ブックオフ情報漏洩でパスワードは変えるべきか、最大643万件のハッシュ値とブックオフグループの連絡メール

ブックオフで何が漏れたのか、自分は対象なのか

ブックオフグループホールディングスが2026年10月9日に出した「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」と、同じ日に公開したお問い合わせページのFAQをもとに、分かっていることと公表されていないことを分けて並べます。

10月6日に不正アクセスを確認、10月9日に公表

公式発表によると、2026年10月6日（火）に、子会社の会員管理システムへの第三者による不正アクセスを確認しました。調査の結果、このシステムで管理している会員情報が外部から取得されたことが分かったとしています。不正アクセスが始まった時期や、侵入の経路、子会社の名前は公表されていません（2026年10月12日時点）。

会社は、攻撃元からの通信を遮断し、脆弱性を是正し、対象のシステムへの外部からのアクセスを遮断したとしています。判明している不正取得の経路は封じ込めを終え、監視を続けているほか、全システムを対象に緊急の総点検をしています。個人情報保護委員会への報告をはじめ、必要な対応を進めているとしています。同じ10月9日には、政府が大量の個人情報を扱う事業者に脆弱性対策などを要請したとNHKが報じています。ブックオフだけに向けた要請ではありません。

漏えいの可能性がある情報は、次のとおりです。

出典：ブックオフグループホールディングス「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月9日）、同社お問い合わせページのFAQ。対象となる人数と漏えいした可能性のある情報は、引き続き精査中としています。

発表の時点で、流出した情報が外部に公開された事実や、第三者に悪用された事実は確認されていないとしています。会員情報の書き換えも確認されていません。店頭買取では免許証の文字列を読み取っているとFAQにありますが、読み取った文字の情報がこの会員管理システムに含まれるかどうかは、FAQからは分かりません。

643万件は人数ではない、対象かどうかはメールで分かる

「最大約643万件」について、公式発表は「漏洩した可能性のある会員番号の件数であり、対象となる方の実際の人数ではありません」と注記しています。643万人分の情報が漏れたという意味ではありません。件数と人数が一致しない理由は書かれていませんが、1人が複数の会員番号を持っている場合などが考えられます（当社の見方）。

自分が対象かどうかについて、お問い合わせページのFAQは「来週より2週間ほどかけて、対象のお客様に順次メールにてご連絡を開始する予定です」と答えています。このFAQは10月9日（金）に公開されたもので、具体的な開始日は書かれていません。

店頭のポイントカード、公式アプリ、オンラインストアなど、どのサービスの会員が対象になるのかも、公式発表には書かれていません（2026年10月12日時点）。公式発表は「詳細が判明次第、続報にてお知らせいたします」としています。10月10日から12日までに、当社が確かめた範囲では続報は出ていません。

パスワードは変えるべきか、ハッシュ値の意味

いちばん気になるのは、パスワードを変えるべきかどうかです。ここでは、ブックオフの公式発表に書かれていることと、IPAや警察庁などの公的機関が示す一般的な対策を分けて整理します。

漏れた可能性があるのはパスワードそのものではなくハッシュ値

公式発表は、漏れた可能性がある情報を「パスワードのハッシュ値」とし、注記で「暗号化されたパスワードであり、そのままでは読み取りできない情報です」と説明しています。利用者が入力したパスワードの文字そのもの（平文）が漏れたとは書かれていません。

ハッシュ値は一般に、パスワードをそのまま保存せず、決まった計算で別の文字列に変えた値です。計算は一方向で、ハッシュ値から元のパスワードを直接戻すことはできない仕組みです。ただし、短いパスワードや単純なパスワードは、候補を同じ計算にかけて照らし合わせることで推測される場合があります（一般的な仕組みについての当社の説明です）。

ブックオフがどの方式でハッシュ値を作っていたか（ソルトと呼ばれる仕組みを使っていたかなど）は公表されていません。そのため、「解読されることはない」とも「すぐに解読される」とも言えない、というのが当社の見方です。

公式の記載と、公的機関の一般的な対策を分けて読む

10月9日の公式発表と、お問い合わせページのFAQには、会員全員にパスワードの変更を求める記載はありません。ログインの停止やパスワードの強制的な再設定をしたという記載もありません（2026年10月12日時点）。

出典：ブックオフグループホールディングスの公式発表（2026年10月9日）、IPA「チョコっとプラスパスワード」、警察庁「フィッシング対策」（いずれも2026年10月12日に確認）。「当社の見方」は公表資料をもとにした当社の整理です。

公的機関の対策は、ブックオフの件に限った案内ではなく、一般的な呼びかけです。IPAは、同じパスワードを使い回すことで、なりすましや金銭の被害につながるとして、サービスごとに違うパスワードを設定するよう勧めています。

当社の見方では、優先順位は次のとおりです。まず、ブックオフで使っていたのと同じパスワードを、ネット通販やSNSなど他のサービスで使っていないかを確かめ、使っていれば別のパスワードに変えます。ブックオフのパスワードも念のため変えたい場合は、メールやSMSのリンクからではなく、自分で開いた公式サイトや公式アプリから手続きします。

ポイントは大丈夫か、本物の連絡と偽の連絡の見分け方

ポイントカード番号と会員番号も漏えいの可能性がある項目に入っています。また、会社は、ブックオフグループや関係先を装ったメール、SMS、電話が送られる可能性があるとして注意を呼びかけています。

ポイントについて公表されていること

公式発表で分かるのは、ポイントカード番号と会員番号が漏えいの可能性がある項目に含まれること、10月9日時点で第三者による悪用や会員情報の書き換えは確認されていないことです。

ポイントが不正に使われたかどうかの調査結果や、不正に使われた場合の補償の方針は、公表されていません（2026年10月12日時点）。このため、「ポイントは安全」とまでは言えません。公式発表は、不審な連絡や身に覚えのない利用に気づいた場合は、お問い合わせ窓口に連絡するよう案内しています。

ポイントの残高や利用の記録を確かめる方法は、使っているサービスによって違います。確かめるときも、メールやSMSのリンクではなく、自分で開いた公式アプリや公式サイト、店頭で確かめます。

本物の連絡メールと、偽の連絡の見分け方

本物の個別連絡もメールで届く予定です。そのため、「メールが来たから偽物」とは言えません。見分けるときは、次の点を手がかりにします。

出典：ブックオフグループホールディングスの公式発表（2026年10月9日）と、お問い合わせページのFAQ。ナビダイヤルは通話料がかかります。

公式発表は「当社グループから、メール、SMS、電話等により、パスワード、認証コード、クレジットカード情報、銀行口座情報等をお尋ねすることはありません」としています。これらを入力させようとするメールやSMS、電話は、ブックオフを名乗っていても応じないようにします。身に覚えのない連絡に書かれたURLや添付ファイルは開かず、個人情報や認証情報を入力しないよう、会社も呼びかけています。

今回は氏名、住所、電話番号、メールアドレス、生年月日が一緒に漏れた可能性があるため、本人の名前や住所が書かれた、もっともらしい偽の連絡が届く可能性があります（当社の見方）。名前や住所が正しく書かれていることは、本物である証拠になりません。迷ったときは、メールに書かれたリンクや電話番号ではなく、自分で開いたブックオフの公式サイトのお知らせで確かめます。

ブックオフの会員が今できる3つのこと

ブックオフの公式発表、IPA、警察庁の案内をもとにまとめました。会社の個別連絡を待つあいだにもできることです。

よくある質問

ブックオフの情報漏洩で、自分が対象かどうかはどう分かりますか

ブックオフは、対象者に順次メールで個別に連絡するとしています。10月9日時点のFAQでは「来週より2週間ほどかけて」連絡を始める予定で、具体的な開始日は書かれていません。どのサービスの会員が対象かも公表されていません。

ブックオフのパスワードは変える必要がありますか

10月9日の公式発表に、パスワードの変更を求める記載はありません。漏れた可能性があるのはハッシュ値で、会社は「そのままでは読み取りできない情報」としています。同じパスワードを他のサービスでも使っている場合は、IPAが勧めるとおり、そちらを別のパスワードに変えておくと安心です。

643万人分の情報が漏れたのですか

いいえ。最大約643万件は漏えいした可能性のある会員番号の件数で、会社は「対象となる方の実際の人数ではありません」としています。対象となる人数は精査中です。

ブックオフのポイントは大丈夫ですか

ポイントカード番号と会員番号は漏えいの可能性がある項目に含まれます。10月9日時点で第三者による悪用や会員情報の書き換えは確認されていないとしていますが、ポイントの補償の方針は公表されていません。身に覚えのない利用に気づいたら、ブックオフの窓口に連絡します。

ブックオフからのメールが本物か、どう見分けますか

本物の個別連絡もメールで届く予定ですが、送信元のアドレスは公表されていません。ブックオフはメール・SMS・電話でパスワードや認証コード、カード情報、口座情報を尋ねることはないとしています。リンクは開かず、自分で開いた公式サイトのお知らせで確かめます。

クレジットカードや免許証の情報は漏れましたか

クレジットカード情報などの決済情報は、このシステムでは保有していないため含まれていないとしています。店頭買取の本人確認書類は撮影しておらず画像はなく、宅配買取の本人確認書類画像と銀行口座情報も対象ではないとしています。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社ですが、2026年10月から、身近なサービスで起きた情報漏えいについて、公表資料で確かめられることを整理する記事を公開しています。ブックオフの件では、公式発表と公的機関の案内を分けてまとめました。