--- title: "ステップゴルフ、最大21万5,000件が漏えいのおそれ。口座情報は暗号化なし、顔写真とレッスンカルテも対象" description: "インドアゴルフスクールのステップゴルフは2026年11月7日、業務システムと予約システムへの不正アクセスで、無料体験申込者と現・元会員の個人情報が外部に漏えいした可能性が極めて高いと発表（第一報）。対象となり得るデータは最大21万5,000件（データベース上の登録件数で人数ではない）で、銀行口座情報は暗号化されていない状態で保管されていた。顔写真、レッスンカルテ、要配慮個人情報も対象に含まれ得る。11月5日に異常を検知し、10月23日・25日の不正アクセスも確認。クレジットカード情報と本人確認書類は保有しておらず対象外で、続報は11月10日を目途に掲載予定" url: https://itpostjp.com/security/stepgolf-unauthorized-access-215000-records-bank-account-unencrypted/ category: "セキュリティ" published_at: 2026-11-08T21:34:00Z updated_at: 2026-11-08T21:34:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["セキュリティインシデント", "暗号化", "要配慮個人情報"] --- # ステップゴルフ、最大21万5,000件が漏えいのおそれ。口座情報は暗号化なし、顔写真とレッスンカルテも対象 IT Post編集部 ＆ 編集長 千田智也 インドアゴルフスクールのステップゴルフは2026年11月7日、業務システムと予約システムへの不正アクセスで、無料体験申込者と現・元会員の個人情報が外部に漏えいした可能性が極めて高いと発表（第一報）。対象となり得るデータは最大21万5,000件（データベース上の登録件数で人数ではない）で、銀行口座情報は暗号化されていない状態で保管されていた。顔写真、レッスンカルテ、要配慮個人情報も対象に含まれ得る。11月5日に異常を検知し、10月23日・25日の不正アクセスも確認。クレジットカード情報と本人確認書類は保有しておらず対象外で、続報は11月10日を目途に掲載予定 ## 30秒で分かる結論 - インドアゴルフスクールを展開するステップゴルフは2026年11月7日、業務システムと予約システムへの第三者による不正アクセスで、個人情報が外部に漏えいした可能性が極めて高いと発表しました（第一報）。 - 対象となり得るデータは最大21万5,000件です。ただしこれはデータベース上の登録件数であり、対象人数を示すものではありません。実際の漏えい件数と対象範囲は調査中です。 - 対象には銀行口座情報（口座振替情報）が含まれ得て、同社はこの口座情報を暗号化されていない状態で保管していたと明かしています。クレジットカード情報と本人確認書類は当該システムで保有しておらず、影響はないとしています。 ## まず初めに 狙われたのは予約の画面ではなく、その裏のバックアップファイルだった可能性が高い。表のドアに鍵を掛けても、裏の倉庫の扉が開いていれば意味がない。しかも倉庫の中の口座情報は、封もされていない状態で置いてあったという話である。 ※個人の感想です ## 何が起きたのか ステップゴルフ株式会社の第一報によると、2026年11月5日に同社システムで異常な処理を検知し、調査の結果、第三者による不正アクセスが判明しました。過去のアクセス記録を調べたところ、2026年10月23日と25日にも不正アクセスが行われ、個人情報を含むデータベースのバックアップファイル等が外部に漏えいした可能性が極めて高いことを確認した、としています。 同社は個人情報保護委員会へ報告するとともに、警察に相談しています。外部のセキュリティ専門機関に調査を依頼し、原因の究明と影響範囲の特定を進めている段階で、侵入経路や攻撃者については第一報では断定していません。なお同社は10月23日に、PHPの脆弱性報道を受けたシステムの状況報告を別途公表していますが、11月7日の第一報は今回の侵入原因をその脆弱性とは特定しておらず、両者の関係は示されていません。 ![ステップゴルフの公表内容（2026年11月7日、第一報）](/images/articles/stepgolf-unauthorized-access-215000-records-bank-account-unencrypted-inline-1.webp) ## 対象となり得る情報——口座・顔写真・カルテまで 対象となる可能性があるのは、同社システムに登録されている、無料体験に申し込んだ人と、現在・過去の会員の情報です。対象となり得るデータは最大21万5,000件で、含まれる情報は次の3区分とされています。対象者によって含まれる情報の種類は異なります。 - 基本情報: 氏名、住所、生年月日、電話番号、メールアドレス - 銀行口座情報: 金融機関名、支店名、口座番号、口座名義等の口座振替情報 - ご利用情報: 契約状況、予約履歴、購入履歴、レッスンカルテ、顔写真、要配慮個人情報等 特に注意が必要なのは、同社が「銀行口座情報は暗号化されていない状態で保管されておりました」と明記した点です。暗号化されていないことと、その全てが実際に持ち出されたことは別の話ですが、バックアップファイル等にアクセスされた場合、情報がそのまま読み取れる状態だったことになります。「要配慮個人情報」は公式発表の表現であり、具体的な内訳（病歴や診断内容など）が明らかになったわけではありません。 一方、クレジットカード情報と本人確認書類は、当該システムでは保有しておらず、本件による影響はないとしています。 ## 利用者への案内と今後の予定 同社は、現時点で本件に起因する具体的な二次被害は確認されていないとしています。そのうえで、当社や金融機関を装った不審なメール、SMS、電話への注意、心当たりのないURLへのアクセスや添付ファイルの開封、暗証番号・パスワード等の入力を控えるよう呼びかけています。口座番号と名義だけでは預金は引き出せないとしつつ、口座情報を悪用した詐欺への注意と、銀行口座に身に覚えのない引き落とし等がないかの確認を求めています。 対応としては、アクセス元の遮断、認証情報の変更等の緊急対策を実施したとしています。本件に関する専用問い合わせ窓口（電話・Web）は設置準備中で、準備が整い次第ホームページで案内するとしています。店頭では詳細な問い合わせに対応できないため、店舗への問い合わせは控えるよう求めています。対象者には準備が整い次第、メール等で個別に連絡する方針です。予約とレッスンは通常どおり利用できるとしています。 続報は2026年11月10日を目途に、同社ホームページに掲載する予定とされています。 ## 公表内容の整理 第一報の要点を、対象者とそれ以外で読み分けられるように整理すると次のとおりです。 | 項目 | 第一報の内容 | | --- | --- | | 発覚 | 2026年11月5日に異常な処理を検知 | | 不正アクセスが確認された日 | 2026年10月23日、25日（過去の記録から確認） | | 対象システム | 業務システム、予約システム | | 漏えいの確度 | バックアップファイル等が外部に漏えいした可能性が「極めて高い」 | | 件数の意味 | 最大21万5,000件はデータベース上の登録件数で、人数ではない | | 二次被害 | 公表時点で具体的な被害は確認されていない | | 当局への対応 | 個人情報保護委員会へ報告、警察へ相談、外部専門機関へ調査を依頼 | | サービスの状態 | 予約・レッスンは通常どおり利用可能 | 対象者側で先にできる確認は、大きく2つです。1つは、口座振替を使っている場合に、銀行口座の明細で心当たりのない引き落としがないかを見ること。もう1つは、同社や金融機関を名乗る連絡が来ても、その連絡の中のリンクや電話番号をそのまま使わず、公式サイトで案内されている窓口から確認することです。専用問い合わせ窓口は準備中とされているため、現時点では店舗へ問い合わせても詳細は確認できない、という点も公式発表に明記されています。 ## IT Postの見方 IT Postでは、今回の第一報で一番重いのは件数よりも「バックアップファイル等」と「暗号化されていない状態」という2つの言葉だと考えます。本番のデータベースを守る意識はあっても、復旧用に置いたバックアップが同じ情報量・同じ読みやすさで置かれているケースは珍しくありません。バックアップは守りの道具ですが、置き方を間違えれば、攻撃者にとっては「まとめて持ち出せる完成品」になります。口座振替情報のように、漏れた場合に利用者側の確認行動（明細の点検）まで必要になる情報は、保管時の暗号化の有無がそのまま被害の広がり方を左右します。 同社が口座情報の暗号化の有無まで第一報で明かした点は、正直な公表です。隠せば第一報は軽く見えますが、対象者は自分の口座明細を確認すべきかどうかを判断できません。件数が「登録件数であり人数ではない」と最初から注記した点も含め、数字の読み方を誤らせない書き方をしています。続報で、実際に持ち出されたファイルと対象範囲がどこまで特定できるかが焦点です。 ## 今後どうなりそうか 今後の確認点は、11月10日を目途とされる続報で、実際の漏えい件数と対象範囲、侵入経路がどこまで特定されるか、専用窓口と個別通知がいつ始まるかです。 IT Postでは、新しい公式情報が確認できれば続報として整理します。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [当社業務システムへの不正アクセスによる個人情報漏えいのおそれに関するお詫びとご報告（第一報）](https://www.stepgolf.co.jp/news/261107) — ステップゴルフ株式会社（一次情報） - [ステップゴルフ、不正アクセスで最大21万5,000件の個人情報漏えいのおそれ 銀行口座情報・顔写真・レッスンカルテも対象](https://rocket-boys.co.jp/security-measures-lab/stepgolf_unauthorized_access_215000_records_bank_account_backup/) — セキュリティ対策Lab（ロケットボーイズ） ## この記事に出てくるIT用語 - [セキュリティインシデント](https://itpostjp.com/terms/security-incident/): 不正アクセスや情報漏えい、マルウェア感染など、情報セキュリティ上の脅威となる事象全般を指す言葉です。 - [暗号化](https://itpostjp.com/terms/encryption/): データの中身を、決められた鍵を持つ人だけが読める形に変換し、第三者には解読できなくする技術のことです。 - [要配慮個人情報](https://itpostjp.com/terms/sensitive-personal-information/): 本人への不当な差別や偏見が生じないよう、取得・利用にとくに配慮が必要だと個人情報保護法で定められた個人情報の区分のことです。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/stepgolf-unauthorized-access-215000-records-bank-account-unencrypted/