ノジマオンラインから漏えいした約700万件の会員情報には、氏名や住所、暗号化されたパスワードが含まれていました。一方で、クレジットカード番号は入っていません。対象の2サイトが、カード情報を保持していないためです。カード情報を持たない設計の意味と、それでも残ったものを、会員がいまできることとあわせて整理します。
株式会社ノジマは2026年11月2日、同社が運営するECサイトの会員管理システムに第三者による不正アクセスがあり、登録されている会員情報が外部に漏えいしたと発表した。11月1日に「ノジマオンライン」の会員管理システムへの不正アクセスを検知・確認し、同日、ノジマオンラインと中古スマホ買取サイトの2サイトで個人情報の漏えいを確認した。対象は約700万件で、退会者は含まない。
漏えいしたのは氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスである。2サイトはクレジットカード情報を保持していない。同社は2サイトを一時休止し、所轄警察署に相談した。
From: 
ノジマオンラインの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ｜株式会社ノジマ
【編集部解説】
ノジマが公表した約700万件は、10月から続く国内の不正アクセスの公表のなかでも大きな規模です。同社は11月1日に不正アクセスを検知・確認し、個人情報が外部に漏えいしたことも同じ日に確認したと、翌2日に発表しました。影響範囲や原因の調査を続けながら、会員には不審な連絡への注意を呼びかけています。
カード情報を「持たない」設計
対象の2サイトは、決済情報の非保持化に対応しており、クレジットカード情報を保持していません。非保持化とは、日本クレジット協会が事務局を務めるクレジット取引セキュリティ対策協議会のガイドラインで、自社の機器やネットワークでカード情報を「保存」「処理」「通過」のいずれもさせない状態を指します。決済は外部の決済代行会社などが受け持ち、店のサーバーにはカード番号が残りません。
同社の説明によれば、約700万件の会員情報が外に出ても、そのなかにカード番号は含まれていません。持たない情報は、保存された情報として漏れることがありません。地味ですが、事故が起きたときに被害の大きさを左右する設計です。
残った項目がそろうことの意味
一方で、漏えいした項目は、氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスです。1つひとつは、ほかのサービスにも登録しているありふれた情報です。それでも、これだけそろうと、本物らしく見える連絡をつくりやすくなります。
ノジマは、なりすましメールやフィッシング詐欺に悪用されるおそれがあるとして、不審なメール、SMS、電話に注意し、身に覚えのないリンクや添付ファイルを開かないよう求めています。家電の配送や修理、スマホの買取査定など、ノジマの利用者なら心当たりのありそうな用件を装った連絡には、とくに気をつけたいところです。
中古スマホ買取サイトも対象に含まれています。発表で対象として挙がっているのは上の項目で、買取の利用者が気にしそうな本人確認書類や振込先の口座は、公表された対象情報には含まれていません。
サイトは休止中、会員がいまできること
ノジマは11月2日の発表で、2サイトのサービスを一時休止したとしています。再開の時期は、安全性の確認が取れしだい、当該サイトで知らせる方針です。漏えいしたパスワードは「暗号化されたパスワード」とされています。その方式や、パスワードの変更などの対応は、11月2日の発表の時点ではまだ明らかになっていません。
会員がいま確かめたいのは、ノジマオンラインと同じパスワードをほかのサービスで使っていないかです。総務省は、パスワードを複数のサービスで使い回さないよう呼びかけています。あるサービスから流出したIDとパスワードを使って、ほかのサービスへの不正ログインを試す手口が知られているためです。総務省は、流出の事実がなければ定期的な変更は不要としつつ、流出したときは速やかに変えるという、当時の内閣サイバーセキュリティセンター（NISC、現・国家サイバー統括室）の考え方も紹介しています。同じパスワードを使っているサービスがあれば、そちらを先に変えておくと安心です。
ノジマは、公式のホームページやサイト、公式SNSで告知しています。メールやSMSのリンクは使わず、あらかじめ登録しておいた公式サイトのブックマークなどから確かめるのが確実です。検索する場合も、検索広告や偽サイトがまぎれることがあるため、公式のドメインかどうかを確かめてから開くと安心です。問い合わせ先は、ノジマカスタマーセンター（0120-574-853、受付は9時30分から19時）です。
ECサイトのIDとパスワードが狙われる流れ
カード情報を持たないECサイトでも、守るべきものは残ります。クレジット取引セキュリティ対策協議会のガイドライン（6.1版、2026年3月）は、カード情報を保持しているかどうかにかかわらず、ECサイトの設定不備や脆弱性を突いた情報の窃取や、ECサイトのログインIDとパスワードの悪用が、非対面の不正利用の背景にあるとみています。2025年3月の6.0版からは、EC加盟店に、サイトの脆弱性対策と、カード決済の前の不正ログイン対策を求めています。
カード番号を持たない設計の次に問われるのは、会員のIDとパスワード、連絡先をどう守るかです。侵入の経路は11月2日の発表の時点ではまだ明らかになっておらず、ノジマは影響範囲と原因の調査・分析を続けています。個人情報保護委員会への報告は、同日の発表の時点で準備中で、速やかに提出する予定としています。
10月から続く大規模な公表
10月には、バーガーキング公式アプリで約1,118万件、ブックオフで会員データ約643万件の流出が公表されました。ソースネクストは約2,252万件、クラブツーリズムは約432万件を、流出した可能性のある対象として示しています。個人情報保護委員会が10月28日に示した資料では、2026年4月1日から10月16日までに委員会へ直接届いた不正アクセスによる漏えい等の報告は、速報の時点で2,094件、延べ本人数は約2億6000万人でした。漏えい等のおそれがある事態の報告や、委託元と委託先による同じ事案の重複報告も含む数字です。
カード情報を持たない設計は、保存された情報の漏えいからカード番号を遠ざけるうえで意味のある選択です。続報で侵入の経路が示されれば、同じように大量の会員を抱えるECサイトにとって、次に何を守るかを考える具体的な手がかりになるはずです。会員はまず、使い回しのパスワードを見直し、ノジマを名乗る連絡は公式の情報と照らしてから動くことが大切です。
【関連記事】
バーガーキング公式アプリに不正アクセス、会員情報約1,118万件が漏えい
バーガーキング公式アプリで会員情報約1,118万件の漏えいが確認された事案を、対象の項目と会員への影響から整理した記事。
ブックオフに不正アクセス、最大約643万件の会員情報が流出 人数は精査中
ブックオフの会員管理システムへの不正アクセスで、会員情報が外部に流出した事案の第1報を、対象のサービスとともに伝える記事。
クラブツーリズムに不正アクセス、会員約432万件が流出の可能性 国籍・緊急連絡先も
旅行会社のクラブツーリズムで、会員約432万件の流出の可能性が公表された事案を、緊急連絡先の意味から読み解いた解説記事。
個人情報保護委員会、不正アクセスの漏えい報告を集計 延べ約2億6000万人、安全管理措置のガイドライン改正は前倒しへ
個人情報保護委員会が示した延べ約2億6000万人という数字の数え方と、安全管理措置のガイドライン改正の前倒しを解説した記事。
情報が漏れたかもしれないときの手引き｜漏れた情報別にできること
メールアドレス、パスワード、住所や電話番号など、漏れた情報の種類ごとに、自分でいますぐできることを整理した手引きの記事。
【編集部後記】
家電量販店のオンラインの会員登録は、冷蔵庫や洗濯機を一度買うときにつくったきり、という人も多いのではないでしょうか。中古スマホの買取で一度だけ使った、という人もいるはずです。
今回の対象に、退会した人は含まれていません。裏を返せば、アカウントを残したままの人は対象に入っているかもしれません。当時どのパスワードを付けたか、思い出せるでしょうか。いつものパスワードを使い回していた心当たりがあれば、そのパスワードを使っているほかのサービスから見直すのが近道です。
【用語解説】
非保持化（カード情報の非保持化）
クレジットカードを扱う店が、自社で保有する機器やネットワークでカード情報を「保存」「処理」「通過」のいずれもさせないこと。決済は外部の決済代行会社などが受け持つ。クレジット取引セキュリティ対策協議会のガイドラインが、加盟店のカード情報保護対策の一つとして定めている。
フィッシング詐欺
実在する企業や団体を装ったメールやSMSで偽のサイトに誘導し、IDやパスワード、カード番号などを入力させて盗む手口。漏えいした氏名や住所、電話番号が使われると、本物らしく見えやすくなる。
不正ログイン
他人のIDとパスワードを使って、本人になりすましてサービスにログインすること。あるサービスから流出したIDとパスワードの組み合わせを、ほかのサービスで試す手口が知られており、パスワードの使い回しが被害を広げる。
EC加盟店
インターネット上で商品やサービスを販売し、クレジットカード決済を受け付ける店。割賦販売法にもとづくカード情報保護の対策の対象で、クレジットカード・セキュリティガイドラインでは、サイトの脆弱性対策や不正ログイン対策が求められている。
漏えい等の報告（速報）
個人情報保護法にもとづき、一定の漏えい等が起きた、またはそのおそれがある場合に、事業者が個人情報保護委員会などに行う報告。事態を知ってから速やかに出す速報と、後日の確報がある。一般向けのお知らせとは別の手続きである。
【参考リンク】
株式会社ノジマ（外部）
家電量販店を展開する株式会社ノジマの企業サイト。ニュース一覧に、本件のお詫びとお知らせのPDFを11月2日付で掲載している。
ノジマオンラインの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（ノジマオンライン）（外部）
ノジマオンライン側に掲載された本件のお知らせ。発表のPDFへのリンクと、電話とフォームによる問い合わせの窓口を案内している。
パスワードの設定と管理（総務省 国民のためのサイバーセキュリティサイト）（外部）
安全なパスワードの作り方と保管の方法、複数のサービスで使い回しを避ける理由、定期的な変更が不要とされる理由を説明する総務省のページ。
自分の個人情報等が漏えいした際の「対処」と「日頃の対策」（IPA）（外部）
自分の個人情報が漏れたかもしれないときに確かめることと、普段からできる対策を、場面ごとに分けてまとめたIPAの解説ページ。
安全・安心なクレジットカード取引への取組 関連資料（日本クレジット協会）（外部）
クレジットカード・セキュリティガイドラインの最新版を含む各版と改訂のポイントを掲載する、協議会事務局の日本クレジット協会のページ。
【参考記事】
ノジマ 不正アクセスで約700万件の個人情報漏えい（NHK）（外部）
2026年11月2日の記事。家電量販大手のノジマが、ネット通販サイトの会員約700万件の個人情報が漏えいしたと発表したと伝える。
最近の不正アクセスによる個人データの漏えい等の傾向（個人情報保護委員会）（外部）
10月28日の委員会の参考資料。4月1日から10月16日までの不正アクセスによる報告を2,094件、延べ約2億6000万人と集計。
不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（第2報）（ブックオフグループホールディングス）（外部）
2026年10月13日の発表。外部への送信を記録で確認した会員データを6,427,735件、対象者を6,383,279人と確定した。
クレジットカード・セキュリティガイドライン【6.1版】（クレジット取引セキュリティ対策協議会）（外部）
2026年3月に公表された改訂版。非保持化の定義と、EC加盟店に求める脆弱性対策や不正ログイン対策などの指針対策を定めている。
