ブックオフの会員情報流出（最大約643万件）：氏名・住所・メール・パスワードのハッシュ値などが漏れたおそれと、会員がやること

発表は「当社子会社が提供する会員情報を管理するシステム」とだけ書いており、子会社の名前や、どのサービスの会員が対象かを明らかにしていません。漏れたおそれのある項目にポイントカード番号と会員番号が含まれています。

最大約643万件という数は、漏えいした可能性のある会員番号の件数で、対象者の実際の人数ではないと同社は説明しています。当サイトは、ブックオフの会員登録をしたことがある人は、個別の連絡を待たずに以下を進めることを勧めます。

同社の発表は、パスワードの変更を求めていません。漏れたおそれがあるのはパスワードのハッシュ値（元のパスワードに戻せない形に変換した値）で、同社は「そのままでは読み取りできない情報」と説明しています。

それでも一般に、短いパスワードやよく使われるパスワードは、ハッシュ値から元の文字列を推測されることがあります（仕組みは パスワードハッシュとは）。推測されたパスワードとメールアドレスの組み合わせは、他のサービスへのログインに試されます。

そのため当サイトは、同じパスワードを使っている他のサービス、特にメール・ネット通販・金融のサービスのパスワードを変えることを勧めます。ブックオフ側のパスワードも、変更できる画面があれば変えておくと安心です。使い回しをやめるには パスワードマネージャー が現実的で、ログインに 2段階認証 を足せばさらに安全になります。

同社は、同社グループや関係先を装ったメール、SMS、電話が届く可能性があるとして、身に覚えのない連絡のURLや添付ファイルを開かず、個人情報や認証情報を入力しないよう呼びかけています。

同社グループが、メール、SMS、電話等でパスワード、認証コード、クレジットカード情報、銀行口座情報等を尋ねることはないとしています。これらを聞かれたら偽物です（見分け方は フィッシングとは）。

同社のお問い合わせページの案内（10月10日に確認）によれば、同社は「来週より2週間ほどかけて」対象者に順次メールで連絡を始める予定です。つまり、本物のお知らせと、それに似せた偽のメールが同じ時期に届く可能性があります。

当サイトは、お知らせのメールが届いてもメール内のリンクからログインしないことを勧めます。内容は、公式アプリか、自分でブックマークや検索から開いた公式サイトで確かめてください。

同社は、不審な連絡や身に覚えのない利用を確認した場合は、お問い合わせ窓口へ連絡するよう求めています。公式アプリやオンラインストアにログインできる人は、ポイントの残高や利用の履歴、登録内容に知らない変更がないかを見ておいてください。なお同社は、発表の時点で会員情報の書き換えは確認されていないとしています。

発表に載っている窓口は、お客様窓口の電話 0570-01-2902（ナビダイヤル、10時〜18時30分）と、ブックオフグループホールディングスのサイトにある本件専用のお問い合わせフォームです。窓口は、自分で開いた公式サイトのお知らせから確かめてください。届いたメールやSMSに書かれた番号やURLは使わないでください。

漏えいの通知メールは、それに似せた偽メールの見本になります。通知に「こちらからログインしてパスワードを変更」というリンクがあると、偽メールも同じ形で作れてしまいます。

通知メールにはリンクを入れず、「公式アプリまたは公式サイトのお知らせをご確認ください」と書く形にすると、利用者に「リンクは開かない」と一貫して案内できます。送信元のアドレスと件名を、事前に公式サイトのお知らせで告知しておくのも有効です。

パスワードのハッシュ値が漏れたとき、元のパスワードがどれだけ割り出されにくいかは、方式で大きく変わります。保存に使っている方式が、パスワード専用の遅い方式（bcrypt、Argon2 など）で、ソルト を付けているかを確かめてください。

あわせて、ハッシュ値が漏れたときに利用者へ何を求めるか（全員にパスワード変更を求めるか、使い回しの変更を案内するか）を事前に決めておくと、公表の文面に迷いません。詳しくは パスワードハッシュとは にまとめています。