GDO不正アクセス1789件の流出確認と会員情報55件の照会可能性を分ける

資料で確認できること

10月13日の検知後、別サーバーを経由した照会も確認

会社は2026年10月13日7時9分ごろに不正アクセスの兆候を検知し、同日7時41分ごろに該当サーバーの通信を遮断したと説明しています。14日14時ごろ、操作ログから一部ファイルのダウンロードを確認し、その中に従業員、退職者、委託先・パートナー企業関係者の情報が含まれていたとしています。

15日には、遮断したサーバーとは別のサーバー1台も侵害され、13日10時16分から10時20分ごろまで、攻撃者がそのサーバーを経由して会員情報を照会していたことを確認したと公表しました。会社は、これは13日に検知した不正アクセスの範囲内であり、新たな攻撃ではないと説明しています。

• 資料 01株式会社ゴルフダイジェスト・オンライン：当社システムへの不正アクセスによる従業員・委託先等の個人情報の流出 およびお客様情報の照会のおそれに関するお知らせとお詫び

当事者の説明

従業員・退職者・委託先など1789件は流出を確認

流出を確認した情報は、現職の従業員、退職者、委託先・パートナー企業の方の氏名と社用メールアドレスで、1,789件とされています。一部の氏名にはフリガナが含まれると説明しています。

会社は、社内システムやツールの管理者・利用者リストが記載されたファイルがダウンロードされたことを原因として示しています。対象となる従業員と退職者には個別連絡し、委託先・パートナー企業については対象企業を特定でき次第連絡するとしています。

• 資料 01株式会社ゴルフダイジェスト・オンライン：当社システムへの不正アクセスによる従業員・委託先等の個人情報の流出 およびお客様情報の照会のおそれに関するお知らせとお詫び

当事者の説明

会員情報55件は、照会された可能性として公表

会員情報について、会社は外部から照会された可能性のあるものが合計55件あるとしています。このうち51件は識別子IDのみ、4件は識別子IDに加えて個人情報を含む可能性があるとの説明です。

4件に含まれる可能性のある項目として、氏名、性別、生年月日、電話番号、メールアドレス、住所、ログインID、保有ポイントなどを挙げています。ただし対象者によって項目は異なり、55件という数も10月16日時点の調査結果で、今後変わる可能性があります。

• 資料 01株式会社ゴルフダイジェスト・オンライン：当社システムへの不正アクセスによる従業員・委託先等の個人情報の流出 およびお客様情報の照会のおそれに関するお知らせとお詫び

当事者の説明

識別子IDだけで、個人特定やログインができるとは説明されていない

会社は識別子IDについて、自社システム上でユーザー個人を識別するための文字列であり、IDだけでは個人を特定できず、ログインなどの操作もできないと説明しています。パスワードやクレジットカード番号などの決済情報の流出は、10月16日時点では確認されていないとしています。

クレジットカード番号は会社の管理サーバーに保持していないとの説明です。一方で、識別子IDが他の情報と組み合わされた場合の影響や、会員情報が実際に取得・保存されたかまでは、確認した発表だけでは確定できません。

• 資料 01株式会社ゴルフダイジェスト・オンライン：当社システムへの不正アクセスによる従業員・委託先等の個人情報の流出 およびお客様情報の照会のおそれに関するお知らせとお詫び

未確認の点

侵入経路、追加流出、二次被害は調査中

会社は10月16日の発表時点で、本件に起因する不正利用などの二次被害は確認していないとしています。侵入経路は特定できておらず、公表した範囲以外の情報流出も継続して調査中です。

『二次被害を確認していない』ことは、今後も被害が起きないことを保証するものではありません。同時に、発表にない金銭被害やアカウント乗っ取りを事実として付け加えることもできません。対象者への個別通知と次の公式更新を確認する必要があります。

• 資料 01株式会社ゴルフダイジェスト・オンライン：当社システムへの不正アクセスによる従業員・委託先等の個人情報の流出 およびお客様情報の照会のおそれに関するお知らせとお詫び

確認の範囲

このコラムの確認範囲

本稿は2026年10月17日に取得したゴルフダイジェスト・オンラインの10月16日付発表と、IPAの同日付発表を照合したものです。JBJは会社、対象者、調査機関、関係当局、攻撃者への直接取材や、システム・ログ・流出データの独立調査を行っていません。掲載画像は確認済み情報と可能性のある範囲を分ける姿勢を表した説明用イメージで、実際の会社・職員・会員・設備・画面・情報・被害記録ではありません。

• 資料 01株式会社ゴルフダイジェスト・オンライン：当社システムへの不正アクセスによる従業員・委託先等の個人情報の流出 およびお客様情報の照会のおそれに関するお知らせとお詫び
• 資料 02独立行政法人情報処理推進機構：不正アクセス特別相談窓口の開設について

JBJの見解

同じ発表の中に、確定した流出と可能性のある照会がある

情報漏えいの発表では、件数の大きさだけが切り取られやすく、誰のどの情報がどの状態まで確認されたのかが見えにくくなります。今回の発表には、実際にファイルから流出を確認した情報と、外部から照会された可能性を確認した会員情報が併記されています。

1,789件と55件を単純に合算して一つの被害人数とすることも、逆に『可能性』という言葉だけで会員の不安を小さく扱うことも適切ではありません。対象、情報項目、確認の根拠、今後変わり得る範囲を分けて読みます。

JBJの見解

対象区分、通知、連絡内容を分けて記録する

対象となる可能性がある方は、公式発表のURLと確認日時、会社から届いた個別通知、GDOに登録していた情報、不審なメール・電話・SMSの送信元と内容を分けて保存してください。従業員・退職者・委託先と会員では、確認された範囲が異なります。

組織側で不正アクセスの兆候がある場合、IPAは企業・組織向けの特別相談窓口を10月16日に開設し、初動対応や応急処置、専門事業者・報告先の案内を行うとしています。JBJへの相談と、公的・専門的な事故対応窓口の役割は分けて利用してください。

• 資料 01株式会社ゴルフダイジェスト・オンライン：当社システムへの不正アクセスによる従業員・委託先等の個人情報の流出 およびお客様情報の照会のおそれに関するお知らせとお詫び
• 資料 02独立行政法人情報処理推進機構：不正アクセス特別相談窓口の開設について

JBJの見解

説明責任を求めながら、対象者全体への断定を広げない

会社には、侵入経路、各対象区分の確定件数、個別通知、認証強化、再発防止を継続して説明する責任があります。従業員や委託先の社用メールが悪用されるおそれも踏まえ、関係者を装う連絡をどう見分けるか具体的に案内することが重要です。

その説明を求めることと、全会員の個人情報や決済情報が流出したと断定することは別です。JBJは、確認された1,789件を小さく扱わず、55件の照会可能性も確定流出へ言い換えず、追加発表があれば確認範囲を更新します。