- 家電量販店「ジョーシン」を運営する株式会社Ｊｏｓｈｉｎ（本社：大阪市）のネットワークが、第三者による不正アクセスを受けました。10月16日に異常を検知し、今も一部のサービスが使えない状態が続いています。
- 10月26日の第2報で、会員情報データベースサーバーから最大約600万件（氏名・住所・電話番号・会員番号）が漏えいした可能性があると発表されました。
- ほかに、「ジョーシンのサブスク」で最大約23万件（会員番号、電話番号と手書きサイン、ログインIDと初期パスワード、請求履歴など）、リフォーム写真アップロードシステムで最大約800件（免許証画像、マイナンバーカード、口座番号を含む）が漏えいした可能性があります。
- いずれも「漏えいした可能性のある総件数」で、漏えいが確定した件数ではないと書かれています。
- Ｊｏｓｈｉｎは決済情報を持たない仕組み（非保持化）にしていて、クレジットカード情報は持っていないとしています。
- Ｊｏｓｈｉｎは、同社を装った不審なメール・SMS・電話に注意するよう呼びかけています。
ほかの不正アクセス・情報漏えいは → 不正アクセス・情報漏えい チェッカー（サービス名で検索できます）
この記事は、株式会社Ｊｏｓｈｉｎが公式サイトと東京証券取引所の適時開示で出した2本のお知らせ（10月17日・19日の初報、10月26日の第2報）をもとに、分かっていることと分かっていないことを分けてまとめたものです。最新の内容はＪｏｓｈｉｎのニュース一覧で確かめてください。この記事も続報が出たら更新します。
10月に国内で発表されたほかの不正アクセス・情報漏えいは「2026年10月の不正アクセス・情報漏えい 国内まとめ」で一覧にしています。
最新情報（随時更新）
- 10月26日 第2報：調査中の3つのシステムについて、漏えいした可能性がある件数と項目が公表されました。会員情報データベースサーバーが最大約600万件、ジョーシンのサブスクが最大約23万件、リフォーム写真アップロードシステムが最大約800件です。警察と個人情報保護委員会には、発生の確認後すぐに相談・報告したとしています［Ｊｏｓｈｉｎ 第2報（10/26、PDF）］。報道では、INTERNET Watchが同じ日に「最大約600万件の会員情報などが漏えいの可能性」と伝えています。
- 10月19日：10月17日に公式サイトで出したお知らせと同じ内容を、東京証券取引所に開示しました［Ｊｏｓｈｉｎ 適時開示（10/19、PDF）］。
- 10月17日 初報：不正アクセスで一部のサービスを提供できない状態になっていると公表しました。この時点では、情報が流出したかどうかは確認中で、「個人情報漏洩の可能性も否定できません」としていました［Ｊｏｓｈｉｎ 初報（10/17、PDF）］。
何が起きたか（時系列）
株式会社Ｊｏｓｈｉｎは、家電量販店「ジョーシン」を運営する会社です（東証プライム、証券コード8173）。2026年4月1日に、商号を「上新電機株式会社」から「株式会社Ｊｏｓｈｉｎ」に変えています［Ｊｏｓｈｉｎ 公式サイト］。お知らせに書かれた経緯は次のとおりです［第2報］。
| 日付 | できごと |
|---|---|
| 10月16日（金） | 社内のネットワークで異常を検知。調べたところ、ネットワークの一部が不正アクセスを受けた形跡を確認した。形跡のあるサーバーをネットワークから切り離すなどの措置をとり、外部の専門機関に調査を頼んだ。この措置の結果、一部のサービスが使えなくなった |
| 確認後すぐ | 個人情報保護委員会と警察に相談・報告 |
| 10月17日（土） | 公式サイトで初報を公表 |
| 10月19日（月） | 同じ内容を東京証券取引所に開示 |
| 10月26日 | 第2報を公表。漏えいした可能性がある情報と件数を発表 |
どこから、どうやって入られたのか、どのサービスが止まっているのかは、お知らせには具体的に書かれていません。第2報では、今後の対応として「新たな社会課題となっているセキュリティの脆弱性への対処」を急ぐとしていますが、何の脆弱性なのかは書かれていません。
漏れた可能性がある情報
第2報に載っている表をまとめました。どれも「漏洩した可能性がある件数」で、Ｊｏｓｈｉｎは「個人情報漏えいが確定した件数ではありません」と書いています［第2報］。
| 調査中のシステム | 件数（最大） | 漏えいした可能性がある情報 |
|---|---|---|
| 会員情報データベースサーバー | 約600万件 | 氏名、住所、電話番号、会員番号 |
| ジョーシンのサブスク | 約23万件 | 会員番号、電話番号＋手書きサイン（バイナリデータ）、ログインID・初期パスワード、請求履歴、契約番号・デバイスID、有効化コード |
| リフォーム写真アップロードシステム | 約800件 | 免許証の画像2件、マイナンバーカード1件、口座番号5件（該当する人には個別に連絡中）、リフォーム工事中の写真データ |
| クレジットカード情報 | ― | 決済情報の非保持化に対応していて、カード情報は持っていないとしている |
会員情報データベースの項目に、メールアドレスや生年月日、パスワードは挙がっていません。サブスクの項目は第2報の表では「ログイン ID 初期パスワード」と書かれていて、ログインIDと初期パスワードの両方を指していると読めます。
「最大約600万件」は件数で、人数としては書かれていません。3つのシステムに同じ人が重なって入っている可能性もあり、合計がそのまま人数になるとは限りません。
ジョーシンの会員が気をつけること
ジョーシンの店舗やネットで会員になっている人に向けた内容です。Ｊｏｓｈｉｎ自身が案内していることと、念のための一般的な対策を分けて書きます。
Ｊｏｓｈｉｎが案内していること
- Ｊｏｓｈｉｎを装った不審なメール、SMS、電話に注意する：第2報では、同社を装った連絡が行われる可能性があるとして、身に覚えのない連絡や不審なURLに十分注意するよう呼びかけています［第2報］。
- 問い合わせは専用の窓口へ：株式会社Ｊｏｓｈｉｎ お客様相談窓口（電話 06-6631-1323、受付 9:30〜18:30、メール [email protected]）です。
念のための一般的な対策
ここから先は、Ｊｏｓｈｉｎの案内ではなく、氏名・住所・電話番号が漏れたかもしれないときに一般にすすめられる対策です。
- 電話番号が分かっている相手からの電話を信用しすぎない：氏名・住所・電話番号がそろっていると、「ジョーシンの者ですが、会員情報の確認を」「お詫びの返金があります」といった電話やSMSが、本物らしく見えてしまいます。名前や住所を言い当てられても、それだけで本物とは判断しないでください。
- SMSやメールのリンクは開かない：「ポイントを補償します」「会員情報の再登録を」などと、ログインやカード番号の入力をさせるものは、まず疑います。確かめたいときは、届いた連絡の中の番号やリンクではなく、ジョーシンの公式サイトに載っている窓口に自分で問い合わせてください。
- カード番号や暗証番号、口座の情報を電話で伝えない：Ｊｏｓｈｉｎはカード情報を持っていないとしています。電話やSMSでカード番号や口座の情報を聞かれたら、詐欺を疑ってください。
- 郵便物にも気をつける：住所が含まれているため、Ｊｏｓｈｉｎを名乗るはがきや封書で、支払いや個人情報の記入を求められる可能性もあります。心当たりがないときは、記載の連絡先ではなく公式の窓口で確かめます。
情報漏えいが報じられると、その会社を名乗って補償や返金を持ちかける詐欺が出やすくなります。本物の連絡かどうか分からないときは、届いた連絡に書かれた番号やリンクは使わず、お客様相談窓口（06-6631-1323）に自分でかけて確かめてください。
「ジョーシンのサブスク」・リフォームを利用した人へ
ジョーシンのサブスクを利用している人
第2報では、サブスクの「ログインID 初期パスワード」が漏えいした可能性のある項目に入っています。パスワードの変更について、Ｊｏｓｈｉｎからの案内は今のところ書かれていません。以下は一般的な対策です。
- 初期パスワードのまま使っている場合は、変更を検討する：変更するときは、メールやSMSのリンクからではなく、自分で開いた公式のページから行ってください。サービスが止まっていて変更できないときは、窓口に確かめます。
- 同じパスワードをほかのサービスで使っていないか確かめる：初期パスワードをほかのサイトにも使い回している場合は、そちらのパスワードも変えておくと安心です。
- 請求や契約に覚えのない変化がないか見る：請求履歴や契約番号も項目に入っています。契約内容や請求に心当たりのない変更があれば、窓口に問い合わせてください。
リフォームを依頼した人
リフォーム写真アップロードシステムで、免許証の画像、マイナンバーカード、口座番号が漏えいした可能性があるのは、合わせて8件です。Ｊｏｓｈｉｎは該当する人に個別に連絡をとっているとしています［第2報］。連絡を受けた人は、その案内に沿って対応してください。届いた連絡が本物か不安なときは、お客様相談窓口に自分で問い合わせて確かめます。
工事中の写真データも項目に入っています。自宅の外観や室内が写っている場合があるので、写真の内容に心当たりがあれば、窓口に相談してください。
まだ分かっていないこと
- 不正アクセスの入り口と手口（第2報でも「調査中」）
- 漏えいが実際に起きたかどうか（件数は「可能性のある総件数」）
- 止まっているサービスの具体的な名前と、再開の見通し
- 会員情報の対象が、店舗の会員、ネットの会員、アプリの会員のどれにあたるのか
- 不正な利用などの二次被害が出ているかどうか（お知らせには書かれていません）
Ｊｏｓｈｉｎは、新しく公表すべき事実が分かったら公式サイトなどで知らせるとしています。
PHPの脆弱性（php2shell）との関係
このサイトでは、10月21日夜に修正版が出たPHPの脆弱性「php2shell」を追っています。Ｊｏｓｈｉｎの件は、今のところ別の件として扱うべきものです。
- 初報・第2報とも、PHPやphp2shellの名前は出てきません
- 異常を検知したのは10月16日で、PHPの修正版が出る前です
- 第2報には「セキュリティの脆弱性への対処」という言葉がありますが、何の脆弱性かは書かれていません。PHPと結びつける根拠はありません
よくある質問
自分の情報が含まれているか、どうすれば分かりますか？
お知らせには、会員全員に個別に連絡するとは書かれていません（リフォーム写真アップロードシステムで免許証などが含まれる人には、個別に連絡中としています）。気になるときは、お客様相談窓口（06-6631-1323、9:30〜18:30、[email protected]）に問い合わせてください。
クレジットカードは止めたほうがいいですか？
Ｊｏｓｈｉｎは決済情報の非保持化に対応していて、カード情報は持っていないとしています。今の時点で、カードを止めるよう案内されてはいません。ただ、偽のサイトやSMSにカード番号を入力してしまった場合は、すぐにカード会社に連絡してください。
パスワードは変えたほうがいいですか？
会員情報データベースの項目にパスワードは入っていません。パスワードが項目にあるのは「ジョーシンのサブスク」の初期パスワードです。サブスクを初期パスワードのまま使っている人や、それをほかのサービスで使い回している人は、変更を考えてください。
600万人分が漏れたということですか？
いいえ。最大約600万件は「漏洩した可能性のある総件数」で、漏えいが確定した件数ではないとされています。また、件数で、人数としては書かれていません。
原因はPHPの脆弱性ですか？
お知らせにPHPの話はありません。不正アクセスの詳細は調査中とされています。
Webセキュリティ診断センターでは、企業が運営するWebサイトやサーバーについて、更新の状況や侵入の跡がないかの確認を手伝っています。ジョーシンの会員情報やサービスについては、株式会社Ｊｏｓｈｉｎ お客様相談窓口にお問い合わせください。相談はこちら
参考にした情報
- 株式会社Ｊｏｓｈｉｎ「不正アクセスによるシステム障害発生のお詫びとお知らせ（第2報）」（PDF、2026年10月26日）
- 株式会社Ｊｏｓｈｉｎ「不正アクセスによるシステム障害発生のお詫びとお知らせ」（適時開示、PDF、2026年10月19日）
- 株式会社Ｊｏｓｈｉｎ「不正アクセスによるシステム障害発生のお詫びとお知らせ」（公式サイト、PDF、2026年10月17日）
- 株式会社Ｊｏｓｈｉｎ ニュース一覧
