ノジマ、不正アクセスで会員情報約700万件が漏えい　ノジマオンラインと中古スマホ買取サイトが対象、カード情報は含まれず　自分が対象かの確かめ方と不審メールへの注意

時間がない人向けの30秒で理解ゾーン

家電量販店のノジマは11月2日、通販サイト「ノジマオンライン」の会員管理システムが第三者に不正アクセスされ、同サイトと「中古スマホ買取サイト」の会員情報約700万件が漏えいしたと発表した。氏名や住所、電話番号、ログインID、暗号化されたパスワードなどが含まれ、クレジットカード情報は2つのサイトでもともと持っていないという。対象は2サイトに登録し、退会していない会員だ。ノジマは不審なメールやSMS、電話に注意するよう呼びかけている。

漏えいは2サイトの会員約700万件、カード情報は含まれず

ノジマの発表によると、不正アクセスを検知・確認したのは11月1日（日）。社内で調べた結果、同じ日のうちに対象の2サイトから個人情報が外部へ漏れたことを確認した。件数は約700万件で、すでに退会した人の情報は含まれていない。

漏れた項目と、含まれていない情報は次のとおりだ。

項目	内容
対象サイト	ノジマオンライン（EC専門サイト）、中古スマホ買取サイト
件数	約700万件（退会した人は含まない）
漏えいした情報	氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレス
含まれない情報	クレジットカード情報（2サイトでは保持していない）

カード情報が含まれない理由について、ノジマは決済情報を自社で持たない仕組み（非保持化）に対応しているためと説明する。一方で、住所や電話番号、メールアドレスがそろって漏れており、ノジマ自身も、なりすましメールやフィッシング詐欺などに悪用される恐れがあるとしている。

パスワードは暗号化された状態で漏れた。発表は暗号化の方式や、元のパスワードが読み取られたかどうかには触れていない。

自分が対象かの確かめ方、目安は「2サイトの会員で退会していない人」

公表された対象範囲は、ノジマオンラインまたは中古スマホ買取サイトに会員登録していて、退会していない人だ。どちらかのサイトで買い物や買い取りの申し込みをした際に会員登録をしたかどうかが、まず確かめる点になる。

ただし、登録した覚えの有無だけでは判断しきれない人もいるだろう。発表には、対象者にメールなどで個別に知らせるかどうかや、対象かどうかをウェブ上で調べるページについての記載はない。対象として挙がったサイトは2つだけで、実店舗で作った会員カードやアプリ、ポイントの扱いについても発表は触れていない。

不安な場合の問い合わせ先は、ノジマが案内している次の窓口になる。

窓口	電話番号	受付時間
ノジマカスタマーセンター	0120-574-853	9:30〜19:00

2つのサイトは現在、サービスを一時休止している。再開時期は「安全性の確認が取れ次第、改めて当該サイトにてお知らせいたします」としている。

不審なメール・SMS・電話への注意、ノジマが呼びかけ

漏れた情報が悪用される心配について、ノジマは発表で次のように利用者に呼びかけた。

「今回漏えいした個人情報が、なりすましメールやフィッシング詐欺等に悪用される恐れがございます。不審なメール、SMS、お電話等には十分ご注意いただき、身に覚えのないリンクや添付ファイルを開かないようお願い申し上げます。」

フィッシング詐欺は、実在の企業をかたったメールやSMSで偽のサイトへ誘い、IDやパスワード、カード番号を入力させる手口を指す。氏名や住所が本物どおりに書かれた連絡が届けば、つい信じてしまう人もいる。ノジマの名前や「情報漏えいのお詫び」をうたうメールやSMSが届いても、本文のリンクからは開かず、公式サイトや上の窓口で確かめたい。

ログインIDと暗号化されたパスワードが漏れた点も気になるところだ。ノジマの発表には、利用者にパスワードの変更を求める記載はない。総務省の「国民のためのサイバーセキュリティサイト」は、サービスから流出したアカウント情報で他のサービスへの不正ログインを試す手口が知られているとして、パスワードを複数のサービスで使い回さないよう案内し、流出したときは速やかに変更するよう示している。ノジマのサイトと同じIDとパスワードを別のサービスでも使っている人は、この案内が参考になる。

本件が原因と考えられる不正利用や二次被害が起きているかどうかは、ノジマが調べている最中だ。

11月1日の検知から2日の公表まで、2サイトは休止

発表までの流れと、ノジマがとった対応を並べると次のようになる。

日付	出来事
11月1日（日）	ノジマオンラインの会員管理システムへの不正アクセスを検知・確認。同日中に2サイトからの個人情報の漏えいを確認
11月2日（月）	「ノジマオンラインの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」を公表
公表時点	2サイトのサービスを一時休止。再開時期は未定

対応として、ノジマは外部からのアクセスの遮断を含むセキュリティ対策と監視体制を強めたほか、所轄の警察署に相談した。個人情報保護委員会など関係機関への報告は準備中で、速やかに出すという。公式ホームページやサイト、公式SNSでの告知と注意喚起も続ける。

検知から公表までは1日。不正アクセスの原因や、誰が攻撃したのかは発表に書かれていない。