ユニバーサルミュージック個人情報流出（310万件）｜対象確認とストアの偽物・詐欺メールの見分け方

ユニバーサル ミュージック合同会社は2026年5月18日、ECサイト「UNIVERSAL MUSIC STORE」と「THE BEATLES STORE」への不正アクセスで、合計3,105,585件の顧客情報が流出したと公表しました。流出したのは氏名・住所・電話番号・メールアドレスと購入履歴で、一部の購入履歴には生年月日・性別も含まれます。ログイン用パスワードとクレジットカード情報は含まれていません。

この記事では、自分が対象かどうかの見分け方、届いたメールやストアが本物か偽物かの確かめ方、今やるべき対処を、同社の公式発表2本（2025年10月31日の第一報、2026年5月18日の調査結果）、ストアの公式ヘルプ、個人情報保護法の条文に沿って整理します。

まとめ：流出対象の確認と優先対応

• 対象は、旧UNIVERSAL MUSIC STORE（現「ANNEX」）に2025年5月20日までに登録した人、新UNIVERSAL MUSIC STOREとTHE BEATLES STOREに登録・購入した人です。
• パスワードとカード番号は同社のシステムに保持されておらず、流出していません。この件だけを理由にしたカード停止は不要です。
• 警戒すべきは流出情報を使った詐欺連絡です。メール・SMSのリンクは開かず、電話で個人情報を伝えないでください。
• 今回の対象ストアのURLは3つです。ストアへは同社の公式サイトのメニューから入り、差出人が「@universal-music.co.jp」でも、それだけで本物と判断しないでください（同社ドメインはなりすまし送信を受信側に拒否させる設定になっていないため）。
• 連絡の真偽は、公式発表に載っている窓口（0120-293-026）へ自分から掛け直して確かめます。
• 2026年10月23日時点で、公式発表に補償・金券の記載はありません。「補償金の受け取り」をうたう連絡は詐欺を疑ってください。

流出の範囲：サイト別の対象期間・項目と含まれない情報

2026年5月18日の調査結果によると、合計3,105,585件の流出はサイトと登録時期ごとに次の3区分に分かれます。サイトごとの件数は公表されていません。

生年月日と性別は、購入履歴に含まれる配送先・請求先の情報として流出しています。新サイトまたはTHE BEATLES STOREで2025年10月25日までに購入した人は、配送先・請求先として登録した生年月日・性別も流出の対象に含まれます。THE BEATLES STOREの項には「リニューアル前（2023年12月5日以前）の旧サイトでのご登録情報・購入履歴は含まれません」と注記があります。

パスワードとクレジットカードが含まれない理由

発表は「ログイン用パスワードおよびクレジットカード情報等の決済情報は当社システム上に保持しておらず、流出は確認されておりません」としています。侵入されたシステムにそもそも存在しなかった、という説明です。したがって、この事案を理由にストアのパスワードを変えたり、カードを止めたりする必要はありません。

ただし、偽サイトにパスワードやカード番号を入力してしまえば、そこから新たに漏れます。流出した氏名とメールアドレスは、そうした偽サイトへ誘う材料になります。

発覚から調査結果までの経緯と、第一報からの変更点

発端はSNSでした。2本の公式発表をつなぐと、経緯は次のとおりです。

社内調査の開始（2025年10月25日）から調査結果の公表まで205日あり、2本の発表では書かれている内容が変わっています。

第一報の注記では、UMストアは「UNIVERSAL MUSIC STORE」「UNIVERSAL MUSIC STORE ANNEX」「オフィシャルアーティストストア」「THE BEATLES STORE」の計4サイトの総称でした。調査結果の列挙には「オフィシャルアーティストストア」の名前がありません。アーティストストアだけで買った人が対象かどうかは発表文からは判断できないため、窓口で確認するのが確実です。

生年月日と性別は、第一報に書かれていなかった項目です。第一報だけを読んで「生年月日は漏れていない」と判断していた人は、認識を改める必要があります。

侵入経路や攻撃者は、2本の発表のどちらにも書かれていません。再発防止策は「外部専門機関の協力のもと、セキュリティ対策および監視体制の強化を含む再発防止策を講じてまいります」という記載にとどまります。

ユニバーサルミュージックストアの本物と偽物の見分け方

流出した氏名・メールアドレス・購入履歴は、本物のストアやお知らせメールに似せた偽物へ誘う材料になります。本物かどうかは、見た目ではなく、URLと差出人アドレスを公式サイトからたどった情報と照らして確かめます。

今回の対象ストアのURLと送信元アドレス

今回の調査結果で対象として挙げられたストアのURLと、公式ヘルプが案内しているニュースレターの配信元は次のとおりです（2026年10月23日に各公式ページで確認）。同社にはこのほかにも、公式サイトのSTOREメニューから入れるストアがあります。

ニュースレターの配信元は、ストアのサポートページ「ニュースレター」に載っています。問い合わせ先として特定商取引法に基づく表示に載っているアドレスは、新ストアが [email protected]、ANNEXが [email protected] です。両ストアとも販売業者は「ユニバーサル ミュージック合同会社」、所在地は東京都渋谷区神宮前1-5-8、電話番号は050-3528-5055と表記されています（新ストアの特定商取引に基づく表示）。

判断の基準にするのは、同社の公式サイトのメニュー「STORE」からたどれるかどうかです。検索結果・広告・メールのリンクから開いたストアは、公式サイトのメニューから開き直して同じURLか確かめてください。特定商取引法の表記は偽サイトにも書き写せるため、会社名や所在地が一致していることだけでは本物の証明になりません。

上の表と特定商取引法の表記に無いアドレスから来たメールは、差出人が「@universal-music.co.jp」で終わっていても、本物と決めつけず窓口で確かめてください。たとえば検索されることがある「[email protected]」は、今回確認した公式ページには載っていませんでした。

差出人が公式ドメインでも安心できない理由

メールの差出人欄は、送る側が自由に書けます。受信側でなりすましを弾く仕組みにDMARCがあり、ドメインの持ち主が「認証に失敗したメールをどう扱うか」をDNSに公開します。2026年10月23日に、上の配信元アドレスと問い合わせ先アドレスで使われている4つのドメインを調べたところ、いずれも p=none（失敗しても受信側に処置を求めない）でした。

p=none は、なりすましを受信側で拒否させる設定ではありません。そのため、差出人欄が本物のアドレスと同じでも、それだけでは本物の証拠になりません。Gmailなら、メールの「︙」メニューから「メッセージのソースを表示」を開くと、SPF・DKIM・DMARCの判定が「PASS」か「FAIL」かを確かめられます。ただし、転送などで正規のメールがFAILになることも、迷惑メールがPASSになることもあるため、判定は手がかりの1つです。判断に迷ったら、メールのリンクは使わず窓口で確かめてください。仕組みはSPFとは？メール認証の仕組みで解説しています。

流出対象かどうかの確認手順と、購入履歴の見方

確実なのは、同社からの個別連絡の有無と、専用窓口への問い合わせです。調査結果は「対象となるお客様には、順次個別にご連絡を差し上げております」としています。

「登録した覚えがない」という人も、次の2点を思い返してください。

• 現在の「ANNEX」は、リニューアル前のUNIVERSAL MUSIC STOREです。数年前にCDやグッズを買ったときの登録も、2025年5月20日までなら対象期間に入ります。
• THE BEATLES STOREは運営がユニバーサル ミュージックです。ビートルズの公式グッズを国内で買った人は確認してください。

購入した覚えを確かめたいときは、各ストアのマイページの注文履歴を見ます。2025年5月20日のリニューアル告知によると、新ストアに表示されるのは新サイトでの購入履歴だけで、それ以前の購入履歴は旧サイト（ANNEX）に残っています。ストアのヘルプは、新ストアとANNEXの会員情報は別々に管理されると案内しています。旧サイトから移行した会員は、メールアドレスの有効化とパスワードの再設定を済ませるまで新ストアにログインできません。履歴を探すときは新ストアとANNEXの両方を見てください。

いずれにも心当たりがないのに「対象です」と連絡が来た場合は、その連絡自体を疑う理由になります。

流出対象の利用者が今すべき対処：優先度順の5項目

1. 不審なメール・SMSは開かず削除する：同社も「開封せず削除」「不審な電話には応じない」よう呼びかけています。リンクを踏まないことが最優先です。
2. 届いた連絡の真偽は自分で掛け直して確かめる：連絡文に書かれた番号やURLではなく、公式発表にある0120-293-026へ掛けます。
3. 偽サイトに入力してしまったら即座に止める：パスワードを入れたなら同じパスワードを使う他サービスも含めて変更し、カード番号を入れたならカード会社に連絡して利用停止を依頼します。
4. カード明細を翌月以降も確認する：今回カードは漏れていませんが、偽サイト経由の二次被害は時間差で出ます。
5. 今後使わないなら退会・削除を申し出る：ストアのヘルプによると、退会はマイページの「退会」から行い、退会するとマイページが無くなって受注履歴も削除されます。抽選中の申し込みや発送が終わっていない注文が残っていると退会できません。詐欺連絡に購入履歴を引用されたときに照合できるよう、必要なら注文履歴を控えてから退会してください。会員情報は新ストアとANNEXで別管理なので、両方に登録がある人はそれぞれで手続きが要ります。同社サポートの「個人情報削除について」では、問い合わせフォームから削除を依頼でき、同じアドレスのニュースレター以外のデータも含めて全て削除され、抽選キャンペーンの応募も無効になると案内しています。すでに流出した情報は戻らないため、あくまで今後の保有を減らす手段です。

詐欺連絡の見分け方：公式窓口と、補償をうたう連絡への対応

流出した情報は、氏名・住所・電話番号・メールアドレスがそろい、一部は生年月日と購入した商品名まで付いています。「○月○日にご購入の△△について」と実際の購入履歴を引用されると、本物の連絡に見えやすくなります。手口の全体像はフィッシングの手口と見分け方で解説しています。

公式発表に載っている窓口

0120-293-026は2026年5月18日の発表に記載された正規の番号です。受付時間は8月31日までが9:00〜18:00で、9月1日から10:00〜18:00に変わりました。流出についての照会は、ストアの番号ではなくこの専用窓口へ掛けます。

「補償」「手紙」「電話での本人確認」への対応

2025年10月31日と2026年5月18日の2本の発表には、補償金・金券・返金の記載がありません。「補償金を振り込むので口座を教えてほしい」「お詫びポイントの受け取りにログインを」という連絡は、同社の発表と食い違うので詐欺を前提に扱ってください。

郵送の手紙が届いた場合も、書かれた連絡先には電話せず、0120-293-026へ掛け直して照合します。調査結果は個別連絡の手段を明記していないため、「手紙だから本物」「メールだから偽物」とは形式で判断できません。

相手からかかってきた電話で生年月日や住所の確認を求められても答えないでください。相手が流出した生年月日や購入履歴を知っていても、正規の担当者とは限りません。自分から0120-293-026へ掛けたときの本人確認とは分けて考えます。

なお、同社は2026年8月20日にも、採用担当者を装った不審な連絡への注意を出しています。今回の流出とは別件ですが、同社名を使った不審な連絡が実際に出回っています。

個人情報保護法の報告・通知義務と今回の発表の対応

今回のような漏えいは、個人情報保護法26条で個人情報保護委員会への報告と本人への通知が義務づけられる類型です。報告義務の対象は同法施行規則7条が4つの類型で定めており、「本人の数が千人を超える漏えい等」（4号）と「不正の目的をもって行われたおそれがある」行為による漏えい等（3号）が含まれます。今回は第三者による不正アクセスなので、3号に当たると考えられる事案です。公表された3,105,585件は情報の件数で、本人の人数は公表されていません。詳しい実務は個人情報保護委員会への報告義務で扱っています。

規則10条は、本人への通知事項に原因（規則8条1項4号）を含めていますが、「本人の権利利益を保護するために必要な範囲において」という限定付きで、侵入経路の技術的な詳細まで求めてはいません。公開された調査結果には原因の説明がありません。個別連絡を受け取った人は、原因と二次被害の説明があるかを確かめ、なければ窓口で尋ねてください。なお、公表日と委員会への報告日は別なので、公表までの日数だけで期限違反とは言えません。

本人への通知には例外もあります。法26条2項ただし書は、通知が困難な場合に「本人の権利利益を保護するため必要なこれに代わるべき措置」をとれば足りるとしています。登録時のメールアドレスを今は使っていない人には連絡が届かない可能性があるため、連絡を待たずに自分から確認するほうが確実です。

2026年7月17日に公布された改正法（令和8年法律第56号）は、このただし書に「本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合」を加えます。施行は公布の日から2年を超えない範囲で政令が定める日で、2026年10月23日時点では施行されていません。

国内の漏えい報告全体の件数推移は個人情報漏えい件数の推移にまとめています。

自社でECサイトや会員サイトを運営している場合、今回の侵入経路は公表されていないため、同じ原因が自社にあるかどうかは判断できません。一方で、公開サーバーやWebアプリの既知の脆弱性・設定不備は事前に点検できます。第三者の目で洗い出すなら、脆弱性診断・セキュリティ診断で対象範囲から相談できます。

情報流出後の相談・通報先：状況別の窓口

フィッシング対策協議会の報告先メールアドレスは [email protected] です。

188は最寄りの消費生活センターを案内する番号、#9110は緊急でない相談を各都道府県警察の相談窓口へつなぐ番号です。フィッシング対策協議会は、Webフォームと電子メールで報告を受け付けており、報告された情報は警察などへ提供される場合があります。同協議会の案内では、迷惑メールフォルダに入ったメールはすでに検知済みとして報告不要としています。

よくある質問

ユニバーサルミュージックの流出で補償はありますか？

2026年10月23日時点で、同社の公式発表に補償・金券・返金の記載はありません。補償をうたって口座やログインを求める連絡は詐欺を疑ってください。

0120-293-026は本物の番号ですか？

本物です。2026年5月18日の公式発表に「個人情報に関するお客様ご相談窓口」として記載されています。2026年9月1日以降の受付は平日10:00〜18:00です。

ユニバーサルミュージックストアが偽物かどうかはどう見分けますか？

同社の公式サイトのメニュー「STORE」から開き直し、同じURLかを確かめます。今回の対象ストアは store.universal-music.co.jp、store-annex.universal-music.co.jp、the-beatles-store.jp です。会社名や所在地の表記は書き写せるため、それだけでは判断しないでください。

パスワードの変更は必要ですか？

この流出を理由にした変更は不要です。パスワードは同社システムに保持されていませんでした。偽サイトに入力してしまった場合や不正ログインが疑われる場合は、同じパスワードを使う全サービスで変更してください。

昔の購入履歴はどこで確認できますか？

2025年5月20日のリニューアル前の購入履歴は、旧サイトのUNIVERSAL MUSIC STORE ANNEXのマイページに残っています。新ストアに表示されるのは新サイトでの購入だけです。

ユニバーサルミュージックストアに登録した覚えがないのに連絡が来たのはなぜですか？

現在のANNEXはリニューアル前のUNIVERSAL MUSIC STOREで、THE BEATLES STOREも同社の運営です。どちらにも心当たりがなければ、連絡文の番号には掛けず、0120-293-026で照合してください。

ユニバーサルミュージック合同会社から手紙が届いたら本物ですか？

形式だけでは判断できません。調査結果は個別連絡の手段を明記していないため、手紙に書かれた連絡先ではなく公式発表の窓口に掛け直して確かめてください。

関連記事

• マイナビ個人情報漏洩の一覧（2020〜2026年の7件）：11万件の対象確認・登録は危険か・偽連絡の見分け方
• Eストアー（ショップサーブ）情報漏えい：どの店舗が対象か・お詫びメールは本物か
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• フィッシングとは？手口の種類・見分け方と企業が取るべき組織的対策を解説
• 個人情報漏えい件数の推移をグラフで解説｜最新は2026年4〜6月、過去最多は約1.9万件