REXT（WonderGOO・新星堂）のサイバー攻撃｜約104万件の漏えいのおそれと利用者が確かめること 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓REXTへのサイバー攻撃を公式発表で整理
✓ランサムウェアの被害で
✓WonderGOO・新星堂の予約

RIZAPグループ株式会社と、その傘下のREXT Holdings株式会社は2026年10月9日、REXT株式会社が受けたランサムウェアによるサイバー攻撃について、外部の専門機関による調査が完了したと発表しました（第5報）。REXT会員、WonderGOOと新星堂の予約、WonderREXの買取などに関する1,044,906件の情報に漏えいのおそれがあり、別に、攻撃者のリークサイトで会員登録の情報や採用応募者のエントリーシートなどを含むファイル310件の公開が確認されています。クレジットカード情報は含まれていません。 WonderGOO、新星堂、WonderREXを使ったことがある人がまずすることは、REXTやRIZAPグループを名乗るメールや電話を疑い、リンクを開かず、返信もしないことです。個別の連絡が届かない人もいるため、気になる場合は対策本部のメール窓口（[email protected]）に問い合わせます。

この記事では、RIZAPグループとREXT Holdingsの公式発表（2026年8月10日の第1報から10月9日の第5報まで）だけをもとに、2026年10月20日時点で分かっていることと分かっていないこと、自分が対象かの確かめ方、偽の連絡の見分け方を整理します。報道の数字ではなく、会社が発表した表現をそのまま使っています。

REXTへのサイバー攻撃の要点（2026年10月20日時点）

最初に、5回の発表で分かったことを短く整理します。

攻撃を受けたのは、RIZAPグループの連結子会社であるREXT Holdingsと、その子会社のREXT（発表では両社を合わせて「REXT社ら」と呼んでいる）
2026年8月9日に、ランサムウェアによる不正アクセスでシステム障害が発生。本部と店舗のサーバーやパソコンの多くが暗号化された
WonderGOO、WonderREXなどREXTが運営する店舗と、RIZAP株式会社の「APORITO」事業で、一部店舗の休業やサービスの制限が出た。現在は全店で営業を再開
攻撃者のリークサイトで、ファイル310件（約54MB）の公開を確認。会員登録の情報、採用応募者のエントリーシート、取引先との請求書などが含まれる
暗号化の被害を受けたサーバーにある1,044,906件の情報は、盗まれた事実は確認されていないが、アクセスを否定できないため「漏えいのおそれ」として扱われている
1,044,906件の項目は、会員コード、氏名、フリガナ、生年月日、性別、郵便番号、住所、電話番号、メールアドレス。クレジットカード情報は含まれない
2026年10月9日時点で、漏えいしたおそれのある情報が悪用された二次被害（不正利用や不当な請求など）は確認されていない

ランサムウェアとは、会社のパソコンやサーバーに入り込み、中のデータを暗号化して使えなくしたうえで、元に戻すことと引き換えに金銭を要求する不正なプログラムのことです。最近は、データを暗号化するだけでなく、盗んだデータを「リークサイト」と呼ばれる攻撃者のWebサイトで公開すると脅す手口が多く見られます。今回もリークサイトでファイルの公開が確認されています。

この件で押さえておきたいのは、「公開を確認した情報」と「漏えいのおそれがある情報」が分けて発表されている点です。前者は実際に外に出たことが確かめられた情報、後者は盗まれたかどうかは分からないものの、その可能性を否定できない情報です。1,044,906件という数字は後者の件数で、この全部が外に出たと確定したわけではありません。

公表の経緯：第1報から第5報まで

RIZAPグループの発表は5回に分かれています。日付ごとに分かったことを並べます。

日付	発表	分かったこと
2026年8月9日	（発生）	ランサムウェアによる不正アクセスで、社内ネットワークの一部にシステム障害
2026年8月10日	第1報	システム障害の発生を公表。WonderGOO、WonderREXなどの店舗とAPORITO事業で、一部店舗の休業やサービスの制限
2026年8月14日	第2報	外部の専門機関による詳細調査を開始し、法令に基づき公的機関へ報告。全店舗の営業再開を8月16日と見込む
2026年8月31日	第3報	8月16日に全店舗で営業を再開。一部のサービスや決済方法の制限は9月上旬をめどに解消の見込み
2026年9月11日	第4報	流出した可能性のある情報の一部がインターネット上に掲載されていることを確認。個人情報保護委員会へ報告し、警察へ相談。専用の問い合わせ窓口を設置
2026年10月9日	第5報	外部の専門機関による詳細調査が完了。原因、被害の状況、公開を確認した情報と漏えいのおそれがある情報を発表

第1報から第3報までは「システム障害」の発表で、店舗の営業への影響が中心でした。第4報で初めて、情報の一部がインターネット上に掲載されていることが分かり、「情報漏えいのおそれ」の発表に変わりました。第5報で調査が完了し、件数と項目が示されています。

第5報は、RIZAPグループの第5報のお知らせと、REXT Holdingsの第5報のPDFの両方で公表されていて、中身は同じです。2026年10月20日時点で、REXTの件についてこれより後の続報は出ていません。会社は「新たな重大な事実が確認された場合には、速やかにご報告いたします」としています。

なお、RIZAPグループは2026年10月16日に、グループ各社の一部のWebサイトで使っている外部のWeb制作サービス「Studio」の運営会社で不正アクセスがあったとして、対象のWebサイトの公開を一時停止したと発表しています。こちらはREXTのランサムウェアの件とは別の事案で、対象はchocoZAPやRIZAPの各サイトです。同社は、対象のWebサイトでは原則として個人情報を保持しておらず、例外的に過去の問い合わせフォームの入力内容を一時的に保持していた（最大16件）と説明しています。WonderGOOや新星堂の利用者が、この件で新たに対象になったという発表はありません。

公開を確認した情報と、漏えいのおそれがある情報

第5報の中身を、2つの区分に分けて表にしました。

公開を確認した情報（漏えいを確認したもの）

リークサイトで掲載を確認したファイルは合計310件、データ容量は約54MBです。

区分	主な内容
採用応募者に関する情報	エントリーシート（氏名、性別、生年月日、住所、メールアドレス、電話番号）
従業員に関する情報	人事関係書類など
会員登録に関する情報	会員コード、氏名、フリガナ、生年月日、性別、郵便番号、住所、電話番号、メールアドレス
取引先へ発行した請求書	取引先の名称、住所、電話番号、FAX番号、振込口座情報、取引金額など
取引先から受け取った請求書と支払通知書	取引先の名称、住所、電話番号、FAX番号、振込口座情報、取引金額など
会計・給与に関連する資料、発注に関するデータ、店舗のPOS・売上・在庫データ、システム関連ファイルなど	個人情報なし

このうち、採用応募者と従業員の個人情報を含むファイルについては、対象の27名に2026年9月中旬に個別に通知済みとされています。会員登録をした利用者と取引先については、第5報の発表の後、速やかに個別に連絡して説明するとしています。公開された会員登録の情報が何人分なのかは、発表には書かれていません。

漏えいのおそれがある情報

項目	内容
対象	REXT社とREXT Holdings社の従業員の情報、REXT会員登録に関する情報、WonderGOOと新星堂の事業の予約に関する利用者の情報、WonderREXの事業の買取に関する利用者の情報、APORITO事業の顧客と取引先の情報
件数	1,044,906件
情報の項目	会員コード、氏名、フリガナ、生年月日、性別、郵便番号、住所、電話番号、メールアドレス
クレジットカード情報	含まれていない

第5報は、この区分について「暗号化の被害を受けたサーバーは、情報が窃取されたことを示す事実は確認されておりませんが、当該サーバーへのアクセスを否定できないことから、漏えいのおそれがあるものとして取り扱っております」と説明しています。さらに、2026年10月9日時点で、攻撃者のリークサイトで、これらの利用者の情報の公開は確認されていないとしています。

パスワードについては、どちらの区分にも記載がありません。クレジットカード情報は、漏えいのおそれがある情報の表で「含まれておりません」と明記されています。

「公開を確認」と「おそれ」で、利用者の備えは変わるか

2つの区分の違いは大きく見えますが、利用者の側でやることは、ほとんど変わりません。理由を整理しておきます。

公開を確認した情報は、すでに攻撃者のリークサイトに載ったものです。誰がそのデータを手に入れたかは分からず、名簿として出回るおそれがあります。この区分に入っている人には、会社から個別の連絡が届くとされているので、連絡が来た人は、偽の連絡への備えを今日から始めてください。

漏えいのおそれがある情報は、盗まれたと確認されたわけではありません。ただ、会社自身が「アクセスを否定できない」としている以上、盗まれていないと言い切ることもできません。ランサムウェアの攻撃では、時間がたってからデータが公開されたり、売買されたりすることもあります。会社がダークウェブなどの監視を続けているのは、そのためです。

利用者にとって大事なのは、どちらの区分でも、漏れた（漏れたおそれがある）項目が同じだという点です。会員コード、氏名、フリガナ、生年月日、性別、郵便番号、住所、電話番号、メールアドレスがひとそろいで含まれます。どちらの区分に入っているか分からなくても、この項目を使った偽の連絡に備える、という点では同じ動き方で構いません。

採用に応募したことがある人

公開を確認した情報には、採用応募者のエントリーシートも含まれています。会社は、採用応募者と従業員で個人情報を含むファイルの対象になった27名に、2026年9月中旬に個別に通知済みとしています。過去にREXTの求人に応募したことがある人で、通知が届いていない人は、公開が確認されたエントリーシートには含まれていないと読めますが、応募のときに登録した情報が漏えいのおそれがある情報に入るかどうかは発表からは分かりません。気になる場合は対策本部の窓口に確かめてください。

店舗とサービスは使えるのか

第5報では、侵入経路の対策とランサムウェアの駆除が完了し、全店で営業を再開しているとされています。第3報の時点では、一部の店舗でサービスや決済方法に制限が残っていましたが、9月上旬をめどに解消の見込みと発表されていました。店舗やサービスを使うこと自体を控えるよう求める発表はありません。

原因：ネットワーク機器を経由した侵入の可能性

原因について、第5報は次のように書いています。

調査の結果、システム障害を検知した以前より、攻撃者がREXT社らのネットワーク内に侵入していたことが確認されました。攻撃者がネットワーク機器を経由して、REXT社らのネットワークへ侵入した可能性が高いとの見解が示されております。出典: rizapgroup.com

ネットワーク機器とは、会社の中のネットワークと外のインターネットをつなぐ装置のことで、ルーターや、社外から社内のネットワークに安全に接続するための装置などがこれに当たります。家にたとえると、玄関や勝手口です。そこから入られた可能性が高い、というのが外部の専門機関の見解です。どの機器の、どんな弱点が使われたのかは、発表には書かれていません。

もう1つ大事なのは、システム障害に気づく前から、攻撃者がネットワークの中に入り込んでいたことが確認された点です。ランサムウェアの攻撃では、侵入してすぐに暗号化するのではなく、しばらく中にとどまって情報を集め、持ち出してから暗号化することがあります。今回リークサイトで公開されたファイルが、いつ、どうやって持ち出されたのかは、発表には書かれていません。

被害の状況として、2026年8月9日未明から朝にかけて、本部と店舗のサーバーやパソコンなど、調査の対象にした機器の多くで暗号化の被害が確認されています。これによりPOSシステム（店頭のレジの仕組み）や会計システムなどの業務システムが止まり、一部店舗の営業に影響が出ました。

同じ時期には、ほかの会社でもランサムウェアや不正アクセスの被害が相次いで発表されています。ただ、REXTの発表はほかの会社の事案との関係には触れていません。この記事でも、この件はRIZAPグループとREXT Holdingsの発表の範囲だけで扱います。

会社の対応：個別の連絡と、公表による連絡

5回の発表に書かれている会社の対応をまとめます。

外部の専門機関による詳細調査を実施し、第5報の時点で完了
個人情報保護委員会へ報告し、第5報の調査結果も提出。警察にも相談
採用応募者と従業員で公開が確認された27名には、2026年9月中旬に個別に通知済み
公開が確認された会員登録の利用者と取引先には、第5報の発表の後、速やかに個別に連絡
漏えいのおそれがある1,044,906件のうち、個々に特定して連絡することが難しい人には、第5報の公表をもって個別の連絡に代える
侵入経路の対策と、ランサムウェアの駆除が完了
全店で営業を再開
外部の専門機関とともに、ダークウェブなどの監視を継続（第4報）
専用の問い合わせ窓口（REXT Holdings 対策本部、[email protected]）を設置

ダークウェブとは、通常の検索では見つからず、特別なソフトを使わないと見られないインターネット上の場所のことで、盗まれた情報の売買に使われることがあります。会社が監視を続けているのは、漏えいのおそれがある情報が後から出回らないかを見張るためです。

特に注意したいのが、「本公表をもって、個別のご連絡に代えさせていただきます」という部分です。WonderGOOや新星堂で予約したとき、WonderREXで買取を頼んだときに、連絡先を正しく登録していなかった人や、連絡先が変わった人には、会社から個別の連絡が届かない可能性があります。連絡が来ないことは、対象外という意味ではありません。

発表に書かれていないこともあります。お詫びの品や補償についての記載はありません。会員のパスワードを初期化したという記載もありません。この記事では、発表に無いことを「ある」「ない」と決めつけず、2026年10月20日時点で記載がない、という事実だけを書いておきます。

会社が個人情報保護委員会へ報告し、本人へ知らせるのは、法律で決まった手順です。個人情報保護委員会は個人情報の扱いを監督する国の機関で、不正な目的で行われたおそれがある漏えいや、本人の数が1,000人を超える漏えいなどは、会社に報告と本人への通知が義務づけられています。連絡先が分からないなど本人への通知が難しい場合は、事案の公表や、本人が自分の情報が対象かを確かめられる問い合わせ窓口の公表といった、代わりの方法をとることが認められています。決まりの中身は個人情報保護委員会の漏えい等の対応のページで確かめられます。

自分が対象かを確かめる方法

1. どのサービスを使ったことがあるかを思い出す

漏えいのおそれがある情報の対象は、次のどれかに当てはまる人です。

REXTの会員登録をしたことがある
WonderGOOか新星堂で、商品の予約をしたことがある
WonderREXで、買取を頼んだことがある
APORITOの事業の顧客や取引先として情報を登録したことがある
REXTやREXT Holdingsで働いている、または働いていた

当てはまるものがあれば、対象に入っている可能性があります。WonderREXで買取を頼んだときに、本人確認の書類を見せたり、氏名や住所、生年月日を書いたりした覚えがある人は、そうした情報が登録されていた前提で考えてください。

2. 会社からの個別の連絡を確かめる

公開が確認された会員登録の利用者には、第5報の後に個別の連絡が届くとされています。登録したメールアドレスの受信箱と迷惑メールのフォルダ、自宅への郵便物を確かめてください。どの手段で連絡するのかは、発表には書かれていません。

3. 連絡が来ないときは、対策本部の窓口に問い合わせる

漏えいのおそれがある1,044,906件のうち、個々に特定して連絡することが難しい人には、個別の連絡は届かず、公表をもって連絡に代えるとされています。会社は、不明な点や心配な点があれば問い合わせ窓口に連絡するよう案内しています。後の節にある窓口に、使ったことのあるサービスと時期を伝えて問い合わせてください。

4. 同じメールアドレスがほかの漏えいに含まれていないか調べる

登録したメールアドレスを、ほかのサービスでも使っている人は、過去の別の漏えいに含まれていないかも調べておくと安心です。調べ方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で、画面の順に説明しています。

利用者がすること

漏れた、または漏れたおそれがあるのは、氏名、住所、電話番号、生年月日、メールアドレスといった、本人を特定できる情報のひとそろいです。クレジットカード情報は含まれないとされているので、一番の備えは「偽の連絡を疑うこと」です。

1. REXTやRIZAPグループを名乗る連絡を疑う

会社は、REXTやグループ各社を名乗る不審なメール、電話、連絡を受け取ったら、本文のリンクにアクセスしたり返信したりしないよう呼びかけています。「お詫びのクーポンを送ります」「買取代金の再振込の手続きが必要です」「予約商品の受け取りの確認をしてください」のように、利用したサービスに合わせた口実の連絡は本物らしく見えます。発表には、補償の手続きや振込先の確認をメールで求めるという記載はありません。

2. 電話で個人情報を聞かれたら、一度切る

電話番号と住所、生年月日まで漏れたおそれがあるため、会社や警察、役所を名乗る電話がかかってくる可能性があります。相手が生年月日や住所を言い当ててきても、それは今回漏れた情報かもしれません。電話で口座番号や暗証番号、カード番号を伝えてはいけません。一度切り、公式サイトに載っている連絡先へ自分から確かめます。

3. 郵便物と訪問にも注意する

住所が漏れたおそれがある人は、ダイレクトメールや、会社名をかたった郵便の請求書、訪問にも注意が要ります。郵便で届いた請求書に書かれた振込先や電話番号は、会社の公式サイトの情報と照らし合わせてから使います。住所が漏れたときに起きやすいことと、その備え方は個人情報が流出して住所が漏れたときの対応にまとめています。

4. パスワードの使い回しを見直す

発表には、パスワードの漏えいについての記載はありません。ただ、メールアドレスが漏れたおそれがある人は、そのアドレスでほかのサービスへの不正ログインを試される的になりやすくなります。REXTの会員登録と同じメールアドレスと同じパスワードを、ほかのサービスで使っている場合は、別々のパスワードに変えておくと安心です。

5. 二段階認証を設定する

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなど、もう1つの手段で本人かを確かめる仕組みです。パスワードが知られても、それだけではログインできなくなります。ネットバンク、メール、ネット通販から順に設定すると、被害が大きくなりやすいところを先に守れます。選び方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で整理しています。

だまされたかもしれないときの相談先

お金をだまし取られた、アカウントを乗っ取られたといった被害は、警察庁のサイバー事案に関する相談窓口から都道府県警察に相談できます。パソコンやスマートフォンのウイルスの心配など技術的な相談は、情報処理推進機構（IPA）の情報セキュリティ安心相談窓口（電話03-5978-7509、10時から17時、土日祝日と年末年始を除く）が受け付けています（IPAの情報セキュリティ安心相談窓口）。商品やサービスの契約のトラブルは、消費者ホットラインの188で地域の消費生活センターにつながります。

問い合わせ窓口

第5報に載っている、この件の問い合わせ先は次のとおりです。

窓口	受け付けの方法
REXT Holdings株式会社対策本部お問い合わせ窓口	メール（[email protected]）

発表には、この件専用の電話番号や受付時間は書かれていません。問い合わせはメールで行う形です。

メールを送るときは、使ったことのあるサービス（REXT会員、WonderGOOや新星堂の予約、WonderREXの買取など）と、だいたいの時期、登録した名前とメールアドレス、知りたいこと（自分が対象か、どの項目が含まれるか）を短く書いておくと、やりとりが少なくて済みます。パスワードや口座番号、カード番号を書く必要はありません。

宛先のアドレスは、届いたメールに書かれたものではなく、RIZAPグループやREXTの公式サイトの発表で確かめたものを使ってください。偽の問い合わせ窓口に個人情報を送らせる手口があるからです。

会社の対応に納得がいかないときや、個人情報の扱いについて一般的な相談をしたいときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」も使えます。電話は03-6457-9849、受付時間は9時30分から17時30分（土日祝日と年末年始を除く）です（個人情報保護法相談ダイヤル）。

在宅で仕事をする人、取引先の立場の人が気をつけること

REXTの件では、利用者だけでなく、取引先の請求書や振込口座の情報も公開が確認されています。在宅で仕事を受けている人には、利用者として、また取引先として考えておきたいことがあります。

REXTやAPORITOと取引していた場合

公開を確認した情報には、取引先へ発行した請求書と、取引先から受け取った請求書や支払通知書が含まれ、取引先の名称、住所、電話番号、FAX番号、振込口座情報、取引金額などが載っています。フリーランスや個人事業主としてREXTやAPORITOの事業と取引があった人は、自分の屋号や口座の情報が含まれている可能性があります。会社は、取引先には第5報の後に個別に連絡するとしています。

振込口座の情報が外に出ると、その口座あてに「振込先が変わりました」と偽る請求の連絡が、ほかの取引先に送られる手口が考えられます。取引先から「口座が変わった」という連絡が来たら、メールだけで信じず、電話など別の手段で確かめる、という取り決めを日ごろから持っておくと防げます。この手口はビジネスメール詐欺と呼ばれ、偽メールの見分け方は社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドでも解説しています。

取引先の情報を預かる立場として

個人情報保護委員会のガイドラインでは、個人情報をデータベースにして事業に使っている人は、規模に関係なく「個人情報取扱事業者」に当たるとされ、フリーランスや個人事業主も対象になります。ただ、今回のように取引先の側で漏えいが起きた場合、法律上の報告と本人への通知の義務を負うのは、まずその情報を扱っていたREXTの側です。自分が預かっていた第三者の個人情報を、REXTやAPORITOとの取引でやりとりしていた場合に、自分にも報告や通知の義務があるかどうかは、情報の中身や契約の中身で変わります。判断に迷うときは、個人情報保護委員会の相談ダイヤルで確かめてください。

取引先に知らせた方がよい場面

自分の屋号やメールアドレスを名乗る偽の請求書や連絡が、自分の取引先に届くおそれがあるときは、取引先に一言伝えておくと被害を防げます。「自分の名前で振込先の変更を伝える連絡が届いたら、必ず電話で確かめてほしい」と伝えておけば十分です。

漏えいが続くいま、在宅で働く人がアカウントを守るために

2026年10月は、小売、百貨店、新聞社、予約サイトと、日常で使うサービスで個人情報の漏えいの発表が相次ぎました。REXTの件のように、ランサムウェアの攻撃では、利用者の情報だけでなく、取引先の請求書や口座の情報まで一緒に持ち出されることがあります。利用者としても、取引先としても、漏えいの後の偽の連絡にどう備えるかが問われます。

2004年から在宅ワークとフリーランスの仲介を続けてきた@SOHOの運営で見てきた範囲では、取引が長く続く人ほど、アカウントと連絡の管理を仕事の信用の一部として扱っています。仕事用と私用のアドレスを分ける、パスワードを使い回さない、振込先の変更は必ず電話で確かめる、という取り決めを取引先と最初に交わしておく。こうした地味な備えを済ませている人は、万一のときにも慌てずに済み、取引先からも安心して任されます。

ネットワークやセキュリティの知識を在宅の仕事に生かしたい人は、AI・マーケティング・セキュリティのお仕事で、どんな仕事があるかを見ておくと、漏えい対策の知識が仕事につながる場面が分かります。ネットワーク機器の仕組みを基礎から学びたい人には、CCNA（シスコ技術者認定）のような資格が入口になります。

まずは今日、WonderGOO、新星堂、WonderREX、REXT会員のどれかを使ったことがあるかを思い出し、当てはまるなら、REXTやRIZAPグループを名乗る連絡を疑ってかかってください。心配な点があれば対策本部のメール窓口に問い合わせ、使い回しているパスワードを変えておけば、今回の漏えいのおそれで起こりうる被害の多くに備えられます。

よくある質問

Q. 約104万件の情報は、すべて外に出てしまったのですか？

2026年10月9日の第5報では、1,044,906件は「漏えいのおそれがある情報」とされています。暗号化の被害を受けたサーバーから情報が盗まれた事実は確認されていないものの、アクセスを否定できないためです。10月9日時点で、これらの利用者の情報がリークサイトで公開されたことは確認されていないと発表されています。

Q. WonderGOOで買い物をしただけでも対象になりますか？

第5報で漏えいのおそれがあるとされたのは、WonderGOOと新星堂の事業の予約に関する利用者の情報、WonderREXの買取に関する利用者の情報、REXT会員登録の情報などです。店頭で買い物をしただけで会員登録や予約をしていない場合が含まれるかは、発表には書かれていません。気になる場合は対策本部のメール窓口（[email protected]）で確かめてください。