Joshin 不正アクセスによるシステム障害

要点

• 侵入口侵入経路は公表されていない。
• 決定的な失敗公表されていない
• 被害Joshinのネットワークが第三者の不正アクセスを受けた。
• 公表まで発見から1日後に公表

この事例への問い

出典で答えられた問いは 6 つのうち 3 つです。答えは出典の原文のままで、原文が出典の頁にあることを機械で照合しています。

被害の規模は？

「漏洩した可能性がある件数 最大約 600 万件」

当サイトの注記 会員情報データベースサーバーの件数。漏えいが確定した件数ではない

株式会社Joshin（2026年10月26日）・2026年10月27日に照合

何が漏れたのか？

「対象となるお客さま情報 ①氏名 ②住所 ③電話番号 ④会員番号」

当サイトの注記 会員情報データベースサーバーの項目。ほかに「ジョーシンのサブスク」とリフォーム写真アップロードシステムも調べている

株式会社Joshin（2026年10月26日）・2026年10月27日に照合

業務はいつ戻ったのか？

「停止している一部サービスの再開に向けて対応を進めております」

当サイトの注記 10月26日の時点で、止まったサービスは再開していない

株式会社Joshin（2026年10月26日）・2026年10月27日に照合

同じ被害を防ぐには？

侵入経路が公表されていないため、その経路をふさぐ手立ては事例からは言えない。Joshinは、同社を装った不審なメール、SMS、電話などがあるおそれがあるとして、身に覚えのない連絡や不審なURLに十分注意するよう呼びかけている

当サイトのまとめ（出典の引用ではありません）

収録した出典では確かめられていない問い原因や侵入口は？身代金の要求や支払いはあったのか？誰の仕業か？

攻撃の道筋

入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。

被害

Joshinのネットワークが第三者の不正アクセスを受けた。10月16日に形跡の見られるサーバーをネットワークから遮断するなどの措置をとった結果、一部のサービスを提供できない状態が続いている。どのサービスが止まったかは開示に書かれていない。10月26日の第2報で、漏洩した可能性がある情報を3つのシステムごとに公表した。会員情報データベースサーバーは最大約600万件（氏名、住所、電話番号、会員番号）。「ジョーシンのサブスク」は最大約23万件（会員番号、電話番号と手書きサイン、ログインIDと初期パスワード、請求履歴、契約番号とデバイスID、有効化コード）。リフォーム写真アップロードシステムは最大約800件（免許証画像2件、マイナンバーカード1件、口座番号5件と、リフォーム施工中の工事写真）。免許証画像などが当てはまる客には個別に連絡をとっている。いずれも漏えいが確定した件数ではない。決済情報は持たない仕組みにしており、クレジットカード情報は保持していないとしている

決定的な失敗

1. 公表されていない。

経過

2026年10月16日から10日間の記録。軸は日数の平方根で縮めています。

1. 2026.10.160日目

   発見ネットワークの異常を検知し、調べてネットワークの一部が不正アクセスを受けた形跡を確認した。形跡の見られるサーバーをネットワークから遮断するなどの措置をとり、外部の専門機関に調査を頼んだ。この措置で一部のサービスを提供できない状態になった。確認のあと、すぐに個人情報保護委員会と警察に相談・報告したとしている

2. 2026.10.171日目

   公表公式ホームページで「不正アクセスによるシステム障害発生のお詫びとお知らせ」を公表

3. 2026.10.193日目

   同じ内容を東京証券取引所に開示。個人情報漏洩の可能性も否定できないと説明

4. 2026.10.2610日目

   漏えい第2報。会員情報データベースサーバーの最大約600万件など、3つのシステムで漏洩した可能性がある件数と項目を公表。いずれも漏えいが確定した件数ではないとした。一部のサービスは止まったまま

日数の比較

収録したほかの事例と同じ目盛りに並べています。全事例の図と表

防げた手立て

番号は攻撃の道筋の図と対応します。

• 侵入経路が公表されていないため、その経路をふさぐ手立ては事例からは言えない。Joshinは、同社を装った不審なメール、SMS、電話などがあるおそれがあるとして、身に覚えのない連絡や不審なURLに十分注意するよう呼びかけている

  全体