オズモールの情報漏洩｜最大約44万件の項目と利用者が確かめること 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓オズモールの情報漏洩の可能性について
✓運営するスターツ出版の2026年9月27日の初報と10月1日の第2報をもとに整理します
✓会員と一部の退会者のメールアドレス

おでかけ情報と予約のサイト「オズモール（OZmall）」を運営するスターツ出版株式会社は、2026年9月27日と10月1日に、サイトへの不正アクセスで、オズモール会員と一部の退会者のメールアドレス、一部の方の氏名と都道府県までの住所が、最大442,779名分閲覧された可能性があると発表しました。電話番号と番地を含む詳しい住所は閲覧された形跡が確認されておらず、クレジットカード情報は外部の決済システムを使っているため漏えいの可能性はないとされています。利用者がまずすることは、オズモールや実在の会社を名乗る不審なメールの添付ファイルとリンクを開かないこと、予約やポイントに関するメールは公式サイトを自分で開いて確かめること、オズモールと同じパスワードをほかのサービスで使っているなら見直すことの3つです。

この記事では、2026年10月20日時点でスターツ出版が公式サイトに出している2本のお知らせだけを根拠に、初報から第2報で何が変わったのか、何が分かっていて何がまだ分かっていないのかを整理します。

2026年10月20日時点で分かっていること

発表の要点を並べます。

発表した会社：スターツ出版株式会社（オズモールを運営）
対象のサイト：オズモール
何が起きたか：第三者による不正アクセスで、会員の個人情報の一部が閲覧された可能性
不正アクセスを検知した日：2026年9月26日（海外からの大量の不正アクセス）
対象の項目：オズモール会員と一部の退会者のメールアドレス、一部の方の氏名と住所（都道府県まで）
件数：最大442,779名分（10月1日の第2報）
閲覧の形跡がないとされた項目：電話番号、番地を含む詳しい住所
漏えいの可能性がないとされた項目：クレジットカード情報（外部の決済システムを使用）
現状：不正アクセスを遮断し、サービスは再開済み。二次被害が起きた事実は確認されていない

件数は「最大442,779名分」と発表されています。閲覧された可能性がある人数の上限で、全員の情報が外に出たと確定したものではありません。

不正アクセスとは、権限のない人が他人のIDを使ったり、システムの弱いところを突いたりして、本来入れないシステムに入り込むことです。今回は、海外からの大量のアクセスとして検知されたと説明されています。

公表の経緯：9月27日の初報と10月1日の第2報

スターツ出版の発表は2回に分かれています。日付ごとに、そのとき分かったことを並べます。

日付	出来事	分かったこと
2026年9月26日	海外からの大量の不正アクセスを検知	該当ページへのアクセスを一時停止し、遮断のためのシステム修正を実施
2026年9月27日	初報を公表	会員のメールアドレス（最大447,610名分）と、一部の方の氏名と住所（都道府県まで）が閲覧された可能性
2026年9月28日	個人情報保護委員会に報告	対策本部を設置し、影響範囲の調査を開始
2026年10月1日	第2報を公表	対象を「会員と一部の退会者」と明記し、最大442,779名分に。対象者へのメールでの連絡を開始

初報と第2報では、件数と対象の書き方が変わっています。初報は、対象の項目を次のように書いていました。

オズモール会員のメールアドレス（最大447,610名分）ならびに一部の方の氏名および住所（都道府県まで）出典: starts-pub.jp

第2報は「オズモール会員および一部の退会者のメールアドレスならびに一部の方の氏名および住所（都道府県まで）（最大442,779名分）」で、下線で前回からの変更が示されています。調査が進んで、対象に一部の退会者が含まれることが分かり、件数の上限が改めて示された形です。件数が減った理由の詳しい説明は発表にはないので、ここでは数字の変化だけを記録します。

退会者の情報については、第2報で次のように説明されています。

退会者の情報につきましては、取引上の履歴管理として一定期間保存している情報となります。出典: starts-pub.jp

すでに退会した人も、退会の時期によっては対象になりうる、ということです。「もうオズモールは使っていないから関係ない」と考えていた人も、過去に会員だった覚えがあれば、届くメールに注意します。

2026年10月20日時点で、スターツ出版の公式サイトのお知らせに出ているこの件の発表は、9月27日の初報と10月1日の第2報の2本で、第3報はまだありません。同社は、今後お知らせすべき新しい事実が確認された場合には速やかに公表するとしています。

閲覧された可能性がある項目と、含まれないと明記された項目

第2報の書き方に沿って、項目を分けて表にします。

区分	項目	補足
閲覧された可能性がある	メールアドレス	オズモール会員と一部の退会者
閲覧された可能性がある	氏名	一部の方
閲覧された可能性がある	住所（都道府県まで）	一部の方
閲覧の形跡は確認されていない	電話番号	現時点の調査による
閲覧の形跡は確認されていない	番地を含む詳しい住所	現時点の調査による
漏えいの可能性はない	クレジットカード情報	外部の決済システムを使用

電話番号と詳しい住所については「現時点の調査において、閲覧された形跡は確認されておりません」という書き方です。対象外と確定したというより、今の調査で閲覧の形跡が見つかっていない、という意味です。続報で変わることがありうるので、表の区分も「確認されていない」としています。

氏名と都道府県までの住所が対象になるのは「一部の方」とされています。何人がこれに当たるのかは、発表に書かれていません。

パスワードについては、2本の発表のどちらにも記載がありません。含まれるとも含まれないとも書かれていないので、ここでも決めつけません。ただ、パスワードの扱いが分からない以上、オズモールと同じパスワードをほかのサービスで使っている人は、念のため見直しておくほうが安心です。

カード情報は、外部の決済システムを使っているため漏えいの可能性はないとされています。外部の決済システムとは、カード番号を予約サイトの側では保存せず、決済を専門に扱う会社のシステムで処理する仕組みのことです。

原因と、スターツ出版の対応

原因について、発表で分かっているのは、2026年9月26日に海外から大量の不正アクセスが発生したことと、その不正アクセスでお客様の個人情報が閲覧された可能性があることです。第2報の再発防止策には、「不正アクセスの原因を特定のうえ、当該脆弱性への対策を実施し、不正アクセスを遮断いたしました」とあります。脆弱性とは、システムの設計や設定にある弱いところのことです。原因は特定されていて、その弱いところへの対策が済んでいる、という説明です。どのような脆弱性だったのか、具体的な手口は発表されていません。

発表に書かれた対応を並べます。

2026年9月26日に、該当ページへのアクセスを一時停止し、不正アクセスを遮断するためのシステム修正を実施
対策本部を設置し、影響範囲の調査を開始
2026年9月28日に、個人情報保護委員会に報告
原因を特定し、脆弱性への対策を実施して不正アクセスを遮断
影響を受けなかったサーバーにも不正アクセスの形跡がないことを確認し、セキュリティ対策を実施
不正アクセスによるプログラムの改ざんなどの被害がないことを確認したうえで、サービスを再開
個人情報が閲覧された可能性がある人に、登録のメールアドレス宛てに順次連絡
外部専門機関と連携し、セキュリティ対策と監視の体制を強める

個人情報保護委員会とは、個人情報の扱いを監督する国の機関です。不正アクセスなど不正な目的によるおそれがある漏えいや、本人の数が1,000人を超える漏えいは、会社にこの委員会への報告が義務付けられています。

発表に書かれていないことも整理します。お詫びや補償の有無、パスワードの初期化、マイページでの照会は、2026年10月20日時点の発表には書かれていません。書かれていないことについて、あるともないとも推測はしません。

サービスの再開後、今まで通り使ってよいか

スターツ出版は、不正アクセスを受けたサイトについて、原因を特定して遮断の対策を実施し、不正アクセスによるプログラムの改ざんなどの被害が発生していないことを確かめたうえで、サービスを再開したと発表しています。サイトの改ざんとは、第三者がサイトのプログラムを書き換え、入力した情報を盗み取る仕組みを仕込むことなどを指します。発表では、その被害は確認されていないとされています。

今まで通り使うかどうかは、利用者それぞれが決めることです。使い続ける場合は、オズモールのパスワードをほかのサービスと違うものにしておくこと、ログインは自分で開いた公式サイトから行うことの2点を守れば、今回の件で気をつけるべきことはおおむね押さえられます。使うのをやめる場合は、退会しても一定の期間は取引の履歴として情報が保存されることがある、という今回の説明を踏まえて、退会の前に登録情報のうち不要なものを見直しておく方法もあります。

自分が対象かを確かめる方法

対象かどうかは、スターツ出版からのメールで分かります。第2報には、対象となる人への連絡の方法が次のように書かれています。

当社では、個人情報が閲覧された可能性のある方に対し、オズモールの会員登録時にご登録いただいたメールアドレス宛てに、順次ご連絡を行っております。なお、当該方法によりご連絡がかなわなかった方につきましては、本公表をもってご連絡に代えさせていただきます。出典: starts-pub.jp

ここで気をつけたいのは3つです。

1つ目は、連絡が届くのは会員登録のときに登録したメールアドレス宛てだという点です。登録した後にメールアドレスを変えていない場合、今は使っていない古いアドレスに届いていることがあります。古いアドレスの受信箱も、可能なら確かめます。

2つ目は、メールで連絡がつかなかった人については、公表をもって連絡に代えるとされている点です。メールが届かないからといって対象外とは限りません。過去にオズモールの会員だった人は、自分も対象になっているかもしれないと考えて動くのが安全です。

3つ目は、お詫びのメールを装った偽メールが届きうる点です。本物の連絡がメールで届く以上、それに似せた偽メールが送られてくることは十分に考えられます。届いたメールのリンクを押すのではなく、スターツ出版の公式サイトを自分で開いて、お知らせのページと照らし合わせます。自分が対象かどうかをはっきり確かめたいときは、後で紹介する窓口に問い合わせます。

予約サイトならではの偽メールに気をつける

スターツ出版は、本件に関連して、同社や実在する企業・団体を装った不審なメールが届く可能性があるとして、メールの添付ファイルの開封やリンクのクリックをしないよう呼びかけています。

オズモールは、ホテルやレストランなどの予約を扱うサイトです。予約のサイトの利用者に届きやすい偽メールには、予約やお金、ポイントに関わる内容が多くなります。今回の件で送られやすいと考えられる例を挙げます。

「ご予約の確認ができませんでした。下記より再度ご登録ください」という予約の確認を装うメール
「キャンセル料が未払いです。本日中にお支払いください」と支払いを急がせるメール
「ポイントの有効期限が近づいています。ログインして延長してください」というメール
「お詫びとしてクーポンを差し上げます。受け取りにはカード情報の登録が必要です」というメール
ホテルやレストラン、宅配業者など、オズモール以外の実在の会社を名乗るメール

スターツ出版が「当社や実在する企業・団体等を装った不審なメール」と書いている点は大事です。オズモールを名乗るメールだけでなく、予約先のホテルやレストラン、決済の会社、宅配業者などを名乗るメールにも注意が要ります。漏れた可能性があるのは、メールアドレスと、一部の人の氏名と都道府県です。「○○県の○○様」と、名前と住んでいる地域を正しく書いた偽メールが届くと、本物だと思ってしまいやすくなります。

見分けるときに見るところは次のとおりです。

リンクの行き先。パソコンならマウスを乗せ、スマートフォンなら長押しして、行き先のアドレスを表示させる。オズモールの公式サイトと違うドメインなら開かない
入力を求められる情報。カード番号、パスワード、口座番号の入力を求める内容は、まず疑う
急がせる言葉。「本日中」「至急」「アカウントが停止されます」と期限を切る文面
差出人の表示。表示名やアドレスは偽装できるので、それだけで本物と判断しない

警察庁は、フィッシングのメールの差出人について、次のように説明しています。

電子メールは、仕様上、受信者から見える「送信元名称」や「送信元メールアドレス」を変更することが容易であるため、実在の企業等になりすますことができます。出典: npa.go.jp

予約やポイントのことが気になったら、メールのリンクを押さず、ブックマークや検索からオズモールを開き、ログインして自分の予約の画面で確かめます。それが一番確実な見分け方です。

利用者がすること

閲覧された可能性がある項目は、メールアドレスと、一部の人の氏名と都道府県までの住所です。電話番号と詳しい住所は閲覧の形跡がなく、カード情報は漏えいの可能性がないとされています。項目に合わせて、要ることを順番に書きます。

1. メールの添付ファイルとリンクを開かない

発表が一番強く求めていることです。オズモールや実在の会社を名乗るメールでも、心当たりのないもの、急がせるものは開かずに、公式サイトで確かめます。

2. パスワードの使い回しを見直す

メールアドレスが閲覧された可能性があるので、別のサービスで漏れたパスワードと組み合わせて、ほかのサービスへのログインを試される危険があります。オズモールと同じパスワードを、ほかの予約サイト、ネット通販、メール、SNSで使っている人は、サービスごとに違うパスワードへ変えていきます。オズモールのパスワードを変える場合も、メールのリンクからではなく、自分で開いた公式サイトから手続きします。

3. 二段階認証を設定する

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなどをもう1つ入力しないとログインできないようにする仕組みです。メール、ネット通販、銀行、SNSなど、設定できるサービスから順に設定しておきます。

4. 迷惑メールの設定を見直す

メールアドレスが知られると、偽メールだけでなく、迷惑メールそのものが増えることがあります。メールのサービスやメールソフトの迷惑メールの振り分けを強めておくと、偽メールが受信箱に届きにくくなります。

5. カードの明細は、念のため見る程度でよい

カード情報は漏えいの可能性がないとされているので、今回の件でカードの再発行が要るわけではありません。偽メールにカード番号を入力してしまった場合だけ、すぐにカード会社に連絡して利用の停止と再発行を相談します。

自分のメールアドレスがほかのサービスの漏えいにも巻き込まれていないかを確かめたい人は、海外の漏えい情報を検索できるサービスの使い方を解説したHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩が参考になります。

氏名と住んでいる地域が知られたときに気をつけること

氏名と都道府県までの住所が対象になるのは一部の人とされていますが、その人たちには、名前と住んでいる地域を使った偽メールが届く可能性があります。たとえば「神奈川県にお住まいの○○様へ。お近くの店舗でご利用いただける特別なご招待です」のように、宛名と地域が合っていると、広告や案内のように見えて警戒が緩みます。

メールアドレスと氏名、住んでいる地域がそろうと、SNSのアカウントと結び付けられることもあります。SNSで本名や住んでいる地域、よく行く店を公開している人は、偽メールの文面がさらに本物らしく作られるおそれがあります。この機会に、SNSのプロフィールに書いている情報を見直し、必要のない個人情報は公開をやめておくと安心です。

電話番号と詳しい住所は、現時点の調査で閲覧の形跡がないとされています。そのため、今回の件で自宅に郵便物が届いたり、電話がかかってきたりする心配は、メールに比べると小さいと考えられます。ただ、ほかのサービスの漏えいで電話番号や住所が知られていることもあるので、知らない番号からの電話やSMSには、これまでどおり注意します。住所が知られたときの郵便物や訪問への備えは、住所が漏れたときの記事に、確かめる順番と相談先をまとめています。

予約の中身は、どこで確かめるのが確実か

予約のサイトを使っていると、予約の確認、変更、キャンセル、ポイントについてのメールが日常的に届きます。本物の案内と偽メールが混ざりやすいので、予約の中身を確かめるときの決まりを持っておくと迷いません。

予約の状況は、メールのリンクからではなく、ブックマークや検索から開いたオズモールにログインして、自分の予約の画面で確かめる
予約先のホテルやレストランに確かめたいときは、予約先の公式サイトに載っている電話番号にかける。メールに書かれた番号は使わない
キャンセル料や支払いの請求がメールで届いたら、予約の画面とカードの明細の両方で、本当にその請求があるかを確かめる
ポイントの失効や会員の資格の停止を知らせるメールは、ログインした画面で残高や会員の状態を見てから判断する

この4つを決めておけば、偽メールの文面がどれだけ本物らしくても、リンクを押す前に立ち止まれます。予約の直前は急いでいることが多いので、「急いでいるときほど、自分で開いた画面で確かめる」と覚えておきます。

メールアドレスを変えるかどうかの考え方

メールアドレスが閲覧された可能性があると聞くと、アドレスそのものを変えたほうがよいのでは、と考える人もいます。ただ、長く使っているアドレスを変えると、登録しているサービスすべての変更が必要になり、手間も大きくなります。

多くの場合は、アドレスはそのまま使い、迷惑メールの振り分けを強め、パスワードの使い回しをやめ、二段階認証を設定する、という対策で足ります。偽メールや迷惑メールが目に見えて増え、仕事や生活に差し支えるようになったときに、アドレスの変更を考えれば間に合います。

これから新しく会員登録をするときは、普段の連絡に使うアドレスとは別に、会員登録用のアドレスを用意しておくのも手です。会員登録用のアドレスに届くメールは、もともと案内や広告が中心なので、偽メールが混ざっていても見分けやすくなります。

偽メールを開いてしまったときの動き方

注意していても、予約の確認のつもりで偽メールを開いてしまうことはありえます。場面ごとの動き方を整理します。

リンクを押しただけで何も入力していない場合は、開いたページを閉じます。何も入力しておらず、ファイルも保存していなければ、多くの場合はそれで足ります。

パスワードを入力してしまった場合は、そのパスワードを使っているサービスで、すぐにパスワードを変えます。警察庁も、フィッシングサイトにIDやパスワードを入力してしまった場合は、それを使っているすべてのサービスで速やかにパスワードを変えるよう案内しています。

カード番号を入力してしまった場合は、カードの裏面の番号でカード会社に連絡し、利用の停止と再発行を相談します。お金の被害が出たときは、最寄りの警察署にも相談します。

添付ファイルを開いた、アプリを入れてしまった場合は、その端末をネットワークから外し、セキュリティソフトで調べます。使い続けると被害が広がるおそれがあるので、確認が終わるまでは大事なサービスへのログインを控えます。

退会した人が確かめること

今回の第2報で、対象に「一部の退会者」が含まれることが明らかになりました。すでにオズモールを退会した人が確かめておきたいことを挙げます。

会員だったときに使っていたメールアドレスが、今も使えるか。使えるなら、スターツ出版からの連絡と不審なメールが届いていないかを確かめる
会員だったときのパスワードを、今もほかのサービスで使っていないか。使っているなら、そちらのパスワードを変える
退会したあとに、オズモールや予約先を名乗る見覚えのないメールが届いていないか

退会者の情報は、取引上の履歴管理として一定期間保存しているとされています。どのくらいの期間、どの範囲の退会者が対象になるかは、発表に書かれていません。退会した時期が古い場合も含めて、心当たりがあれば窓口に確かめると確実です。

問い合わせ窓口

2本の発表に載っている問い合わせ先は次のとおりです。

窓口	内容
名称	スターツ出版株式会社管理部
電話番号	03-6202-0390
受付時間	平日 10時から17時
問い合わせフォーム	スターツ出版の公式サイトのお問い合わせのページ

発表によると、この件に関する問い合わせや、この件に関連する被害の申し出もこの窓口で受け付けています。電話で問い合わせた場合でも、本人確認が必要な内容については、メールでの問い合わせをお願いする場合があるとされています。偽メールに書かれた連絡先には連絡せず、必ず公式の発表に載っている窓口を使います。

スターツ出版とのやり取りで解決しない場合や、偽メールで実際にお金の被害が出た場合の相談先もあります。消費生活のトラブル全般は、消費者ホットライン「188」に電話すると、近くの消費生活センターにつながります。国民生活センターによると、土日祝日の10時から16時に地域の消費生活センターが開いていない場合は、188で国民生活センターが相談を受け付けています（一部地域や年末年始などを除く）。

会社が個人情報の扱いについて法律に沿った対応をしていないと感じたときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」（03-6457-9849、受付時間は9時30分から17時30分、土日祝日と年末年始を除く）に相談できます。

在宅で仕事をする人が気をつけること

在宅で仕事をする人の中には、取引先との会食や打ち合わせの店、出張のホテルを、予約サイトで手配している人もいます。オズモールに登録したメールアドレスを仕事の連絡にも使っている場合、偽メールが仕事の受信箱に届く可能性があります。取引先からの連絡と同じ受信箱に、予約の確認を装った偽メールが紛れ込むと、忙しいときほど開いてしまいやすくなります。

取引先に知らせるかどうかの考え方も整理しておきます。今回閲覧された可能性があるのは、オズモールに登録した本人のメールアドレスと、一部の人の氏名と都道府県です。予約の中身や同行者の情報は、発表の項目に挙がっていません。そのため、自分の情報が対象になっただけなら、取引先に知らせなければならない場面とは一般に考えにくいです。業務委託の契約で、セキュリティの事故をすぐに報告する取り決めがある場合は、それに従います。

一方で、偽メールに仕事のアカウントのパスワードを入力してしまい、取引先から預かったファイルや顧客の名簿に第三者が触れたおそれが出た場合は、話が変わります。個人情報保護委員会は、事業者が国に漏えいを報告しなければならない場面として、病歴など特に配慮が必要な情報が含まれる場合、カード番号などお金の被害につながる情報が含まれる場合、不正アクセスなど不正な目的によるおそれがある場合、本人の数が1,000人を超える場合の4つを示しています。

下記の要件に該当する場合、漏えい等報告が義務付けられています。出典: ppc.go.jp

預かっている情報に第三者が触れたおそれがあるときは、何が起きたか、どの情報が含まれていた可能性があるか、自分が何をしたかを、分かる範囲ですぐに取引先に伝えます。報告や本人への連絡を誰がするかは、契約や事情で変わるので、自分だけで判断せず、取引先の担当者や個人情報保護委員会の相談窓口に確かめながら進めます。

運営者の視点：会員登録を減らすことも備えになる

今回の件では、すでに退会した人の情報も対象に含まれていました。サービスを退会しても、取引の履歴として一定の期間は情報が保存されることがあります。利用者の側から見ると、登録したサービスの数だけ、自分の情報を持っている会社が増えていく、ということです。

在宅ワークとフリーランスの仲介を2004年から続けてきた@SOHOの編集部として、在宅で仕事をする人に伝えたいのは、仕事で使うメールアドレスを、会員登録の多いサービスに使い回さないことです。仕事の連絡用のアドレスと、予約やネット通販の会員登録用のアドレスを分けておけば、どこかで漏えいが起きても、仕事の受信箱に偽メールが届きにくくなります。依頼者と受け手が直接やり取りする手数料0%の取引では、受け手の手取りが厚くなる一方で、連絡の真偽を確かめる役目もそれぞれが担います。仕事の受信箱を守る習慣は、そのまま取引の安心につながります。

情報セキュリティの知識は、それ自体が仕事にもなります。企業の情報セキュリティ対策の支援や、偽メールへの対応の手順づくりといった仕事の内容は、AI・マーケティング・セキュリティのお仕事で紹介しています。お詫びや報告の文書を正確に書く力を示したい人には、ビジネス文書の作成能力を認定するビジネス文書検定が参考になります。偽メールを見抜く訓練を職場で進めたい人は、訓練の進め方をまとめた社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドを、ログインにパスワード以外の要素を組み合わせる仕組みを比べたい人はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版を読んでおくと、漏えいの公表が出たときに落ち着いて動けます。