GMO Incident Watch 解説
ビックカメラで別々の情報漏えい 法人フォーム13万3039件とメルマガ1520万件を区別
ビックカメラは11月10日、法人向け問い合わせフォームから133,039件の情報漏えいを公表。11月6日発表のアララ委託先経由15,204,757件とは別事案。対象情報、復旧状況、問い合わせ先を比較する。
公開： ／ 更新： ／ 出典確認日：
11月10日公表の13万3039件は、法人専用フォームからの流出
ビックカメラは2026年11月10日、法人専用ビックカメラ・ドットコムの問い合わせフォームを通じて、法人顧客情報133,039件が外部に漏えいしたと公表した。同社によれば、11月5～6日にフォームの設定不備を狙った不正アクセスがあり、11月6日14時15分にフォームを閉鎖して設定を是正した。11月10日の発表では、同じ経路から情報が漏えいする状態は解消したとしている。
対象情報は企業名、部署名、担当者の氏名、メールアドレスの全部またはいずれか。取引履歴、取引金額、口座情報などの取引内容は含まれないと明記した。133,039件は情報の件数で、法人13万3039社や担当者13万3039人の被害が確認されたという意味ではない。一般向け通販サイトへの侵入・影響も確認されていない。ただし、法人フォームでの流出が解消したことは、外部に持ち出された情報が回収されたという意味ではない。
11月6日の1520万4757件は、アララのメール配信基盤で起きた別事案
一方、ビックカメラ、コジマ、ソフマップの3社は11月2日、委託先アララのメール配信システムへの不正アクセスに伴うメールマガジン登録者情報の流出可能性を発表し、11月6日の第2報で漏えい確認件数を合計15,204,757件へ更新した。11月2日の概数約1,490万件は「流出の可能性」、11月6日の数字は確認された情報件数であり、単に表記を細かくした変更ではない。
第2報の内訳は、ビックカメラの会員属性等14,218,934件と注文関連183件、コジマのメールアドレス960,688件、ソフマップのメールアドレス24,854件と注文関連41件、帰属先を確認中のメールアドレス57件。会社をまたぐ同じアドレスは各社でそれぞれ計上されるため、グループ合計を実人数として使えない。氏名・生年月日・ポイントカード番号に加え、一部では商品名や注文金額も対象となるが、全記録にすべての項目が含まれるわけではない。
アララ側の事故は外部のメール配信基盤が対象で、11月10日の法人フォームはビックカメラが運営する別のシステムである。公表資料から、両事案の攻撃者や侵入経路が同じだと判断する根拠はない。数字を足して「ビックカメラの被害者数」にすることもできない。
同じ企業名でも、対象者と案内の経路が違う
法人フォームの対象は企業・部署と担当者の連絡先で、ビックカメラは該当する取引先へ、対象情報と件数を個別に案内するとしている。一般の買い物客が11月10日の13万3039件に含まれると公表されたわけではない。
アララ事案では、ビックカメラ・ドットコムの会員、アプリ会員、過去のメールマガジン希望者のほか、楽天ビックやビックカメラJRE MALL店で2026年7月1日以降にメールを受け取った人の一部も対象。退会や配信停止の後でも対象になる場合がある。コジマやソフマップでもそれぞれ条件が異なる。3社は対象者に順次案内する方針だが、11月6日の発表では開始時期を別途知らせるとしており、全員への通知完了が確認されたわけではない。
アララ事案の第2報では、カード情報、電話番号、住所、ECサイトのログインパスワードは委託先で保有せず、今回の漏えい対象外とされる。一方、法人フォームの発表は、対象外として取引履歴・金額・口座情報を明記している。別事故の「対象外」の説明を、そのままもう一方に転用しない。
法人担当者は請求・振込先変更の連絡を独立した経路で照合
法人フォームで外部に出たとされる企業名、部署名、担当者氏名、メールアドレスの組み合わせは、取引先を知っているように装うメールに利用される可能性がある。これは情報項目に基づく一般的なリスクの説明であり、本件で偽請求書や不正送金の被害が発生したと確認されたわけではない。見慣れた会社名・担当者名を示す連絡でも、振込先変更や書類送付の依頼は従来の登録連絡先から別経路で確認したい。
法人フォームの専用窓口はビックカメラの11月10日付PDFに記載され、電話03-3987-8623（平日10～18時）、メールinfo-hojin@biccamera.com。アララ経由のメール配信事故についてのビックカメラ窓口は別で、11月6日の第2報に0120-615-777（10～19時）と記載されている。受信メール内のリンクや返信先だけに頼らず、該当する公式発表から窓口を確認する。
ビックカメラは法人フォームについて個人情報保護委員会への報告と外部専門家への相談、アクセスログの調査を公表した。アララ事案については委託先へのデータ連携・利用を停止し、対象を調査中。どちらも将来の二次被害や個別の通知到達まで確認済みという意味ではない。
出典・参考資料
- ビックカメラ：2026年11月10日、法人フォーム133,039件の漏えい・11月6日14:15の閉鎖と是正（11月11日PDF原文確認）
- ビックカメラ・コジマ・ソフマップ：2026年11月2日第1報、委託先の漏えい可能性約1,490万件
- ビックカメラ・コジマ・ソフマップ：2026年11月6日第2報、15,204,757件の確定範囲と対象者への案内（11月11日確認）
- ネットショップ担当者フォーラム：2026年11月9日、アララ委託先事故の第1報・第2報を比較した報道
本記事は公開資料を整理した一般情報です。GMO各社、行政機関、法律事務所の公式サイトではなく、個別の法律助言や補償申請・訴訟参加の受付を行うものではありません。発表後の変更は、リンク先の公式情報でご確認ください。