要点
- インドアゴルフスクール「STEPGOLF」を運営するステップゴルフが、業務システムへの不正アクセスで最大21.5万件の個人情報が漏れたおそれがあると発表した。
- 漏れたおそれのある情報には、会社によると暗号化されていない銀行の口座情報、顔写真、要配慮個人情報などが含まれる。
- 会員だけでなく、過去の会員や無料体験の申込者も対象になりうる。会社や銀行を装う偽の連絡に注意が要る。
何が起きたか
ステップゴルフは2026年11月7日、「第一報」として発表した。
会社が「漏えいした可能性が極めて高い」と確認したのは、個人情報を含むデータベースのバックアップファイルなどだ。持ち出されたとされる時期は、10月23日と25日の不正アクセスのときである。会社がこの件に気づいたのは11月5日。システムで異常な処理を見つけ、調べた結果、第三者の不正アクセスだと分かった。10月の二度の侵入は、そのあと過去の記録をたどって見つかった。
最大21.5万件という数字は、データベースに登録されている件数だ。実際に何人が対象かを示すものではない。会社は、件数も範囲も現在調べているとしている。
漏れたおそれのある項目は次のとおり。対象者によって含まれる項目は異なる。
- 氏名、住所、生年月日、電話番号、メールアドレス
- 口座振替の情報（金融機関名、支店名、口座番号、口座名義）。会社によると、暗号化されない状態で保管されていた
- 契約状況、予約履歴、購入履歴、レッスンカルテ
- 顔写真
- 要配慮個人情報（法律上、特に慎重な扱いが求められる情報）。具体的な中身は発表されていない
クレジットカード情報と本人確認書類は、このシステムで持っていないため影響はないという。会社は個人情報保護委員会に報告し、警察に相談している。外部の専門機関に調査も頼んだ。現時点で、この件による二次被害（漏れた情報を使った詐欺など）は確認されていないという。
日本の利用者への影響
日本の会社の、日本の利用者の情報の話だ。対象は、現在と過去の会員、無料体験に申し込んだ人。人数は未確定だが、登録件数が最大21.5万件と大きい。
会社の説明では、予約とレッスンはいまも通常どおり使える。対象になる人へは、準備ができ次第メールなどで一人ずつ連絡が行く。電話と Web の専用窓口は準備中だ。続報は11月10日ごろに公式サイトへ載る予定とされる。
今すぐやること
- 自分が対象か分からなくても、STEPGOLF の会員・過去の会員・無料体験の経験があれば、対象かもしれないと考える。会社の発表ページを定期的に確認する。
- 口座振替で支払っていた人は、銀行の入出金明細を見て、身に覚えのない引き落としがないか確かめる。会社も明細の確認を勧めている。口座番号と名義だけでは預金は引き出せないと会社は説明しているが、口座情報を使った詐欺には注意が要る。
- 会社や銀行を名乗る連絡が来ても、まず偽物を疑う。メール・SMS・電話で示されたリンクや添付ファイルは開かない。暗証番号やパスワードを求められても答えない。会社も同じ注意を出している。
- 連絡が来たら、メール内のリンクではなく、公式サイトに載る窓口から確かめる。店舗には詳しい問い合わせができないと会社は述べている。
- STEPGOLF で使ったメールアドレスとパスワードを、ほかのサービスでも使い回していたら、変えておく。
背景
会員制のスクールは、氏名・住所・口座・予約の記録・健康に関わる記録まで、一つのシステムに集まりやすい。一度に漏れる情報の種類が多くなりがちだ。ただし今回、侵入の方法や原因は発表されておらず、調査中だ。
口座情報が暗号化されていなかったという点は、会社の発表による。今後の調査で、保管のしかたがどう評価されるかは分からない。
技術者向けの詳細
- 発表元: ステップゴルフ株式会社、2026年11月7日の第一報。
- 異常な処理の検知は11月5日。過去ログから、10月23日・25日のアクセスも不正と判明。
- 漏えいの可能性が極めて高いとされるのは、個人情報を含む DB のバックアップファイル等。
- 会社の対応: アクセス元の遮断、認証情報の変更。原因・範囲の調査は外部の専門機関に依頼。
- 侵入経路、攻撃者、実際の流出件数は未公表。続報は11月10日をめどとされる。
