ユニバーサルミュージック個人情報流出（310万件）｜対象確認・今すべき対処と詐欺の見分け方

ユニバーサル ミュージック合同会社は2026年5月18日、ECサイト「UNIVERSAL MUSIC STORE」と「THE BEATLES STORE」への不正アクセスで、合計3,105,585件の顧客情報が流出したと公表しました。流出したのは氏名・住所・電話番号・メールアドレスと購入履歴で、ログイン用パスワードとクレジットカード情報は含まれていません。

この記事では、自分が対象かどうかの見分け方、届いた連絡が本物かの確かめ方、今やるべき対処を、同社の公式発表2本（2025年10月31日の第一報、2026年5月18日の調査結果）と個人情報保護法の条文に沿って整理します。

まとめ：流出対象の確認と優先対応

• 対象は、旧UNIVERSAL MUSIC STORE（現「ANNEX」）に2025年5月20日までに登録した人、新UNIVERSAL MUSIC STOREとTHE BEATLES STOREに登録・購入した人です。
• パスワードとカード番号は同社のシステムに保持されておらず、流出していません。この件だけを理由にしたカード停止は不要です。
• 警戒すべきは流出情報を使った詐欺連絡です。メール・SMSのリンクは開かず、電話で個人情報を伝えないでください。
• 連絡の真偽は、公式発表に載っている窓口（0120-293-026）へ自分から掛け直して確かめます。
• 2026年9月26日時点で、公式発表に補償・金券の記載はありません。「補償金の受け取り」をうたう連絡は詐欺を疑ってください。

流出の範囲：310万5,585件の内訳と含まれない情報

2026年5月18日の調査結果によると、流出はサイトと登録時期ごとに次の3区分に分かれます。

生年月日と性別は、購入履歴に含まれる配送先・請求先の情報として流出しています。新サイトまたはTHE BEATLES STOREで2025年10月25日までに購入した人は、配送先・請求先として登録した生年月日・性別も流出の対象に含まれます。THE BEATLES STOREの項には「リニューアル前（2023年12月5日以前）の旧サイトでのご登録情報・購入履歴は含まれません」と注記があります。

パスワードとクレジットカードが含まれない理由

発表は「ログイン用パスワードおよびクレジットカード情報等の決済情報は当社システム上に保持しておらず、流出は確認されておりません」としています。侵入されたシステムにそもそも存在しなかった、という説明です。したがって、この事案を理由にストアのパスワードを変えたり、カードを止めたりする必要はありません。

ただし、詐欺サイトにパスワードやカード番号を入力してしまえば、そこから新たに漏れます。流出した氏名とメールアドレスは、そうした偽サイトへ誘う材料になります。

第一報と調査結果の違い：対象サイト・項目・連絡方法

同社は2025年10月31日に「流出の可能性」として第一報を出し、2026年5月18日に調査結果を出しました。社内調査の開始（2025年10月25日）から調査結果の公表まで205日あり、2本の発表では書かれている内容が変わっています。

第一報の注記では、UMストアは「UNIVERSAL MUSIC STORE」「UNIVERSAL MUSIC STORE ANNEX」「オフィシャルアーティストストア」「THE BEATLES STORE」の計4サイトの総称でした。調査結果の列挙には「オフィシャルアーティストストア」の名前がありません。アーティストストアだけで買った人が対象かどうかは、発表文からは判断できないため、窓口で確認するのが確実です。

もう1点、生年月日と性別は第一報に書かれていなかった項目です。第一報だけを読んで「生年月日は漏れていない」と判断していた人は、認識を改める必要があります。

流出対象かどうかの確認手順と照会先

確実なのは、同社からの個別連絡の有無と、専用窓口への問い合わせです。調査結果は「対象となるお客様には、順次個別にご連絡を差し上げております」としています。

「登録した覚えがない」という人も、次の2点を思い返してください。

• 現在の「ANNEX」は、リニューアル前のUNIVERSAL MUSIC STOREです。数年前にCDやグッズを買ったときの登録も、2025年5月20日までなら対象期間に入ります。
• THE BEATLES STOREは運営がユニバーサル ミュージックです。ビートルズの公式グッズを国内で買った人は確認してください。

いずれにも心当たりがないのに「対象です」と連絡が来た場合は、その連絡自体を疑う理由になります。

今すべき対処：優先度の高い順の5項目

1. 不審なメール・SMSは開かず削除する：同社も「開封せず削除」「不審な電話には応じない」よう呼びかけています。リンクを踏まないことが最優先です。
2. 届いた連絡の真偽は自分で掛け直して確かめる：連絡文に書かれた番号やURLではなく、公式発表にある0120-293-026へ掛けます。
3. 偽サイトに入力してしまったら即座に止める：パスワードを入れたなら同じパスワードを使う他サービスも含めて変更し、カード番号を入れたならカード会社に連絡して利用停止を依頼します。
4. カード明細を翌月以降も確認する：今回カードは漏れていませんが、詐欺サイト経由の二次被害は時間差で出ます。
5. 今後使わないなら退会・削除を申し出る：同社サポートの「個人情報削除について」では、問い合わせフォームから削除を依頼でき、同じアドレスのニュースレター登録や抽選キャンペーンの応募も無効になると案内しています。すでに流出した情報は戻らないため、あくまで今後の保有を減らす手段です。

詐欺連絡の見分け方：公式窓口・ドメイン・補償をうたう連絡

流出した情報は、氏名・住所・電話番号・メールアドレスがそろい、一部は生年月日と購入した商品名まで付いています。「○月○日にご購入の△△について」と実際の購入履歴を引用されると、本物の連絡に見えやすくなります。手口の全体像はフィッシングの手口と見分け方で解説しています。

公式発表に載っている窓口とドメイン

0120-293-026は2026年5月18日の発表に記載された正規の番号です。受付時間は8月31日までが9:00〜18:00で、9月1日から10:00〜18:00に変わりました。メールやSMSのリンク先が上の表にないドメインなら、ログインもカード入力もしないでください。

「補償」「手紙」「電話での本人確認」への対応

2025年10月31日と2026年5月18日の2本の発表には、補償金・金券・返金の記載がありません。「補償金を振り込むので口座を教えてほしい」「お詫びポイントの受け取りにログインを」という連絡は、同社の発表と食い違うので詐欺を前提に扱ってください。

郵送の手紙が届いた場合も、書かれた連絡先には電話せず、0120-293-026へ掛け直して照合します。調査結果は個別連絡の手段を明記していないため、「手紙だから本物」「メールだから偽物」とは形式で判断できません。

相手からかかってきた電話で生年月日や住所の確認を求められても答えないでください。相手が流出した生年月日や購入履歴を知っていても、正規の担当者とは限りません。自分から0120-293-026へ掛けたときの本人確認とは分けて考えます。

なお、同社は2026年8月20日にも、採用担当者を名乗る人物が金銭を要求する事例への注意を出しています。今回の流出とは別件ですが、同社名を使った不審な連絡が実際に出回っています。

個人情報保護法の報告・通知義務と今回の発表の対応

今回のような漏えいは、個人情報保護法26条で個人情報保護委員会への報告と本人への通知が義務づけられる類型です。報告義務の対象は同法施行規則7条が4つの類型で定めており、「本人の数が千人を超える漏えい等」（4号）と「不正の目的をもって行われたおそれがある」行為による漏えい等（3号）が含まれます。今回は第三者による不正アクセスなので3号に当たると考えられます。公表された3,105,585件は情報の件数で本人の数とは一致しませんが、4号の「千人」とは桁が違います。詳しい実務は個人情報保護委員会への報告義務で扱っています。

規則10条は、本人に通知する事項として規則8条1項の1号（概要）・2号（項目）・4号（原因）・5号（二次被害またはそのおそれ）・9号（その他）を指定しています。つまり原因は、「本人の権利利益を保護するために必要な範囲において」本人への通知事項に含まれます。条文は侵入経路の技術的な詳細まで通知するよう定めてはいません。公開された調査結果には原因の説明がなく、個別通知で原因がどう書かれているかも公開されていません。個別連絡を受け取った人は、原因と二次被害の説明があるかを確かめ、なければ窓口で尋ねる根拠になります。

本人への通知には例外もあります。法26条2項ただし書は、通知が困難な場合に「本人の権利利益を保護するため必要なこれに代わるべき措置」をとれば足りるとしています。登録時のメールアドレスを今は使っていない人には連絡が届かない可能性があるため、連絡を待たずに自分から確認するほうが確実です。

国内の漏えい報告全体の件数推移は個人情報漏えい件数の推移にまとめています。

相談・通報先：状況別の窓口

188は最寄りの消費生活センターを案内する番号、#9110は緊急でない相談を各都道府県警察の相談窓口へつなぐ番号です。フィッシング対策協議会への報告は、偽サイトのURLやメールのスクリーンショットを送る形で、情報は警察などへ提供される場合があります。

よくある質問

ユニバーサルミュージックの流出で補償はありますか？

2026年9月26日時点で、同社の公式発表に補償・金券・返金の記載はありません。補償をうたって口座やログインを求める連絡は詐欺を疑ってください。

0120-293-026は本物の番号ですか？

本物です。2026年5月18日の公式発表に「個人情報に関するお客様ご相談窓口」として記載されています。2026年9月1日以降の受付は平日10:00〜18:00です。

パスワードの変更は必要ですか？

この流出を理由にした変更は不要です。パスワードは同社システムに保持されていませんでした。偽サイトに入力してしまった場合や不正ログインが疑われる場合は、同じパスワードを使う全サービスで変更してください。

ユニバーサルミュージックストアに登録した覚えがないのに連絡が来たのはなぜですか？

現在のANNEXはリニューアル前のUNIVERSAL MUSIC STOREで、THE BEATLES STOREも同社の運営です。どちらにも心当たりがなければ、連絡文の番号には掛けず、0120-293-026で照合してください。

ユニバーサルミュージック合同会社から手紙が届いたら本物ですか？

形式だけでは判断できません。調査結果は個別連絡の手段を明記していないため、手紙に書かれた連絡先ではなく公式発表の窓口に掛け直して確かめてください。

関連記事

• マイナビ情報漏洩11万件の全容｜不正アクセスの原因・対象確認と今すべき対策
• ショップサーブの情報漏えい最大885万件｜サーバー侵害とデータ外部送信の技術解説
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• フィッシングとは？手口の種類・見分け方と企業が取るべき組織的対策を解説
• 個人情報漏えい件数の推移をグラフで解説｜最新データと過去最多（約1.9万件）