ノジマオンラインに不正アクセス、会員情報約700万件が漏えい

約700万件の会員情報が漏えい、カード情報は対象外

ノジマは2026年11月2日、ECサイトの会員管理システムが第三者に不正アクセスされ、登録されている会員情報が漏えいしたと発表しました。その対象は、ノジマオンラインと中古スマホ買取サイトの会員約700万件で、ログインIDと暗号化されたパスワードまで含まれますが、クレジットカード情報は含まれません。

ノジマは11月4日にお知らせを更新し、店頭の「ノジマモバイル会員」の情報は流出していないとしています。約700万件に退会した人の情報は含まれないとのこと。

漏えいの対象（ノジマの発表より）

対象	内容
サイト	ノジマオンライン（EC専門サイト）、中古スマホ買取サイト
件数	約700万件（退会した人は含まない）
クレジットカード情報	2サイトとも保持していないので対象外
店頭のノジマモバイル会員	影響を受けていない（11月4日更新のお知らせ）

不正アクセスによる情報漏えいの公表は、国内で4月以降も相次いでいます。国内企業が公表した件数と原因は、時系列一覧にまとめています。

漏えいしたのは氏名や住所、暗号化されたパスワードなど9種類

ノジマの発表によると、漏えいした情報は本人を特定する情報と連絡先、ログインに使う情報の計9種類です。このうち、住所や電話番号に加えてログインIDと暗号化されたパスワードも流出したため、なりすましの連絡と不正ログインの恐れがあります。

漏えいした情報（ノジマの発表をもとに分類）

漏えいした情報	分類
氏名（漢字・カナ）	本人を特定する情報
生年月日	本人を特定する情報
性別	本人を特定する情報
郵便番号	連絡先
住所	連絡先
電話番号	連絡先
メールアドレス	連絡先
ログインID	ログインに使う情報
暗号化されたパスワード	ログインに使う情報

暗号化されたパスワードは、元のパスワードをそのままでは読み取れない状態に変換して保存したものです。ノジマはどのように暗号化していたかを明らかにしていません。

クレジットカード情報が含まれないのはなぜ？

ノジマは決済情報の非保持化に対応していると発表しています。つまり、ノジマは2つのサイトでカード情報をそもそも預かっていなかったので、漏えいした情報にカード番号は含まれていません。 会員管理システムが侵入されても、2つのサイトはカード情報を保持していないので、カード番号は流出しません。

11月1日に検知し、2サイトを一時休止

ノジマは11月1日に不正アクセスを検知し、同日のうちに個人情報が外部へ漏えいしていたことも確認しました。そして、2日に公表して2サイトのサービスを一時休止しており、再開時期は未定です。

検知から公表までの流れ（ノジマの発表より）

日付	ノジマの対応
11月1日	会員管理システムへの不正アクセスを検知し、同日に漏えいを把握
11月2日	公式ホームページで公表
11月4日	お知らせを更新し、漏えいの疑いがある会員のログインパスワードを強制リセットしたと掲載
対応	2サイトのサービスを一時休止
再開時期	安全だとわかり次第、当該サイトでアナウンスする

検知の翌日に公表し、警察にも相談している

ノジマは外部からのアクセスを遮断して監視体制を強化し、所轄警察署に相談したうえで、個人情報保護委員会へ報告する準備を進めています。 報告は速やかに提出する予定とのこと。ノジマは公式ホームページのほか、公式SNSにもお知らせを掲載しました。

原因と二次被害有無は明らかにしていない

ノジマの発表によると、今回の漏えいが原因とみられる不正利用や二次被害が出ているかは、まだ確かめている最中です。さらに、原因も調査を継続している段階で、ノジマは侵入した人物や手口を明らかにしていません。

影響範囲と原因について新たな事実が判明すれば、ノジマは速やかに公表するとしています。対象者へ個別に連絡するかどうかは、発表で触れていません。

ノジマを装うメールや電話に気をつけよう

漏えいした氏名や住所、電話番号はなりすましメールやフィッシング詐欺に使われる恐れがあり、ノジマから連絡が届いたら、公式窓口に問い合わせて本物かを見分けましょう。 ノジマは不審なメールやSMS、電話に気をつけるよう発表の中で会員に呼びかけています。今回はメールアドレスと電話番号、住所がそろって流出したため、メールだけでなくSMSや郵便物にも備えておくといいでしょう。

連絡の種類ごとの対処（情報処理推進機構の資料より）

連絡の種類	対処
メール	突然届いたものはなりすましメールだと考え、無視して削除する
SMS	記載されたURLからサイトにアクセスしない
郵便物	不審な着払いは受け取らない

不審なメールやSMSのリンク先にアクセスしない

IPA（情報処理推進機構）は、突然届くメールやSMSを基本的にすべて詐欺のなりすましだと考え、無視して削除するよう勧めています。そのため、身に覚えのないメールやSMSは、リンクにアクセスせず、添付ファイルも開かずに削除するのが確実です。

宛名がご自身の氏名になっていても、本物のメールとは限りません。なりすましメールの文面に、漏えいした本人の氏名が記載されている場合もあります。

問い合わせはノジマカスタマーセンターへ

メールに記載された電話番号が、ノジマが公表している番号とは限りません。したがって、届いたメールにある番号ではなく、ノジマの発表に記載された0120-574-853（受付9:30〜19:00）へかけましょう。

メールが本物かを見分けたいときは、正規のサイトから問い合わせれば、なりすましメールに記載された連絡先へ誘導されにくくなります。メール内のリンクにはアクセスせず、ノジマの公式ホームページから発表を開いて番号をチェックするといいでしょう。

ノジマ会員の対策と顧客データを持つ企業の対策

会員は同じパスワードを使い回した他サービスでもパスワードを変更し、顧客データを持つ企業は預かる情報を必要最小限にしておきましょう。 今回はログインIDと暗号化されたパスワードまで流出したため、会員は不正ログインに備えておく必要があります。企業に向けてはIPAが2026年10月9日に、不正アクセスによる漏えいが相次いでいるとして保有データの再点検を呼びかけました。

立場ごとの備え（IPAの資料より）

立場	備え
ノジマの会員	同じパスワードを設定した他サービスでもパスワードを変更する
顧客データを持つ企業	保有する情報を把握して必要最小限にし、多要素認証などの認証機能を強化する

会員として：同じパスワードを設定した他サービスも変更

ノジマオンラインは11月2日の発表時点で休止中なので、同じパスワードを設定した通販サイトやSNSなどのほうを先に変更しておきましょう。 流出したパスワードは暗号化されていますが、IPAはIDとパスワードが漏えいすると不正ログインされる恐れがあると指摘しています。

ノジマが漏えいの疑いがある会員のパスワードを強制リセットしたため、対象会員はパスワード再設定が必要です。再設定画面でメールアドレスを入力すると、再設定用のURLがメールで届く仕組みです。身に覚えのないメールは本物かなりすましか見分けにくいので、リンクにアクセスせず、ご自身でノジマオンラインのサイトから再設定画面を開きましょう。

ノジマ以外のサービスでもパスワードを変更

漏えいしたサービスで速やかにパスワードを変更し、使い回している他サービスでも同様に変更すれば、流出したパスワードでの不正ログインを防げます。ノジマオンラインと同じパスワードを設定した通販サイトやSNSなどを洗い出し、1つずつ変更しましょう。

パスワードは長く複雑なものにする

新しいパスワードを長く複雑なものにすれば、総当たりで破られる危険を下げられます。サービスごとに別のパスワードを設定しておけば、1つが漏えいしても他サービスまで不正ログインされる心配は少なくなります。

多要素認証やパスキーを設定

多要素認証は、パスワードに加えてSMSや認証アプリで本人かを照合する仕組みを指します。IPAは、多要素認証やパスキーを設定できるサービスなら積極的に利用するよう勧めていて、設定しておけばパスワードが漏えいしても不正ログインされにくくなります。

企業として：預かる顧客データを必要最小限に

ノジマがカード情報を持たなかったことで漏えいの範囲が狭まったように、企業は預かる顧客データを見直し、不要な情報は持たないようにしましょう。 IPAは2026年10月9日の発表で、保有データの再点検と認証機能の強化を企業に勧めています。

保有する顧客データを把握して必要最小限にする

不要な情報は持たないという基本原則のもとで保有する情報資産を正確に把握し、必要最小限にすれば、漏えいしたときの被害を小さくできます。ノジマのように決済情報の非保持化に対応すれば、カード番号を自社で保存しなくなります。

多要素認証などで認証機能を強化

外部公開しているアプリケーションと利用している外部サービスの両方で、多要素認証やパスワードといった認証機能を強化するようIPAは勧めています。管理画面にパスワードだけでログインできる状態なら、多要素認証を設定しておきましょう。

外部公開する範囲とログの保存期間を見直す

アプリケーションを外部公開する範囲や、取得するログの内容と保持期間も見直して、侵入経路を減らすのが効果的です。ログを長く残しておけば、不正アクセスに気づいた時点から過去にさかのぼって記録を見直せます。