対象：Joshin（旧・上新電機）の会員、ジョーシンのサブスクの利用者、Joshinにリフォームを頼んで写真をアップロードした人。本記事は株式会社Joshinの公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月28日時点まだ分かっていないこと
- 漏えいが確定したかどうかと、その件数
- 件数と人数の関係（重なり）
- 原因・侵入の経路
- 停止しているサービスと再開の時期
- 会員情報・サブスクの対象者への個別連絡の有無
- 補償の有無
同社は10月26日の第2報で、「今後、公表すべき新たな事実が判明した場合には、当社公式ホームページ等を通じて速やかにお知らせいたします」としています。続報の時期は書かれていません。10月28日に同社のお知らせ一覧を確認し、第3報が出ていないことを確かめました。
Joshinの会員・サブスク利用者が今日やること
自分が対象になり得るかを知る
第2報で漏えいした可能性があるとされたのは、次の3つのシステムの情報です。
- 会員情報データベースサーバー：最大約600万件（氏名・住所・電話番号・会員番号）
- ジョーシンのサブスク：最大約23万件（会員番号、ログインID・初期パスワード、請求履歴など）
- リフォーム写真アップロードシステム：最大約800件（工事写真データ、少数の免許証画像・マイナンバーカード・口座番号）
会員情報データベースサーバーがどの会員サービスのものか、いつ登録した人が対象かは発表に書かれていません。Joshinの会員になったことがある人は、対象の可能性がある前提で次の手順に進みます。
Joshinを名乗るメール・SMS・電話のリンクや番号は使わない
同社は、同社を装った不審なメール・SMS・電話が行われる可能性があるとして注意を呼びかけています。今回の項目には氏名・住所・電話番号・会員番号が含まれるため、偽の連絡がこれらを正しく書いてくることはあり得ます。
「会員情報の確認」「ポイントの失効」「お詫びの返金」などの連絡が来ても、本文のリンクや書かれた電話番号は使わず、自分で開いた公式サイトか、発表に載っているお客様相談窓口（電話06-6631-1323、受付時間9:30〜18:30）で確かめます。
ジョーシンのサブスクの利用者：初期パスワードのままなら変える
ジョーシンのサブスクでは、ログインIDと初期パスワードが漏えいした可能性のある項目に挙がっています。同社は発表でパスワードの変更を求めていませんが、当サイトとしては、初期パスワードのまま使っている人は変更することを勧めます。停止中のサービスに当たる場合は、再開後に公式サイトから行います。
同じパスワードを他のサービスでも使っているなら、そちらも変えます（パスワード漏えいの確認方法／パスワードマネージャーの選び方）。使えるサービスでは2段階認証を有効にします。
サブスクの請求に覚えのない変化がないか確かめる
請求履歴・契約番号も漏えいした可能性のある項目です。契約内容や請求が正しいかは、届いた連絡ではなく、自分で開いた公式サイトや契約時の書類で確かめます。カード情報は同社が保持していないとしているため、カード番号の入力を求める連絡は特に疑ってください。
免許証・マイナンバーカード・口座番号の対象者：個別の連絡を窓口で確かめる
リフォーム写真アップロードシステムでは、免許証画像2件、マイナンバーカード1件、口座番号5件が漏えいした可能性があり、同社は該当する人に個別に連絡をとっているとしています。連絡を受けたら、まずそれが本物かを、発表に載っている窓口に自分で電話して確かめます。
- 免許証の画像：対策は運転免許証の情報が漏れたらにまとめています
- マイナンバー：原則として変わりませんが、番号法第7条第2項により、漏えいして不正に用いられるおそれがあると認められるときは、市区町村長が新しい番号を指定できます。必要なら住民票のある市区町村に相談します
- 口座番号：暗証番号やパスワードを聞く連絡には応じず、不審な点があれば取引先の銀行や警察に相談します（全国銀行協会・警察庁の一般的な注意。本件についての注意ではありません）
① Joshinを名乗るメール／SMS／電話
氏名・住所・会員番号が正しい → ここでは判断しない
↓
② リンク・番号は使わず、公式サイトを自分で開くか、発表の窓口に自分で電話する
お客様相談窓口 06-6631-1323（9:30〜18:30）
↓
③-A 確かめられない要求
カード番号・暗証番号・パスワード・書類の画像の送信 → 応じない
③-B 窓口でも同じ案内がある
手続きは公式サイト・窓口の案内に沿って行う
何が起きたのか（Joshinの発表より）
以下は、株式会社Joshinが2026年10月17日に公式サイトで公表し（19日に東京証券取引所へ開示）、10月26日に第2報として開示した内容にもとづきます。同社は2026年4月1日に、社名を上新電機株式会社から株式会社Joshinに変更しています（証券コード8173）。件数はシステムごとに分かれているため、当サイトでは足し合わせていません。
2026年10月16日（金）
ネットワークの異常を検知。調査で、ネットワークの一部が不正アクセスを受けた形跡を確認。形跡が見られるサーバーをネットワークから遮断するなどの措置をとり、外部の専門機関に調査を依頼。この結果、一部のサービスが利用できない状態に10月16日以降
個人情報保護委員会と警察へ相談・報告（第2報では「本件発生の確認後、直ちに」と記載）10月17日（土）
公式サイトで第1報を公表。情報流出の有無は確認中とした10月19日（月）
同じ内容を東京証券取引所へ開示10月26日
第2報を開示。漏えいした可能性がある情報と件数を公表
- 会員情報データベースサーバー
- 最大約600万件。氏名、住所、電話番号、会員番号
- ジョーシンのサブスク
- 最大約23万件。会員番号、電話番号＋手書きサイン（バイナリデータ）、ログインID・初期パスワード、請求履歴、契約番号・デバイスID、有効化コード
- リフォーム写真アップロードシステム
- 最大約800件。免許証画像2件・マイナンバーカード1件・口座番号5件（該当者には個別に連絡）と、リフォーム施工中の工事写真データ
- 件数の意味
- 漏えいした可能性のある総件数で、個人情報の漏えいが確定した件数ではない（同社）
- クレジットカード情報
- 決済情報を保持しない方式に対応しており、保持していない（同社）
- 問い合わせ
- 株式会社Joshin お客様相談窓口：電話 06-6631-1323（受付時間9:30〜18:30）、発表に載っているメール窓口
第1報（10月17日）の段階では、同社は情報流出の有無を確認中とし、個人情報漏えいの可能性を否定できないとして個人情報保護委員会へ第一報を入れたとしていました。第2報で、システムごとの項目と件数が初めて示されました。被害の全容は調査中としています。
分かっていること・分かっていないこと
2026年10月28日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスがあったこと | ネットワークの一部が不正アクセスを受けた形跡を確認 | 確定（同社） |
| 氏名・住所・電話番号・会員番号（会員情報データベースサーバー） | 最大約600万件 | 可能性（同社） |
| ジョーシンのサブスクの会員番号・電話番号＋手書きサイン・ログインID・初期パスワード・請求履歴・契約番号・デバイスID・有効化コード | 最大約23万件 | 可能性（同社） |
| 免許証画像・マイナンバーカード・口座番号 | それぞれ2件・1件・5件（リフォーム写真アップロードシステム、最大約800件の内数） | 可能性（同社） |
| リフォーム施工中の工事写真データ | リフォーム写真アップロードシステム | 可能性（同社） |
| クレジットカード情報 | 保持していない | 含まれない（同社） |
| 漏えいが確定したかどうか | 件数は確定した件数ではないと明記。漏えいの有無は継続して調査 | 調査中 |
| 件数と人数の関係 | 件数で公表。システム間・システム内の重なりは記載なし | 記載なし |
| 対象となる会員の範囲（会員サービス・登録時期） | 記載なし | 記載なし |
| 原因・侵入の経路 | 記載なし | 記載なし |
| 停止しているサービスと再開の時期 | 一部のサービスが利用できないとするが、どのサービスか・再開時期は記載なし | 記載なし |
| 個別連絡（免許証・マイナンバーカード・口座番号の該当者） | 該当者には個別に連絡をとっている | 確定（同社） |
| 個別連絡（会員情報・サブスクの対象者） | 記載なし | 記載なし |
| 悪用・二次被害 | 記載なし。不審な連絡の可能性への注意を呼びかけ | 記載なし |
| 補償 | 記載なし | 記載なし |
読み方の注意：「可能性」の件数で、人数でもない
同社は、件数は「漏洩した可能性のある総件数」で、個人情報漏えいが確定した件数ではないとしています。数字はすべて「件」で、同じ人が複数のシステムに登録していれば人数はこれより少なくなり得ますが、重なりは書かれていません。当サイトでは「漏えいした」とは書かず、「漏えいした可能性がある」と書いています。
漏れた可能性のある項目の組み合わせで何が起きうるか
以下は、今回の項目の組み合わせから一般に起きうることで、本件で起きたと同社が公表しているものではありません。
- 氏名＋住所＋電話番号＋会員番号：Joshinを名乗るSMS・電話・郵便で、会員番号を示して「本人確認」を装う連絡が作れる
- サブスクの契約番号・請求履歴：「お支払いの確認」「契約の更新」を装い、具体的な契約内容を書いた偽の連絡が作れる
- ログインID＋初期パスワード：初期パスワードのままのアカウントや、同じパスワードを使い回したほかのサービスへの不正ログインに使われうる
- 免許証画像・マイナンバーカード・口座番号：本人になりすました申し込みや、銀行を装う連絡に使われうる（対象は少数で、同社が個別に連絡している）
どれも、届いた連絡のリンクや番号を使わず、自分で開いた公式サイトや発表の窓口で確かめれば防げるものが中心です。
運営者が見直すこと
原因は公表されていないため、ここでは公表された内容から言えることだけを挙げます。
- 持たない情報は漏れない：同社は決済情報を保持しない方式に対応しており、今回の発表でもクレジットカード情報は保持していないと明記しています。カード番号を自社で持たない設計は、侵入があったときに対象を狭めます。
- 用途ごとのシステムに何が届いているかを棚卸しする：工事写真をアップロードするシステムでも、少数ながら免許証画像・マイナンバーカード・口座番号が、漏えいした可能性のある情報として挙がっています。一般に、ファイルを受け付ける仕組みには、想定外の書類が送られてくることがあります。受け付けたファイルを、要る期間だけ、要る人だけが見られる形で持っているかを見直します。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない原因・人数・対象範囲は推測していません。
- 株式会社Joshin「不正アクセスによるシステム障害発生のお詫びとお知らせ（第2報）」（2026年10月26日） — joshin.co.jp（PDF）
- 株式会社Joshin「不正アクセスによるシステム障害発生のお詫びとお知らせ」（2026年10月17日公式サイト掲載） — joshin.co.jp（PDF）
- 同（2026年10月19日、東京証券取引所への開示） — joshin.co.jp（PDF）
- 株式会社Joshin「トップメッセージ」（社名変更について） — joshin.co.jp
- 行政手続における特定の個人を識別するための番号の利用等に関する法律 第7条 — e-Gov法令検索
- 全国銀行協会（一般的な注意） — zenginkyo.or.jp ／ 警察庁（一般的な注意） — npa.go.jp
更新履歴
2026-10-28：初版。株式会社Joshinの10月17日の発表（19日開示）と10月26日の第2報にもとづく（10月28日にお知らせ一覧を確認、第3報なし）。原因・確定した件数・補償が公表されたら更新します。
次に読む
- 免許証などの画像が漏れたときの対策：運転免許証の情報が漏れたら：悪用を防ぐためにやること
- 本人確認書類と口座情報が対象になった事案：らしんばんへの不正アクセス
- 同じ時期の国内の小売の事案：ミスターマックス（会員の氏名・メール・電話）
- 便乗詐欺への備え：フィッシングとは
- アカウントを守る：パスワードマネージャーの選び方 ／ 多要素認証の選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）