ノジマ不正アクセスで約700万件漏えい：対象確認・窓口と乗っ取り注文を止める実装

ノジマは2026年11月2日、EC専門サイト「ノジマオンライン」と中古スマホ買取サイトの会員管理システムに第三者の不正アクセスがあり、約700万件の会員情報が漏えいしたと公表しました。住所や電話番号に加えて、ログインIDと暗号化されたパスワードまで含まれる点が今回の特徴です。本記事では会員が知りたい「自分は対象か」「本物の窓口はどこか」「パスワードはどうするか」に公式発表の文言で先に答えます。後半では、同じノジマオンラインが2018年に受けたなりすまし注文の記録を手がかりに、カード情報を持たない構成でも乗っ取られた会員の注文が通る理由と、それを決済前に止める判定をPythonのコードで示します。

まとめ：ノジマ不正アクセスで公表された事実と会員・EC事業者が今日やること

確定しているのは次の事実です。ノジマは11月1日に不正アクセスを検知し、同日に漏えいを確認しました。2つのサイトは一時休止中で、所轄警察署に相談し、個人情報保護委員会への報告を準備しています。侵入の経路や手口は公表されていません。

会員が今日やることは2つです。ノジマオンラインと同じパスワードをほかのサービスで使っていれば、そちらを先に変えること。ノジマを名乗るメール・SMS・電話のリンクや番号に応じないことです。家電やスマホを会員登録型で売るEC事業者は、パスワード変更や配送先の変更の直後に入った高額注文を、決済前に止める仕組みがあるかを確かめてください。

11月3日時点で、ノジマのお知らせ欄に第2報やサイト再開の告知は出ていません。

自分が対象か確かめる手順｜退会者を除く約700万件と窓口0120-574-853

ノジマオンラインと中古スマホ買取サイトの会員が対象で退会済みの人は対象外

ノジマの11月2日のお知らせによると、対象は「ノジマオンライン（EC専門サイト）」と「中古スマホ買取サイト」の2つで、件数は約700万件です。「退会された方は含まれておりません」と明記されています。2つのサイトのどちらかに会員登録していて、退会していなければ対象に入る前提で動いてください。

店舗だけで買い物をしていて、オンラインの会員登録をしていない人は、お知らせの対象サイトに当たりません。登録したかどうか覚えていないときは、ノジマオンラインからの注文確認メールが過去に届いていないか、メールボックスを「ノジマオンライン」で検索すると見当が付きます。個別の対象確認の方法は、11月3日時点では案内されていません。

ノジマを名乗るメール・SMS・非通知電話と正規の窓口番号の見分け方

本件の問い合わせ先は、ノジマカスタマーセンターの0120-574-853（受付9時30分〜19時）です。メールやSMSに書かれた番号ではなく、公式のお知らせに載っているこの番号に自分からかけてください。

ノジマは以前から、ノジマを名乗る不審電話と詐欺サイトへの注意喚起で「電話番号非通知でお電話をすることも、クレジットカードの情報をお聞きすることもございません」と案内しています。今回の名簿には氏名・住所・電話番号・生年月日がそろっているため、本人しか知らない情報を言い当てる電話やSMSが来ても、それだけで本物とは判断できません。偽サイトへ誘導する手口はフィッシング詐欺とはで解説しています。

暗号化されたパスワードの扱いとほかのサービスで同じパスワードを使う人の変更順

漏えいしたのは「暗号化されたパスワード」です。元に戻せる暗号化なのか、戻せないハッシュ化なのか、方式は公表されていません。どちらであっても、短く推測しやすいパスワードは時間をかければ割り出される前提で考えます。方式による差は松屋の不正アクセスの解説で、Pythonで比べています。

ノジマのサイトは休止中のため、11月3日時点ではノジマ側でパスワードを変えられません。先に変えるのは、同じメールアドレスと同じパスワードで使っているほかのサービスです。優先順位は次のとおりです。

1. 同じメールアドレスのメールサービス（パスワード再設定の受け口になるため）
2. カードを登録している通販サイトとフリマアプリ
3. スマホ決済・ポイントサービス

サイトの再開時にノジマから再設定の案内が出た場合は、その案内に従ってノジマオンラインのパスワードも新しいものにします。使い回しを洗い出す手順は花キューピット情報漏洩の点検手順にまとめました。

漏えい項目と2018年のなりすまし注文から読む、カード非保持でも残る被害の経路

ログインIDと暗号化パスワードと住所・電話番号が同じ名簿にそろった意味

漏えいした項目は、氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスです。連絡先だけの名簿と違い、ログインに使う組が入っています。

攻撃者がこの名簿でできることは2つに分かれます。1つは、割り出せたパスワードとメールアドレスの組をほかのサイトのログイン画面に順に試すパスワードリスト攻撃です。もう1つは、住所・電話番号を使った本人らしい偽の連絡です。前者の検知とレート制限はパスワードリスト攻撃とはで実装を示しました。本記事では、ログインを許したあとに何が起きるかを扱います。

2018年のノジマオンラインで7アカウント・20件・237万8,171円の不正注文

ノジマオンラインは2018年にも、外部で不正に取得されたとみられるメールアドレスとパスワードでのなりすましログインを受けています。2018年3月7日の対応完了報告によると、2月6日から10日にかけて複数のアカウントに国外のIPアドレスからアクセスされ、パスワードが変更されました。判明のきっかけは、2月10日の顧客からの連絡です。

被害は7アカウント、20件の受注、金額は2,378,171円で、すべてキャンセル済みと報告されています。注文には、アカウントに記憶させていたクレジットカード情報が使われました。同社は対策として、強度の低いパスワードを設定できないようにする変更（2016年）、カード情報の非保持化（2017年）、機械的なアクセスを防ぐプログラムの導入を挙げています。

カード情報の非保持化で番号は漏れなくても保存カードで注文が通る構造

今回の公表は「決済情報の非保持化に対応しており」カード情報は保持していないとしています。非保持化とは、カード番号を自社のサーバーに置かず、決済代行会社（PSP）が発行するトークンなどで扱う方式です。これで番号そのものの漏えいは防げます。

防げないのは、正規の会員としてログインされた後の注文です。会員がカードを登録していれば、そのカードは乗っ取った人の画面からも選べます。2018年の20件は、まさにこの経路でした。非保持化はカード番号を守る対策で、アカウントを守る対策ではありません。ログインIDとパスワードの組が出た以上、サイトが再開した後に見るべきは、ログイン後から決済までの間です。

乗っ取り後の高額注文を決済前に止めるPython実装と直前24時間の会員イベントの点数化

ガイドライン6.1版が求める会員登録時・ログイン時・属性情報変更時の7つの対策

カード決済を扱うEC加盟店の実務指針として、クレジット取引セキュリティ対策協議会がクレジットカード・セキュリティガイドラインを公表しています。2026年3月の6.1版の37ページは、会員登録型の不正利用を「不正アカウント作成」と「アカウント乗っ取り」に分け、決済前の対策を1つ以上導入するよう求めています。優先して導入することが望ましいとされた7つは次のとおりです。

38ページでは、不正利用の発生リスクが相対的に高い商材として、デジタルコンテンツ、家電、電子マネー、チケット、宿泊予約サービスの5つが挙がっています。家電を主に扱うノジマオンラインは、この区分にそのまま当てはまる業態です。OWASPのCredential Stuffing Prevention Cheat Sheetも、高額な取引や設定の変更の前に再認証を求めるステップアップ認証を挙げています。

新端末ログイン・パスワード変更・配送先変更を点数にして保留を決めるコード

表の「属性・行動分析」を、注文の直前に1回だけ呼ぶ関数として書いた例です。直前24時間に起きた会員イベントと、注文の配送先・商材・金額を点数にし、「通す」「再認証を求める」「保留する」を返します。日時の比較に使うのは、Python標準のdatetimeモジュールだけです。order_risk.pyとして保存します。

from datetime import datetime, timedelta

# 注文の直前24時間に起きた会員イベントを点数にし、決済前に「通す・再認証・保留」を決める
WINDOW = timedelta(hours=24)
RISKY_GOODS = set(["家電", "ゲーム機", "スマートフォン"])  # 転売しやすい商材
POINTS = dict(new_device_login=2, password_changed=3, email_changed=3)

events = [  # (会員ID, 日時, 種別)
    ("M001", datetime(2026, 11, 3, 9, 0), "login"),
    ("M002", datetime(2026, 11, 3, 1, 12), "new_device_login"),
    ("M002", datetime(2026, 11, 3, 1, 15), "password_changed"),
    ("M002", datetime(2026, 11, 3, 1, 18), "email_changed"),
    ("M003", datetime(2026, 11, 2, 20, 0), "login"),
]
orders = [  # (注文番号, 会員ID, 日時, 商材, 金額, 登録住所への配送か)
    ("A-101", "M001", datetime(2026, 11, 3, 9, 10), "家電", 49800, True),
    ("A-102", "M002", datetime(2026, 11, 3, 1, 25), "ゲーム機", 139960, False),
    ("A-103", "M003", datetime(2026, 11, 3, 10, 5), "家電", 128000, False),
]

def judge(member, at, goods, amount, home):
    score, why = 0, []
    for m, t, kind in events:
        if m == member and at - WINDOW <= t <= at and kind in POINTS:
            score += POINTS[kind]
            why.append(kind)
    if not home:
        score += 2
        why.append("new_ship_to")
    if goods in RISKY_GOODS and amount >= 100000:
        score += 2
        why.append("risky_goods")
    if score >= 6:
        return "HOLD", score, why        # 配送を止めて本人へ電話で確認
    if score >= 3:
        return "STEP_UP", score, why     # EMV 3-Dセキュアや再認証を求める
    return "PASS", score, why

for no, member, at, goods, amount, home in orders:
    action, score, why = judge(member, at, goods, amount, home)
    reasons = ",".join(why) if why else "-"
    print(no, member, format(amount, ",") + "円", "score=" + str(score), action, reasons)

2026年11月3日に、Python 3.14.7で実行した結果です。会員と注文のデータは架空で、ノジマの実際の仕組みではありません。

$ python order_risk.py
A-101 M001 49,800円 score=0 PASS -
A-102 M002 139,960円 score=12 HOLD new_device_login,password_changed,email_changed,new_ship_to,risky_goods
A-103 M003 128,000円 score=4 STEP_UP new_ship_to,risky_goods

実行結果の読み方と点数・閾値を自社の不正注文実績で調整する手順

M002は、2018年の事案と同じ並びを再現した会員です。深夜1時12分に初めての端末からログインし、3分後にパスワードを、さらに3分後にメールアドレスを変え、登録住所と違う宛先へゲーム機を注文しました。12点で保留になり、配送は止まります。メールアドレスまで変えられると本人への通知が届かないため、確認は登録済みの電話番号で行います。

M003は、いつもの端末からギフトとして別住所へ家電を送る、正当でもありうる注文です。4点で再認証に回し、EMV 3-Dセキュアや登録電話番号へのSMSで本人確認が取れれば通します。ここを保留にすると、正規の贈り物まで止めてしまいます。

点数と閾値は、自社の過去の不正注文に当てて決めます。手順は3つです。

1. 過去1年のチャージバックとキャンセル済みの不正注文を抜き出し、直前24時間の会員イベントを付ける
2. 正常な注文にも同じ関数をかけ、保留になる割合を数える
3. 不正注文の大半が保留か再認証に入り、正常な注文の保留が運用で電話確認できる件数に収まるまで点数を動かす

この関数は、ログイン画面の対策が破られた後の最後の関門です。ログイン試行回数の制限や漏えい済みパスワードの照合と組み合わせ、単独では使いません。会員サイト全体の点検項目は会員サイトのセキュリティ対策の設計チェック項目で整理しています。

個人情報保護法の報告とサイト再開時に全会員のパスワードを再設定する判断

不正アクセスの漏えいは件数を問わず報告対象、速報3〜5日と確報60日

不正の目的で行われたおそれがある漏えいは、件数にかかわらず個人情報保護委員会への報告と本人への通知の対象です。速報はおおむね3〜5日以内、不正アクセスによるものの確報は60日以内に出します。様式と手順は個人情報保護委員会の「漏えい等の対応とお役立ち資料」、判断の流れは個人情報保護委員会への報告義務にまとめました。

ノジマは11月2日時点で「報告準備（速やかに提出予定）」としています。確報の期限から逆算すると、原因や侵入経路の続報は年内から年明けにかけて出る可能性があります。

再開時に全会員のパスワードを無効化する条件と変更を促すだけで足りる条件

ログインIDとパスワードの値が持ち出された場合、再開時の選択肢は「全会員のパスワードを無効化して再設定を必須にする」か「変更を促す案内にとどめる」かです。判断の分かれ目は保存方式です。

元に戻せる暗号化で保存していた、または古い高速なハッシュで保存していたなら、全会員の無効化を選びます。割り出されたパスワードで再開初日にログインされる危険が、再設定の手間を上回るからです。bcryptやscryptなど計算に時間のかかる方式で、ソルトも付けていたなら、変更の案内とログイン時の追加認証の組み合わせで足ります。全会員の無効化を選んだ場合でも、再設定のメールを偽メールと区別できるよう、送信元のドメインと「パスワードを本文のリンク以外で入力させない」ことを先に告知します。

家電・スマホを扱うEC事業者が今月見直す範囲と次の改修でよい範囲

家電・ゲーム機など転売しやすい商材を会員登録型で売り保存カードを持つ事業者

家電・ゲーム機・スマホを会員登録型で売り、会員がカードを登録できるEC事業者は、今月中に2点を確かめてください。1点目は、パスワード変更・メールアドレス変更・配送先の追加の直後に入った注文を、決済前に区別できるか。2点目は、属性の変更を変更前のメールアドレスと電話番号の両方に通知しているかです。どちらも無ければ、2018年のノジマオンラインと同じ経路が開いています。同じ家電量販の事案はJoshin（ジョーシン）不正アクセスでも扱いました。

会員管理システムと注文前の判定に加え、外から到達できる管理画面やAPIまで第三者の目で洗い出したいときは、脆弱性診断・セキュリティ診断で点検できます。

ゲスト購入が中心で会員の保存カードを持たないEC事業者の対策範囲

会員登録をしなくても買える方式が中心で、カードを毎回入力させている事業者は、乗っ取り後に保存カードで注文される経路がそもそもありません。注文前の点数化は次の改修のときで足ります。先に済ませるのは、決済時のEMV 3-Dセキュアと、配送先が直近で多数の注文に使われていないかの確認です。会員のパスワードをなくす方向の設計はパスワードレス認証とはで比べています。

よくある質問

ノジマの不正アクセスについて、ノジマオンラインの会員と、ECサイトを運営する事業者から出やすい質問をまとめました。

ノジマの店舗で買い物をしただけでも情報漏えいの対象になりますか？

11月2日の公表で対象とされたのは、ノジマオンライン（EC専門サイト）と中古スマホ買取サイトの2つに登録されている会員情報です。店舗での購入だけで、どちらのサイトにも会員登録していなければ、公表された対象サイトには当たりません。登録したか覚えていない場合は、過去の注文確認メールを探すか、ノジマカスタマーセンター（0120-574-853）に問い合わせてください。

ノジマオンラインのパスワードは今すぐ変えたほうがよいですか？

11月3日時点でサイトは休止中のため、ノジマオンラインのパスワードは変更できません。先に、同じメールアドレスと同じパスワードを使っているほかのサービスのパスワードを変えてください。漏えいしたのは暗号化されたパスワードで、方式は公表されていません。サイトの再開時にノジマから再設定の案内が出たら、案内に従って新しいパスワードに変えます。

クレジットカードは止めたほうがよいですか？

ノジマは決済情報の非保持化に対応しており、2つのサイトでクレジットカード情報を保持していないと公表しています。カード番号が漏えいしたという発表ではないため、停止や再発行が必須とは読み取れません。カードの明細に心当たりのない請求があれば、カード会社に連絡してください。カード会社やノジマを名乗ってカード番号を聞き出す電話には答えないでください。

ノジマオンラインと中古スマホ買取サイトはいつ再開しますか？

11月3日時点で再開の時期は公表されていません。ノジマは、安全性の確認が取れ次第、それぞれのサイトで改めて知らせるとしています。再開時の案内メールに似せた偽メールが出回るおそれがあるため、メールのリンクからではなく、ブックマークや検索から公式サイトを開いて確かめてください。

ノジマの不正アクセスの原因や侵入経路は分かっていますか？

11月3日時点では公表されていません。公表されているのは、11月1日に会員管理システムへの第三者の不正アクセスを検知・確認したことと、外部からのアクセス遮断や監視体制の強化を行っていることです。不正利用や二次被害の発生も調査中とされています。続報はノジマ公式サイトのお知らせ欄で確かめてください。

関連記事

• パスワードリスト攻撃とは？検知の指標と漏えい照合・レート制限の実装：漏えいした組を使うログイン試行の検知と制限
• 松屋の不正アクセス：237万件の対象確認と窓口、漏れたパスワードの守り方：暗号化とハッシュで戻される件数の違い
• 花キューピット情報漏洩：423万件の対象確認とパスワード変更、使い回しの点検手順：漏えい済みパスワードの照合とハッシュの上げ替え
• Joshin（ジョーシン）不正アクセス：最大600万件の対象とサブスク初期パスワードの対処：同じ家電量販の会員DBの事案
• 会員サイトのセキュリティ対策：不正ログインと権限漏れを防ぐ設計チェック項目：会員サイト全体の点検項目