国内の個人情報漏えい事故の台帳

REXT Holdings株式会社(子会社REXT株式会社の社内ネットワーク(WonderGOO・WonderREX・新星堂・HAPiNS・JEANS MATE))

漏えいあり公表:2026年8月10日最終更新:2026年10月9日時系列:5件

REXT Holdings株式会社の子会社REXTの社内ネットワークが2026年8月9日にランサムウェア攻撃を受け、WonderGOOや新星堂などの店舗で休業や決済制限が出ました。その後、盗まれたファイル310件がリークサイトで公開されていることを確認し、採用応募者のエントリーシートや会員登録情報などの漏えいが確定しました。暗号化されたサーバーにあった会員・顧客情報など104万4,906件も漏えいのおそれがあるとしています。

事故の概要

漏れたもの
  • 会員番号・ユーザーID
  • 氏名
  • 氏名(カナ)
  • 生年月日
  • 性別
  • 住所
  • 電話番号
  • メールアドレス
  • 口座
  • その他
郵便番号、従業員の人事関係書類、取引先の請求書(名称・住所・電話・FAX・振込口座・取引金額)
件数
1,044,906件漏えいのおそれ104万4,906件(従業員、会員、予約・買取の顧客、APORITO事業の顧客と取引先)。別にリークサイトで公開を確認したファイル310件(約54MB)があり、うち採用応募者と従業員27人には個別通知済み
誰の情報か
利用者(会員・顧客)
状態
確定
原因
ランサムウェア
ドメイン
rext.jp

経緯

  1. 検知—
  2. 初動対応—
  3. 公表8/10
  4. 続報8/14
  5. 調査結果10/9
  6. 再発防止策—

公表2026年8月10日

8月9日、子会社REXTの社内ネットワークの一部でランサムウェアによる不正アクセス被害を確認したと公表しました。REXTが運営するWonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEの店舗とサービスで、臨時休業や部分営業、キャッシュレス決済の制限、買取・査定やポイントサービスの停止、EC商品の発送遅延などが起きています。

この時点で、REXTが持つ顧客の個人情報や取引先情報の外部漏えいの可能性は完全には否定できないとしています。関係機関と個人情報保護委員会への報告を進め、原因調査と早期復旧に取り組むとし、メールの問い合わせ窓口を設けました。

出典店舗の営業変更についてwww.rext.jp

続報2026年8月14日

公表から4日後・前の出来事から4日後

8月12日から外部専門機関による詳しい調査を始め、警察と個人情報保護委員会に報告したと伝えました。休業していた店舗は順次営業を再開しており、全店の再開は8月16日を見込んでいます。

個人情報や取引先情報の外部漏えいの可能性は極めて低いと推定しているものの、完全には否定できないとしています。

出典店舗の営業変更について(第2報)www.rext.jp

続報2026年8月31日

公表から21日後・前の出来事から17日後

休業していた全店舗が8月16日に営業を再開したと報告しました。一部のサービスや決済方法の制限も順次解消され、9月上旬には全店で解消する見込みです。原因と影響範囲は引き続き調べています。

出典店舗の営業変更について(第3報)www.rext.jp

続報2026年9月11日

公表から32日後・前の出来事から11日後

外部専門機関の調査はまだ終わっていないものの、その過程で、REXT Holdingsと子会社から流出した可能性のある情報の一部がインターネット上に掲載されていることを確認したと公表しました。掲載された情報の内容と影響範囲を調べています。

個人情報保護委員会への報告と警察への相談は済ませています。漏えいまたはそのおそれが確認された人には調査完了後に個別に連絡し、連絡先が分からない人には公表で代えるとしています。この時点で二次被害は確認されておらず、ダークウェブなどの監視を続けます。

出典当社ネットワークへの不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び(第4報)www.rext.jp

調査結果2026年10月9日

公表から60日後・前の出来事から28日後

外部専門機関の調査が終わり、結果を公表しました。攻撃者は障害の検知より前からネットワーク機器を経由して侵入していた可能性が高く、8月9日未明から朝にかけて本部と店舗のサーバーやPCの多くが暗号化され、POSや会計システムが止まりました。

リークサイトで公開を確認したファイルは310件(約54MB)で、採用応募者のエントリーシート(氏名、性別、生年月日、住所、メールアドレス、電話番号)、従業員の人事関係書類、会員登録情報(会員コード、氏名、フリガナ、生年月日、性別、住所、電話番号、メールアドレス)、取引先の請求書(振込口座情報など)が含まれます。応募者と従業員の27人には9月中旬に通知済みです。

ほかに、暗号化されたサーバーにあった従業員、会員、予約・買取の顧客、APORITO事業の顧客と取引先の情報104万4,906件を漏えいのおそれありとしました。カード情報は含まれません。調査結果は個人情報保護委員会に出し、警察にも改めて相談しています。

出典調査結果及び今後の対応について(第5報)www.rext.jp

影響を公表した組織(1)

この事故で影響を受け、自分で公表した組織です。組織ごとの件数や対応は、それぞれのページにあります。

出典

正しい情報については、リンク元の一次情報を必ず参照してください。

このサービスを使っていた方へ

  1. 1会社を名乗るメールが来ても、リンクは開かず公式サイトから確かめてください。
  2. 2知らない番号からの電話や SMS、届いた覚えのない郵便に気をつけてください。
  3. 3口座の入出金を確かめ、気になる動きがあれば銀行に連絡してください。
  4. 4会社からの個別の連絡と問い合わせの窓口は、公式のお知らせで確かめてください。
漏えいのお知らせが届いたら?まず確かめることと、漏れた情報ごとの対応を載せています

誤りや続報のご連絡

誤りや続報の情報をお寄せください

掲載内容の誤りや続報の情報は、お問い合わせフォームより受け付けております。内容によっては、回答までにお時間をいただく場合がございます。

お問い合わせ