家電量販店「Joshin（ジョーシン）」で買い物をしたり、会員になったりしている方の中には、Joshinへの不正アクセスのニュースを見て、不安に感じている方もいるのではないでしょうか。
Joshinは10月26日、不正アクセスによって、会員の氏名・住所・電話番号など最大約600万件が漏れたおそれがあると発表しました。家電のサブスクリプション「ジョーシンのサブスク」では、ログインIDや初期パスワード、手書きのサインまで対象になっています。
この記事では、何が漏れたのか、立場ごとにやるべきこと、そしてJoshinを名乗る詐欺の見分け方について、くわしく解説してまいります。
この記事のポイント
- 会員情報のサーバーから、氏名・住所・電話番号・会員番号が最大約600万件漏れたおそれ
- 「ジョーシンのサブスク」では最大約23万件。ログインID・初期パスワード・手書きサインなども対象
- リフォームの写真を送るシステムでは、運転免許証の画像やマイナンバーカード、口座番号も（対象者には個別に連絡済み）
- クレジットカード情報は、もともと保管していないため含まれていない
- どれも「漏れた可能性がある最大の件数」で、実際に外に出たかは調査中
24時間LINEで無料相談
何が起きたのか
| 10月16日 | 社内のネットワークで異常を検知し、不正アクセスの形跡を確認。該当するサーバーをネットワークから切り離し、外部の専門機関に調査を依頼。個人情報保護委員会と警察に相談・報告 |
|---|---|
| 10月17日 | 不正アクセスによるシステム障害で、一部のサービスが使えなくなっていると公表（第1報） |
| 10月26日 | 個人情報が漏れたおそれがあると公表（第2報）。一部のサービスは止まったまま |
不正アクセスの手口や侵入の経路、情報が実際に外部へ持ち出されたかどうかは、まだ調査中です。
なお、10月26日には、企業を狙った大規模な情報漏洩が相次いでいることを受けて、政府が関係閣僚会議を開くことも報じられています。
漏れたおそれがある情報
不正アクセスの形跡があったのは、次の3つのシステムです。
| 会員情報のサーバー 最大約600万件 |
氏名、住所、電話番号、会員番号 |
|---|---|
| ジョーシンのサブスク 最大約23万件 |
会員番号、電話番号、手書きのサイン（データ）、ログインID、初期パスワード、請求の履歴、契約番号、機器のID（デバイスID）、有効化コード |
| リフォームの写真を送るシステム 最大約800件 |
運転免許証の画像2件、マイナンバーカード1件、口座番号5件、工事中の写真 |
- 3つの件数には同じ人が重なっている可能性があり、合計しても人数にはなりません
- クレジットカード情報は、もともと保管していない（決済情報を持たない仕組みにしている）ため、含まれていないとしています
- マイナンバーカード1件について、12桁の個人番号そのものが漏れたことは確認されていないと報じられています
「初期パスワード」と「手書きサイン」が気になる理由
サブスクの初期パスワードは、契約したときに最初に発行されたパスワードです。変更しないまま使っている場合、ログインIDとセットで漏れたおそれがあります。初期パスワードが今も使える状態か、どのような形で保管されていたかは、公表されていません。
手書きのサインは、契約のときに書いたサインのデータです。単体で悪用されることは考えにくいですが、本人らしさを装う材料に使われるおそれはゼロではありません。
自分が対象になっているかの確かめ方
- Joshinの会員：会員情報のサーバーの対象になっている可能性があります
- 「ジョーシンのサブスク」の利用者：サブスクの情報も対象になっている可能性があります
- リフォームで写真や書類を送った人：免許証の画像などが対象の人には、Joshinから個別に連絡済みとされています
自分の情報が実際に漏れたかどうかは、調査の結果が出るまで分かりません。気になる場合は、Joshinのお客様相談窓口に問い合わせてください。
立場ごとにやること
Joshinの会員の方
- Joshinを名乗るメール・SMS・電話に注意する（名前や住所、会員番号が書かれていても本物とは限らない）
- Joshinの公式アプリやサイトのパスワードを、ほかのサービスと同じものにしている場合は、この機会に変更する
「ジョーシンのサブスク」を使っている方
- 初期パスワードのまま使っている場合は、すぐに変更する
- 初期パスワードと同じパスワードを、ほかのサービスで使っている場合は、そちらも変更する
- 請求の履歴に、身に覚えのないものがないか確かめる
リフォームで免許証の画像や口座番号を送った方
- Joshinからの個別の連絡の内容を確かめる（連絡に見せかけた詐欺もあるので、公式の窓口で確認する）
- 身に覚えのない契約の申し込みや、口座に関する通知に注意する
- 免許証の画像が漏れた場合は、信用情報機関（CIC・JICC・KSC）への本人申告も検討する
- 銀行を名乗る連絡には、通帳やキャッシュカードに書かれた番号から問い合わせる
このあと届くおそれがある詐欺
漏れたおそれがある情報には、氏名・住所・電話番号・会員番号がそろっています。サブスクの利用者は、契約番号や請求の履歴まで含まれます。詐欺グループがこれを使うと、本物らしく見えるメッセージを作りやすくなります。
- 「会員情報の確認のため、ログインしてください」：Joshinを装い、偽のログインページでIDやパスワードを入力させるもの
- 「サブスクの料金の支払いが確認できません」：請求の履歴や契約番号を使って信用させ、カード情報を入力させるもの
- 「ポイントが失効します」「ポイントを付与します」：ポイントを口実に、偽のページに誘導するもの
- 「情報漏洩のお詫びとして補償します」：お詫びや返金を口実に、口座番号やカード情報を聞き出そうとするもの
- Joshinを名乗る電話：「会員番号の確認」「修理や配送の確認」を口実に、個人情報やカード番号を聞き出そうとするもの
本物と見分けるポイント
「名前・住所・会員番号」が合っていても本物とは限らない
今回は、氏名・住所・電話番号・会員番号まで漏れたおそれがあります。自分の情報が正しく書かれていても、それだけで本物だと判断しないでください。
Joshinはカード情報を持っていない
Joshinは、クレジットカード情報を保管していないとしています。「漏洩したカードの確認が必要」などと言ってカード番号を聞かれたら、詐欺を疑いましょう。
確認は、公式アプリ・公式サイト・お店から
会員情報やサブスクの契約、ポイントについて連絡が来たら、リンクは開かずに、Joshinの公式アプリや公式サイトを自分で開いて確かめてください。電話で確かめたい場合は、公式サイトに載っている窓口か、いつも行く店舗に問い合わせましょう。
情報を入力した・お金を払ってしまった場合は？
- カード情報を入力した場合は、すぐにカード会社に連絡して、カードの利用を止めてもらう
- カードの利用明細を確認し、身に覚えのない請求がないか確かめる
- IDやパスワードを入力した場合は、すぐに変更する。同じパスワードを使っているほかのサービスも変更する
- お金を払ってしまった場合は、警察相談専用電話「#9110」や最寄りの警察署に相談する
まとめ
- Joshinへの不正アクセスで、会員の氏名・住所・電話番号・会員番号など最大約600万件が漏れたおそれがある
- 「ジョーシンのサブスク」では、ログインIDや初期パスワード、手書きサインなど最大約23万件が対象。初期パスワードのまま使っている人はすぐに変更を
- リフォームの写真システムでは、免許証の画像なども対象。該当者には個別に連絡済み
- クレジットカード情報は含まれていない。カード番号を聞かれたら詐欺を疑う
実際に外部へ持ち出されたかどうかは、まだ調査中です。Joshinの会員の方は、しばらくの間、Joshinを名乗る連絡に特に注意し、確認は必ず公式アプリや公式サイトから行いましょう。
相談・問い合わせ先
- Joshinの公式発表：第2報（PDF）
- Joshinお客様相談窓口：電話 06-6631-1323（9時30分〜18時30分）
- 信用情報機関（本人申告）：CIC、JICC、KSC（全国銀行個人信用情報センター）
- 警察相談専用電話「#9110」：詐欺かどうか不安なとき、被害に遭ったかもしれないときに相談できます。
- 消費者ホットライン「188」：最寄りの消費生活センターを案内してもらえます。
- フィッシング対策協議会：迷惑メールフォルダーに入らずに届いたフィッシングメールは、リンクをクリックせずに info@antiphishing.jp へ転送して報告できます。
参考
24時間LINEで無料相談
