【第2報・最大約600万件】ジョーシンに不正アクセス、会員の氏名・住所など漏えいの可能性｜サブスクの初期パスワードも

家電量販店「ジョーシン」を展開するJoshinは10月26日、ネットワークへの不正アクセスについて第2報を公表しました。会員情報データベースから最大約600万件の氏名・住所・電話番号・会員番号が漏えいした可能性があります。サブスクリプションサービスやリフォーム関連のシステムも調査の対象で、一部では運転免許証やマイナンバーカードの画像も含まれます。

不正アクセスは10月16日に検知され、現在も一部のサービスが止まっています。第1報の時点の内容はこちらの記事でまとめています。この記事では、第2報で分かった漏えいの可能性がある情報と、利用者がやるべきことを整理します。

経緯
漏えいの可能性がある情報
利用者がやるべきこと
公表内容から読み取れること（考察）
関連記事
まとめ
出典

経緯

日付	出来事
10月16日（金）	ネットワークで異常を検知。調査の結果、一部が不正アクセスを受けた形跡を確認し、該当サーバーをネットワークから遮断
10月16日以降	外部専門機関に調査を依頼。個人情報保護委員会と警察に相談・報告
10月17日（土）	公式ホームページで第1報を公表
10月19日（月）	第1報と同じ内容を東京証券取引所に開示
10月26日（月）	第2報で、漏えいの可能性がある情報と件数を公表

緊急の措置をとった結果、一部のサービスを利用できない状態が続いています。どのサービスが止まっているかは、第2報では具体的に示されていません。

漏えいの可能性がある情報

第2報では、調査中の3つのシステムごとに、漏えいの可能性がある件数と情報が示されました。

システム	最大件数	対象の情報
会員情報データベースサーバー	約600万件	氏名、住所、電話番号、会員番号
ジョーシンのサブスク	約23万件	会員番号、電話番号と手書きサイン（バイナリデータ）、ログインIDの初期パスワード、請求履歴、契約番号、デバイスID、有効化コード
リフォーム写真アップロードシステム	約800件	運転免許証の画像2件、マイナンバーカード1件、口座番号5件、リフォーム施工中の工事写真データ

いずれも漏えいした可能性がある総件数で、個人情報の漏えいが確定した件数ではないとしています。免許証やマイナンバーカード、口座番号が含まれていた利用者には、個別に連絡をとっています。

Joshinは決済情報を持たない運用をしており、クレジットカード情報は保有していないとしています。

利用者がやるべきこと

1. ジョーシンを装う連絡に注意する

Joshinは、同社を装った不審なメール、SMS、電話などが行われる可能性があるとして、身に覚えのない連絡や不審なURLに注意するよう呼びかけています。氏名・住所・電話番号がそろって漏えいした可能性があるため、電話や郵便物を使った詐欺にも気をつけてください（この点は筆者の補足です）。

2. サブスク利用者はパスワードを確認する

「ジョーシンのサブスク」では、ログインIDの初期パスワードが対象に含まれています。公式発表には利用者への具体的な依頼はありませんが、初期パスワードのまま使っている人や、同じパスワードを他のサービスでも使っている人は、変更しておくと安心です（筆者の考えです）。

3. 問い合わせ先

Joshin お客様相談窓口：06-6631-1323（9:30〜18:30）
メール：joshin_otoiawase@joshin.co.jp

公表内容から読み取れること（考察）

ここからは、公式発表をもとにした筆者の考察で、推測を含みます。

最大約600万件という会員情報の規模に加えて、サブスクの「初期パスワード」が対象に含まれている点が気になります。初期パスワードを変えずに使い続けている利用者が多ければ、ログインに直接使われるおそれがあります。初期パスワードを、後から参照できる形で保管していた可能性もあり、どのような形で保存されていたかは今後の発表で確認したいところです。

また、リフォームの写真をアップロードするシステムに、免許証やマイナンバーカード、口座番号が含まれていました。件数は少ないものの、本来の用途（工事写真）と違う情報が、利用者のアップロードによって紛れ込んでいた可能性があります。ネットワークの一部への侵入から、会員DB、サブスク、リフォームという性格の違う複数のシステムに調査範囲が広がっていることから、社内ネットワークの中で横に移動された可能性も考えられます。侵入経路や手口は公表されていません。

Joshinに不正アクセス、一部サービスが停止　個人情報漏えいの可能性も調査中（第1報）
2026年9月〜10月の情報漏洩まとめ