ノジマオンラインなどで約700万件の情報漏えい、住所や暗号化パスワードが流出した経緯と自衛策

ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、株式会社ノジマは2026年11月2日、同社が運営するECサイト「ノジマオンライン」および中古スマホ買取サイトの会員管理システムが第三者による不正アクセスを受け、退会者を除く約700万件の個人情報が外部へ漏えいしたと公表しました。氏名や住所、電話番号のほか、暗号化されたパスワードなどが漏えい対象に含まれており、対象サービスを利用していたユーザーは二次被害への警戒が必要です。

ビジネス＋IT（Yahoo!ニュース）：ノジマ、会員700万件の個人情報が漏えい　住所・電話番号も対象、自分は大丈夫か

自社の顧客情報や認証情報が外部へ流出していないか懸念がある組織に向けて、CyberCrewでは流出状況を調査する支援を行っています。

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響を受けた可能性がある人・情報

（個人）「ノジマオンライン」および「中古スマホ買取サイト」に登録していた会員アカウント（退会者を除く約700万件）。漏えい項目は氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレス（クレジットカード情報は含まれず）。
（企業）株式会社ノジマが管理する「ノジマオンライン」および「中古スマホ買取サイト」の会員管理システム。

今すぐ取るべき対応

（個人）ノジマオンラインや中古スマホ買取サイトと同じログインIDやパスワードを他のWebサービスでも使い回している場合、他サービスのパスワードを直ちに変更する。
（個人）ノジマや配送業者などをかたる不審なメールやSMS、電話に警戒し、記載されたURLや添付ファイルを安易に開かない。
（個人）身に覚えのない不審な連絡や二次被害が疑われる場合は、ノジマカスタマーセンター（0120-574-853）へ相談する。
（企業）Webサイトや会員管理システムへの不正アクセスを防ぐため、外部アクセス経路の遮断や監視体制の再点検を実施する。

この記事に出てくる専門用語

会員管理システム：Webサイトの会員登録情報やログイン認証データを一括して保持・処理する仕組み。今回の事案では、ノジマが運営する2つのWebサイトに共通する会員管理システムが不正アクセスを受け、約700万件の情報が外部へ流出しました。
暗号化パスワード：平文（そのまま読める文字列）ではなく、計算処理によって復元しにくい形式に変換されたパスワード。今回の事案では暗号化された状態で漏えいしたと公表されていますが、強度の低いハッシュ化などの場合は解析される危険が残ります。
リスト型攻撃：あるサービスから流出したIDとパスワードの組み合わせを使い、別のWebサービスへの不正ログインを機械的に試みるサイバー攻撃。今回の漏えい情報が悪用され、他サービスのアカウントが乗っ取られる恐れがあります。

ノジマの会員管理システムで不正アクセスが検知された経緯

ビジネス＋ITの報道（Yahoo!ニュース掲載）によると、ノジマは2026年11月1日に不正アクセスを検知・確認し、社内調査の過程で同日中に会員の個人情報が外部へ漏えいした事実を突き止めました。翌11月2日には被害状況を公表し、影響拡大を防ぐための初動対応へ着手しています。

対象となったのは、同社が運営するECサイト「ノジマオンライン」と中古スマートフォン買取サイトの会員管理システムです。ノジマは被害拡大の防止と原因究明に向けて外部アクセスの遮断や監視体制の強化を行い、対象となる2サイトのサービス提供を一時休止しました。

私たち診断側の視点から見ると、検知当日に外部へのデータ流出まで突き止めている点は迅速な初動と言えます。一方で、具体的な侵入経路や脆弱性の有無については当事者が公表しておらず、今後の詳細なフォレンジック調査が待たれます。

流出した会員情報の内容とクレジットカード情報の非保持対応

今回の事案で外部へ流出したデータは、退会者を除く約700万件にのぼります。漏えい項目には、氏名（漢字・カナ）、生年月日、性別のほか、郵便番号、住所、電話番号、メールアドレス、ログインID、暗号化されたパスワードが含まれています。

決済情報に関しては、対象の2サイトが「決済情報の非保持化」に対応していたため、クレジットカード情報は保持しておらず漏えい対象には含まれていません。カード情報が社内環境に残存していなかった設計は、金銭的被害を直接食い止める防壁として機能しました。

ただし、氏名や正確な住所、電話番号に加え、暗号化されているとはいえパスワードまで持ち出された点は軽視できません。解析技術の進歩やパスワードの長さ次第では平文が割り出される危険性があるため、認証情報の扱いは慎重に判断します。

流出情報が悪用されるシナリオと二次被害のリスク

ノジマは現時点で本件に起因する不正利用や二次被害の発生について調査を進めていると説明しています。公表の中でも、流出した個人情報が悪用されたなりすましメールやフィッシング詐欺が発生する恐れについて注意喚起を行いました。

攻撃者が正規の会員情報（住所、電話番号、過去の利用履歴の推測など）を把握している場合、実在の購入履歴や配送状況を装った極めて巧妙な偽メッセージを作成できます。不特定多数に向けた一般的なスパムと異なり、受信者が信じ込んで認証情報やワンタイムパスワードを入力してしまう危険が高まります。

攻撃側が狙うもう一つの手口は、他のWebサービスへの不正ログインを試みるリスト型攻撃です。同じメールアドレスとパスワードの組み合わせを使い回している利用者が標的になるため、外部への情報流出が起きた直後の初動が被害抑止を左右します。

ノジマの利用者が直ちに確認すべき自衛手順

ノジマオンラインや中古スマホ買取サイトを利用していたユーザーは、まず他サービスにおけるパスワードの使い回し状況を確認してください。流出した暗号化パスワードが解析されるリスクを前提に置き、同一の文字列を設定している金融機関、ECサイト、主要なWebサービスのパスワードを速やかに別の強固な文字列へ変更します。

次に、ノジマや運送会社、金融機関を名乗る不審なメールやSMS、電話への警戒を強めます。身に覚えのないメッセージに記載されたリンクや添付ファイルは開かず、公式のブックマークや検索から正規ページへ直接アクセスして状況を確認する習慣を徹底します。

万が一、不審な連絡を受け取ったりアカウントの不自然な動作に気づいたりした場合は、ノジマカスタマーセンター（0120-574-853、受付時間は9時30分から19時まで）へ直接状況を相談して指示を仰ぎます。

参考文献・記事一覧

ビジネス＋IT（Yahoo!ニュース）「ノジマ、会員700万件の個人情報が漏えい　住所・電話番号も対象、自分は大丈夫か」

外部流出した個人情報はリスト型攻撃やなりすましに転用される恐れがあるため、アカウントや社内情報の漏えい有無を早期に検知する体制づくりをお手伝いします。

投稿者プロフィール

Cyber News: サイバーセキュリティニュースボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。