCSC Dog の基盤は、直近365日の稼働率が99.99994%（当社集計）で、事故の日も公式サイトからお知らせを出し続けられます。

SCS評価制度で問われる、ソフトウェアの把握とパスワードの決まり

経済産業省などが進めるSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、企業の対策の水準を★の数で示す任意の仕組みです。★3・★4の申請受付は2026年度末に始まる予定です。取引そのものを規制する制度ではないものの、お客さまの情報を多く扱う小売やサービスの会社は、取引先から対策の状況を尋ねられる場面が増えていくとみられます。

この事例と関わりが深いのは、★3の要求事項「3-1-1 情報機器、OS及びソフトウェアに関する情報の把握」と「4-1-5 パスワード設定ルール」です。前者はサーバやソフトウェアを把握する仕組みと管理のルールを、後者はデフォルトパスワードの変更や、推測されやすい単語の禁止を社内ルールに定めることを求めています（IPA「★3・★4 要求事項・評価基準」）。社内向けの決まりですが、付帯サービスまで含めた対策1の台帳と、対策2の初期パスワードの見直しは、この2つに向けた準備にもつながります。制度の全体像はSCS評価制度への対応で解説しています。

まとめ

ジョーシンの事例では、ネットワークへの不正アクセスにより、会員情報データベースの最大約600万件、ジョーシンのサブスクの最大約23万件、リフォーム写真アップロードシステムの最大約800件に漏洩の可能性があると公表されました。サブスクのログインIDと初期パスワード、写真のシステムに届いた本人確認書類や口座番号まで対象に含まれ、侵入の経路と手口は調査が続いています。

本業のほかに付帯サービスのシステムを持つ企業が、今日から進めたいのは次の3つです。

• 会員カード、サブスク、写真の共有など、個人情報を扱うシステムを全部書き出し、項目と件数、運営する部門と委託先を台帳にまとめる
• 初期パスワードを発行するサービスで、初回ログイン時の変更を必須にし、初期値のままのアカウントを毎月洗い出す
• 写真や書類の受け渡し用システムで受け取らない書類を決め、完了したデータを消す日を決める

お知らせを出す公式サイトの守りがどこまで整っているかは、77's Check!! で無料で確かめられます。

よくある質問

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応