ジョーシン（上新電機）の情報漏洩｜不正アクセスで会員情報最大約600万件が漏洩した可能性対象の範囲と確かめること 2026

2026年10月28日

＠SOHO編集部

この記事のポイント

✓ジョーシン（上新電機）の情報漏洩が気になる人へ
✓株式会社Joshinは2026年10月26日の第2報で
✓会員情報データベースサーバー最大約600万件

ジョーシン（上新電機）の情報漏洩について、2026年10月27日時点で株式会社Joshinの公式発表から分かっていることを先に書く。家電量販店「ジョーシン」を運営する株式会社Joshinは、2026年10月16日に社内ネットワークで不正アクセスの形跡を確認し、10月26日の第2報で、会員情報データベースサーバーの氏名・住所・電話番号・会員番号最大約600万件、「ジョーシンのサブスク」の会員番号やログインID初期パスワードなど最大約23万件、リフォーム写真アップロードシステムの最大約800件が「漏洩した可能性がある」と発表した。利用者がまずすることは、ジョーシンを名乗る身に覚えのないメール・SMS・電話に応じないこと、ジョーシンのサブスクを契約している人はログインのパスワードを見直すこと、そして続報を同社の公式ホームページで確かめることの3つになる。

この記事は、同社の発表にある「漏洩した可能性」という表現をそのまま使う。同社は第2報で、公表した件数について「漏洩した可能性のある総件数であり、個人情報漏えいが確定した件数ではありません」と明記しているためだ。確定した件数として書くと、読む人の受け止め方が変わってしまう。以下、公式発表の言葉づかいに沿って、分かっていることと、まだ分かっていないことを分けて整理する。

ジョーシンが2026年10月26日に発表した内容

株式会社Joshin（本社は大阪府大阪市、東京証券取引所プライム市場に上場）は、2026年10月26日付で「不正アクセスによるシステム障害発生のお詫びとお知らせ（第2報）」を公表した。同社の公式サイトのIRニュースに掲載されており、同じ内容が東京証券取引所の適時開示としても出ている。

第2報の中心は、次の3つのシステムについて「漏洩の可能性があるお客さま情報」と件数を示した点にある。

会員情報データベースサーバー。漏洩した可能性がある件数は最大約600万件。対象は氏名、住所、電話番号、会員番号
ジョーシンのサブスク。漏洩した可能性がある件数は最大約23万件。対象は会員番号、電話番号と手書きサイン、ログインID初期パスワード、請求履歴、契約番号とデバイスID、有効化コード
リフォーム写真アップロードシステム。漏洩した可能性がある件数は最大約800件。対象は免許証画像2件、マイナンバーカード1件、口座番号5件と、リフォーム施工中の工事写真データ

同社はこの表の下に、次の注記を添えている。

※件数は漏洩した可能性のある総件数であり、個人情報漏えいが確定した件数ではありません。 ※当社では決済情報の非保持化に対応しており、クレジットカード情報は保持しておりません。出典: joshin.co.jp

つまり、2026年10月27日時点で同社が言っているのは「不正アクセスを受けたシステムに、これだけの件数の情報があった。漏洩したかどうかは調査中」ということになる。不正アクセスの詳細、影響範囲、情報漏洩の有無は「継続して網羅的に調査する」と書かれており、全容はまだ公表されていない。

「決済情報の非保持化」という言葉は、クレジットカードの番号を自社のシステムに保存しない仕組みにしていることを指す。同社はこの仕組みに対応しているため、クレジットカード情報は保持していない、と第2報の中で2回繰り返して書いている。カード情報が今回の不正アクセスの対象に含まれるかどうかを心配している人にとって、ここは最初に確かめておきたい点になる。

公表までの経緯を日付の順に並べる

同社の発表は、2026年10月27日時点で初報と第2報の2本が出ている。日付の順に並べると次のとおり。

日付	出来事	その時点で分かったこと
2026年10月16日（金）	社内ネットワークで異常を検知	調査の結果、ネットワークの一部が不正アクセスを受けた形跡を確認。不正アクセスの形跡が見られるサーバーをネットワークから遮断し、外部専門機関へ調査を依頼
2026年10月17日（土）	公式ホームページで初報を公表	不正アクセスの影響で一部のサービスを提供できない状態にあることを公表
2026年10月19日（月）	初報と同じ内容を東京証券取引所へ開示	情報流出の有無は確認中。個人情報漏洩の可能性も否定できないため、個人情報保護委員会へ第一報を入れたと記載
2026年10月26日（月）	第2報を公表	3つのシステムについて、漏洩した可能性がある件数と対象の項目を公表。クレジットカード情報は保持していないと明記

初報の時点では、件数も項目も出ていなかった。 10月19日付の文書はこう書いている。

現在、外部の専門機関と連携し、不正アクセスの詳細の究明と影響範囲の調査を進めるとともに、個人情報やその他の重要な情報など、情報流出の有無について確認中です。なお、現時点では個人情報漏洩の可能性も否定できませんので、個人情報保護委員会へ第一報を入れており、今後の調査の結果、万一漏洩が判明した場合には、関係各所に速やかにご報告いたします。出典: joshin.co.jp

初報から第2報までの間に、どのシステムが対象で、何件の情報があったのかが分かった、という流れになる。一方で、第2報の時点でも「被害の全容については調査中」であり、情報が実際に外へ持ち出されたかどうかは書かれていない。

同社は「今後、公表すべき新たな事実が判明した場合には、当社公式ホームページ等を通じて速やかにお知らせいたします」としている。次の報が出るとすれば、調査の結果として漏洩の有無が確定したとき、停止中のサービスが再開するとき、対象の件数や項目が変わったときのいずれかになる。公式ホームページの「IRニュース」の一覧に新しい文書が追加される形になるので、確かめるときはそこを見る。

漏洩した可能性がある情報と、含まれないと明記された情報

第2報で示された3つのシステムについて、対象の項目を表で分ける。「含まれない」の列は、同社が文書の中で明記しているものだけを書いている。

システム	漏洩した可能性がある件数	対象となるお客さま情報	含まれないと明記されたもの
会員情報データベースサーバー	最大約600万件	氏名、住所、電話番号、会員番号	クレジットカード情報（同社は保持していない）
ジョーシンのサブスク	最大約23万件	会員番号、電話番号と手書きサイン（バイナリデータ）、ログインID初期パスワード、請求履歴、契約番号とデバイスID、有効化コード	クレジットカード情報（同社は保持していない）
リフォーム写真アップロードシステム	最大約800件	免許証画像2件、マイナンバーカード1件、口座番号5件、リフォーム施工中の工事写真データ	クレジットカード情報（同社は保持していない）

3つのうち件数が最も大きいのは会員情報データベースサーバーで、対象の項目は氏名、住所、電話番号、会員番号の4つになる。この4つにはメールアドレス、生年月日、パスワードは含まれていない。ただし、同社が「含まれない」と明記しているのはクレジットカード情報だけなので、メールアドレスや生年月日について同社が何かを断定しているわけではない。発表にある項目だけを「対象」として読み、発表に無い項目については「書かれていない」と受け止めるのが正確な読み方になる。

ジョーシンのサブスクは、対象の項目が会員情報データベースサーバーより多い。注目したいのは「ログインID初期パスワード」と「手書きサイン（バイナリデータ）」の2つになる。初期パスワードとは、契約したときに最初に設定されているパスワードのことで、利用者が自分で変えていなければ、今もそのまま使われている可能性がある。手書きサインは、契約の際に画面に書いたサインを画像のデータとして保存したものを指すと読める。請求履歴や契約番号、デバイスIDも対象に入っており、どの機器をいつから契約しているかが分かる情報になる。

リフォーム写真アップロードシステムは、件数は最大約800件と最も少ないが、含まれる情報の種類が重い。次の節で別に書く。

リフォームの免許証画像・マイナンバーカード・口座番号について

リフォーム写真アップロードシステムの対象は、同社の表で2つに分かれている。

免許証画像2件、マイナンバーカード1件、口座番号5件
リフォーム施工中の工事写真データ

1つ目について、同社は「該当のお客さまに関しては個別にご連絡をとっております」と書いている。件数が2件、1件、5件と小さく、誰のものかを同社が特定できるため、本人へ直接連絡する形を取っている。したがって、免許証画像やマイナンバーカード、口座番号が対象になっている人には、同社から個別の連絡が届く。連絡が来ていない人は、公表されている範囲ではこの3つの対象には入っていない、と読める。

2つ目の工事写真データは、リフォーム工事の途中で撮影された写真を指す。写真そのものは個人の名前や住所ではないが、家の中の様子が写っている場合がある。件数の内訳は公表されていないので、何件が写真で何件が書類の画像なのかは分からない。リフォームをジョーシンに頼んだことがある人で、工事中の写真を同社のシステムに送った覚えがある人は、この系統の対象に入りうる。ただし、どの時期のどの工事が対象かは発表に無いため、気になる場合は後述の窓口に問い合わせることになる。

マイナンバーカードの画像が対象に入っている点については、個人情報保護委員会が「漏えい等した情報にマイナンバーが含まれている場合」の報告の形を別に定めている。同社は第2報で「本件発生の確認後、直ちに個人情報保護委員会、警察へ相談・報告を行っております」としており、報告の手続きは進んでいる。マイナンバーカードの画像が対象になった本人が何をすべきかは、同社からの個別の連絡の内容に沿って判断することになる。発表に無いことをこの記事で補うことはしない。

「最大約600万件」という数字の読み方

ジョーシンの情報漏洩について調べる人が最初に目にするのは「最大約600万件」という数字になる。この数字をどう受け止めるかを、同社の発表の言葉に沿って整理する。

まず「最大」と付いている。同社は「漏洩した可能性のある総件数」と書いており、不正アクセスを受けたシステムに保存されていた情報の件数を上限として示している。実際に外へ持ち出された件数がこれと同じかどうかは、2026年10月27日時点で分かっていない。

次に「約」と付いている。 600万という数字は丸めた数であり、正確な件数は公表されていない。また、3つのシステムの件数を合計した数字は同社の発表に出てこない。報道では3つを合計した数字が使われることがあるが、同社の公式発表は3つを分けて書いている。この記事も、同社の発表のとおりに分けて書く。

そして「件」と「人」は同じではない。会員情報データベースサーバーの最大約600万件は、情報の件数として書かれている。 1人の会員が複数の会員番号を持っていれば件数は人数より多くなり、逆に同じ人の情報がまとめられていれば件数と人数は近くなる。同社の発表には人数の記載が無いので、「約600万人」と言い換えることはできない。

最後に、「漏洩した可能性」と「漏洩した」の違いになる。同社は「個人情報漏えいが確定した件数ではありません」と明記している。調査の結果によっては、件数が減ることも、別のシステムが対象に加わることもありうる。数字が動く可能性があるからこそ、同社は「今後、公表すべき新たな事実が判明した場合には」と続報の予告を書いている。

原因について発表されていること

原因について、同社の発表に書かれているのは次の範囲になる。

2026年10月16日に、同社のネットワークにおいて異常を検知した
調査を行ったところ、ネットワークの一部が第三者による不正アクセスを受けた形跡を確認した
速やかに、不正アクセスの形跡が見られるサーバーをネットワークから遮断するなどの措置を講じた
外部専門機関へ詳細な調査を依頼した
緊急措置の結果、現在、一部のサービスを利用できない状態になっている

どのような手口で侵入されたのか、どの経路から入られたのか、攻撃者が誰なのかは、2026年10月27日時点の発表には書かれていない。第2報には「新たな社会課題となっているセキュリティの脆弱性への対処を迅速に進め」という記述があるが、具体的にどの脆弱性かは示されていない。脆弱性とは、ソフトウェアや機器の設計上の弱点のことで、そこを突かれると外部から侵入される。この点は「調査中と発表」と受け止めるのが正確になる。

なお、初報の10月19日付の文書では「2026年10月16日（金）に不正アクセスを認識後、速やかに外部からのアクセスを制限するなどの対策をとった結果、一部のサービスをご提供できない状態となっております」と書かれている。サービスが止まっているのは攻撃で壊れたからではなく、同社が外部からのアクセスを制限し、サーバーをネットワークから切り離したからだ、という説明になる。どのサービスが止まっているかの一覧は、2本の文書のどちらにも書かれていない。

ジョーシンの対応

同社が発表している対応を、文書に書かれている順に挙げる。

不正アクセスの形跡が見られるサーバーをネットワークから遮断した
外部専門機関へ詳細な調査を依頼し、連携して不正アクセスの詳細の究明と影響範囲の調査を進めている
本件発生の確認後、直ちに個人情報保護委員会と警察へ相談・報告を行った
リフォーム写真アップロードシステムで免許証画像、マイナンバーカード、口座番号が対象になった客には個別に連絡を取っている
不正アクセスの詳細、影響範囲、情報漏洩の有無を継続して網羅的に調査する
再発防止と、停止中のサービスの早期再開に向けて取り組む
公表すべき新たな事実が判明した場合は、公式ホームページ等を通じて速やかに知らせる
お客様相談窓口で本件に関する問い合わせを受け付ける

発表に書かれていないこともある。会員情報データベースサーバーの対象者への個別の通知、ジョーシンのサブスクのパスワードの初期化、補償やお詫びの品については、2026年10月27日時点の2本の文書のどちらにも記載が無い。この記事では、発表に無いことを「ある」とも「ない」とも書かない。個別の通知があるかどうか、パスワードが初期化されるかどうかは、続報を待つか、窓口で確かめることになる。

同社は文書の最後で「皆さまからの信頼回復に向け、再発防止に向けた調査およびさらなるセキュリティ強化に全力で取り組んでまいります」としている。この文言が具体的にどの対策を指すのかは、続報で示されるかどうかを見る。

自分が対象かどうかを確かめる方法

2026年10月27日時点で、同社の発表に書かれている確かめ方は次のとおりになる。

リフォーム写真アップロードシステムで免許証画像、マイナンバーカード、口座番号が対象になった人には、同社から個別の連絡が届く
それ以外の人は、お客様相談窓口（電話 06-6631-1323、受付時間 9:30から18:30、メール [email protected]）で問い合わせる

会員情報データベースサーバーとジョーシンのサブスクについては、対象者を一人ずつ特定して連絡する、とは発表に書かれていない。最大約600万件という規模から考えると、自分が対象かどうかを待っていても分からない場合がある。ジョーシンの会員カードやアプリの会員番号を持っている人、ジョーシンのサブスクを契約している人、リフォームを依頼したことがある人は、「対象に入りうる」という前提で次の節の行動を取るのが現実的になる。

逆に、対象の見当がつきやすい系統もある。ジョーシンのサブスクは契約した人だけが対象であり、契約していなければ会員番号やログインID初期パスワードが対象になることはない。リフォーム写真アップロードシステムも、リフォーム工事を同社に頼んで写真を送った人以外は対象にならない。会員情報データベースサーバーについては、会員番号を持っているかどうかが目安になる。

自分の情報がどこかから漏れていないかを横断して調べたいときは、情報漏洩を無料で確かめる方法で、メールアドレスを入力して過去の漏洩の記録を照合するサービスの使い方を説明している。ただし、この種のサービスはメールアドレスを軸に調べるものなので、氏名・住所・電話番号・会員番号が対象になっている今回の会員情報データベースサーバーの件を直接照合できるわけではない。照合できるのは、同じメールアドレスが過去に別の漏洩で出ていないかという点になる。

利用者がすること

対象の項目に合わせて、要るものだけを書く。漏洩した可能性がある情報が氏名・住所・電話番号・会員番号なのか、ログインID初期パスワードなのか、口座番号なのかで、取る行動は変わる。

氏名・住所・電話番号・会員番号が対象になりうる人

この4つにはパスワードもカード番号も含まれないので、変更できるものは無い。することは、この情報を使って来る連絡に備えることになる。

ジョーシンを名乗る電話、SMS、メール、郵便物が来ても、その場で会員番号や口座情報、カード番号を答えない
「情報漏洩のお詫び」「補償の手続き」を理由に連絡してきて、個人情報やお金を求める相手は疑う。同社の発表に補償の手続きの案内は無い
電話で本人確認と称して生年月日やパスワードを聞かれても答えない。本当に用件があるなら、自分から公式の窓口にかけ直して確かめる
住所が知られている前提で、宅配を装った不在通知のSMSや、架空の請求書の郵便物に注意する

住所が漏れた可能性があるときの具体的な備えは、個人情報の漏洩で住所が漏れたときにすることで整理している。会員番号は、それ単体で何かを買えるものではないが、ジョーシンを名乗る相手が「お客様の会員番号は〇〇ですね」と言ってきたときに本物だと思い込む材料になる。会員番号を知っているから本物、とは判断しないことが大事になる。

ジョーシンのサブスクを契約している人

対象の項目に「ログインID初期パスワード」が入っている。契約したときの初期パスワードを今も使っている人は、パスワードを変更する。変更の手順は、同社のサービスが再開しているかどうかによって変わるので、ログインできない場合は窓口に確かめる。

初期パスワードから変えていない人は、ログインできるようになり次第、推測されにくい別のパスワードに変える
同じパスワードを他のサービスでも使っている人は、そちらも変える。ジョーシンのサブスクの初期パスワードを別のサービスに流用している人は少ないと思われるが、確認はしておく
請求履歴、契約番号、デバイスIDが対象なので、契約内容を知っている相手からの「契約の更新」「機器の交換」を名乗る連絡に注意する。契約番号を知っているから本物、とは判断しない
手書きサインの画像が対象に入っているので、サインが必要な契約や書類で自分の名義が使われていないか、不審な郵便物や請求が来たときに気を配る

パスワードの使い回しをやめ、複数の要素でログインを守る考え方は、多要素認証の導入のメリットと製品の比較に書いている。ジョーシンのサブスクに多要素認証の仕組みがあるかどうかは、同社の発表には書かれていないので、ここでは一般的な考え方として挙げる。

口座番号が対象になった人

口座番号5件が対象になった人には、同社から個別の連絡が来ている。口座番号だけで預金を引き出すことは通常できないが、口座番号と氏名、住所、電話番号がそろうと、金融機関を名乗る電話で暗証番号を聞き出そうとする手口の材料になる。

金融機関を名乗る電話で暗証番号やワンタイムパスワードを聞かれても答えない。金融機関が電話で暗証番号を聞くことはない
通帳やアプリで、身に覚えのない引き落としや振込が無いかを確かめる
心配な場合は、口座のある金融機関に事情を話して相談する。口座番号の変更ができるかどうかは金融機関によって扱いが違うので、断定せず金融機関で確かめる

免許証画像、マイナンバーカードが対象になった人

この2つは本人確認の書類そのものであり、同社から個別の連絡が来る対象になっている。対応の内容は同社からの連絡に沿う。一般論として、本人確認書類の画像が第三者の手に渡った可能性があるときは、自分の名義で勝手に契約されていないかを気にかける必要がある。不審な契約や請求に気づいたら、最寄りの警察署に相談する。マイナンバーカードそのものの再発行や番号の変更の要否は、住んでいる市区町村の窓口で確かめる。この記事で手続きの要否を断定することはしない。

ジョーシンを装った不審な連絡の見分け方

同社は第2報の「お客さまへのお願い」で、次のように書いている。

当社を装った不審なメール、SMS、電話等が行われる可能性がございます。身に覚えのない連絡や不審な URL には十分ご注意いただきますようお願い申しあげます。出典: joshin.co.jp

氏名、住所、電話番号、会員番号がそろっていると、ジョーシンを装う側は「本物らしい」連絡を作れる。見分けるときの目安を挙げる。

発表に無い案内が来たら疑う。2026年10月27日時点の公式発表に、補償の申請、お詫びの品の受け取り、ポイントの付与といった案内は無い。これらを理由にURLを開かせたり、口座やカードの情報を入力させたりする連絡は、発表と合わない
SMSのURLは開かない。同社の発表は公式ホームページで続報を出すとしており、SMSで手続きのURLを送るとは書いていない
電話で個人情報を聞かれたら、いったん切って、公式の窓口の番号にかけ直す。同社の発表にある番号は 06-6631-1323 になる。相手が言った番号ではなく、公式の文書に載っている番号を使う
メールの差出人の表示名だけで判断しない。表示名は自由に設定できるので、「株式会社Joshin」と表示されていても本物とは限らない
「サービスが停止しているので、こちらから再登録を」という連絡は疑う。同社の発表に再登録の案内は無い

こうした手口は、情報が漏れた可能性が公表された直後に増える傾向がある。見分け方の練習や、家族や従業員への伝え方は、フィッシングメールの模擬訓練の効果と従業員の教育で扱っている。自分だけでなく、同じ住所に住む家族がジョーシンの会員であれば、家族にもこの記事の内容を伝えておくと、固定電話にかかってきた不審な電話への対応がそろう。

問い合わせ窓口

同社の発表に載っている窓口は次のとおりになる。

窓口	電話番号	受付時間	メールアドレス
株式会社Joshin お客様相談窓口	06-6631-1323	9:30から18:30	[email protected]

初報では「お客様相談室」の名称でメールアドレスだけが載っていたが、第2報では「お客様相談窓口」として電話番号と受付時間が追加された。電話番号は第2報の文書に書かれているものだけを使う。受付時間の曜日については発表に記載が無いので、土日祝日の扱いは電話で確かめる。

なお、第2報の冒頭に「問合せ先執行役員ICT・DX担当」として別の番号が載っているが、これは東京証券取引所への開示文書の形式上の記載であり、報道機関や株主向けの問い合わせ先になる。利用者が本件について問い合わせるときは、お客様相談窓口の番号を使う。

在宅で仕事をする人が、仕事の買い物でジョーシンを使っている場合

在宅で仕事をする人の中には、パソコンや周辺機器、プリンター、仕事部屋の家電をジョーシンで買い、会員登録をしている人がいる。その場合に考えることを、個人情報保護委員会の公式ページで確かめた範囲で整理する。

まず、今回の件で漏洩した可能性があるのは、ジョーシンに登録した「自分の」氏名・住所・電話番号・会員番号になる。自分の情報が漏れた可能性があるだけなら、自分が取引先に対して何かを報告する義務は生じない。個人情報保護委員会の漏えい等の対応とお役立ち資料のページでは、個人情報保護委員会への漏えい等報告が義務付けられているのは、個人データを取り扱う事業者自身の側で漏えい等（またはそのおそれ）が起きた場合であり、その要件として「不正の目的をもって行われたおそれがある行為による漏えい等」や「本人の数が1,000人を超える漏えい等」などが挙げられている。今回の件でこの報告をする立場にあるのはジョーシンであり、同社は「直ちに個人情報保護委員会、警察へ相談・報告を行っております」と発表している。

次に、仕事の都合で、取引先の情報をジョーシンのシステムに登録していた場合になる。たとえば、取引先の事務所へ直接配送するために、取引先の担当者の氏名・住所・電話番号を配送先として登録していたケースが考えられる。この場合、登録されていた情報は取引先のものであり、自分がその情報をジョーシンに預けた形になる。同社の発表では、会員情報データベースサーバーの対象は「氏名、住所、電話番号、会員番号」とされており、配送先として登録した第三者の情報がこの中に含まれるかどうかは書かれていない。含まれるかどうかが分からない以上、取引先に知らせるかどうかは、法律上の義務というより、取引先との信頼の問題として判断することになる。知らせる場合は、「ジョーシンが公表した内容」「自分が登録していた範囲」「自分は対象かどうか確認中」の3点を分けて、事実だけを伝える。漏れたと断定して伝えると、取引先に必要以上の心配をかける。

個人情報保護委員会は、事業者の個人情報の取り扱いに関する苦情や、個人情報保護法に関する質問を受け付ける個人情報保護法相談ダイヤルを設けている。電話番号は 03-6457-9849、受付時間は 9:30から17:30（土日祝日と年末年始を除く）になる。同ページには「ガイドラインやQ&Aに記載がないご相談、個人情報保護法に規定がないご相談、個人情報保護法への適法性・違法性の判断を求めるご相談には応じておりません」と書かれているので、個別の事案で義務の有無を判定してもらえる窓口ではない点は理解しておく。制度の一般的な考え方を確かめる場として使う。

在宅で仕事をする人にとって、取引先の情報を預かる立場であることは、どの販売店を使うかにかかわらず変わらない。自分の仕事用の連絡先と、取引先の連絡先を同じ会員アカウントに登録している人は、今回の件をきっかけに、取引先の情報をどこに登録しているかを一度書き出しておくと、別の事案が起きたときにも慌てずに済む。在宅ワークの仲介サイト @SOHO のAI・マーケティング・セキュリティのお仕事では、セキュリティの分野で在宅で受けられる仕事の内容と、求められる経験を整理している。アカウントを守る習慣は、仕事を受ける側の信用にも直接つながる。

続報が出たときに確かめる点

同社は、公表すべき新たな事実が判明した場合は公式ホームページ等で知らせるとしている。続報が出たときに見るべき点をあらかじめ挙げておく。

「漏洩した可能性」が「漏洩した」に変わったかどうか。変わった場合、件数と項目が第2報と同じか
対象者への個別の通知が始まるかどうか。通知の手段（メール、郵便、電話）が示されれば、それ以外の手段で来る連絡は疑える
ジョーシンのサブスクのパスワードの初期化や、ログインの手順の変更が案内されるかどうか
停止中のサービスがいつ、どの順に再開するか。再開の案内を装った偽の連絡が出る可能性があるので、公式の文書で確かめる
原因の説明が加わるかどうか。侵入の経路や、再発防止策の具体的な内容が示されれば、同じ手口への備えが立てられる
3つのシステム以外に対象が加わるかどうか

確かめる場所は、同社の公式サイトの「IRニュース」の一覧になる。初報と第2報はどちらも「適時開示」として同じ一覧に載っている。検索エンジンで出てくる解説記事やSNSの投稿は、公式の文書より先に数字を合計したり、「漏洩した」と言い切ったりすることがあるので、数字と表現は必ず公式の文書で突き合わせる。

公式の文書はPDFの形で公開されており、表の数字と注記をそのまま読める。この記事の数字も、すべて同社の2本のPDFから取っている。 2026年10月27日より後に第3報が出た場合、この記事の数字より新しい文書の数字が優先される。

よくある質問

Q. ジョーシンの不正アクセスで、クレジットカードの情報は漏れたのですか？

同社は第2報で「決済情報の非保持化に対応しており、クレジットカード情報は保持しておりません」と明記しています。カード番号を自社のシステムに保存していないため、今回の不正アクセスの対象にカード情報は含まれていないという説明になります。ただし、カードの利用明細に身に覚えのない請求が無いかを確かめる習慣は、この件とは別に続けてください。

Q. 自分が対象かどうかは、ジョーシンから連絡が来ますか？

2026年10月27日時点の発表では、免許証画像・マイナンバーカード・口座番号が対象になった人にだけ個別に連絡を取っているとされています。会員情報データベースサーバーの最大約600万件やジョーシンのサブスクの最大約23万件について、全員に通知するとは書かれていません。気になる場合はお客様相談窓口（06-6631-1323、9:30から18:30）に問い合わせてください。

Q. 漏洩した可能性がある情報は何ですか？

会員情報データベースサーバーは氏名・住所・電話番号・会員番号、ジョーシンのサブスクは会員番号・電話番号と手書きサイン・ログインID初期パスワード・請求履歴・契約番号とデバイスID・有効化コード、リフォーム写真アップロードシステムは免許証画像2件・マイナンバーカード1件・口座番号5件と工事写真データです。いずれも「漏洩した可能性」であり、確定した件数ではないと発表されています。