ゴルフダイジェスト・オンラインに不正アクセス 社員や取引先1,789件が流出

ゴルフ場の予約やゴルフ用品の販売のサイトを運営するゴルフダイジェスト・オンライン(GDO)は、2026年10月16日、サーバーへの不正アクセスで、社員・退職者・委託先とパートナー企業の情報1,789件が外部に流出したと公表しました。あわせて、会員の情報55件が外から照会された可能性があるとしています。侵入経路は特定できていません。

GDOが10月16日に公表したこと

GDOは会社のサイトのプレスリリースで、「当社システムへの不正アクセスによる従業員・委託先等の個人情報の流出 およびお客様情報の照会のおそれに関するお知らせとお詫び」を出しました。個人情報保護委員会へはすでに報告し、外部の専門機関の協力で調べているとしています。

公表された経過は、次のとおりです。

GDOは、10月15日に分かった会員情報の照会について、13日に検知した不正アクセスの範囲の中のことで、新しい攻撃ではないとしています。

流出した情報と、照会された可能性がある情報

流出の原因は、社内のシステムと道具の管理者・利用者の一覧が書かれたファイルが持ち出されたことだとしています。識別子IDは、GDOのシステムの中で利用者を見分けるための文字列で、それだけでは個人を特定できず、ログインなどの操作もできないとしています。

会員のパスワードと、クレジットカード番号などの決済情報の流出は、今のところ確認されていません。クレジットカード番号は、GDOの管理するサーバーでは持っていないとしています。件数は10月16日時点の調べで、変わる可能性があるとしています。

「管理者・利用者の一覧」が持ち出された意味

今回持ち出されたのは、社内のシステムと道具を誰が管理し、誰が使っているかの一覧でした。氏名と社用メールアドレスがそろうと、攻撃者は「誰が何の管理者か」を知ったうえで、狙いを絞ったメールを送れます。GDOも、社員などの関係者を装い、業務の連絡に見せかけたメールが届く恐れがあるとしています。

もう一つは、封じ込めのあとで分かった別のサーバーです。最初のサーバーは検知から約30分で遮断しましたが、別のサーバー1台が侵害されていたことは、2日後に外部の監視の窓口からの報告で分かりました。

影響する人・会社、しない人・会社

• 影響する: GDOの社員と退職者、GDOの委託先・パートナー企業の担当者です。氏名と社用メールアドレスが流出しました。GDOの関係者を装ったメールに注意が要ります。
• 影響する: GDOと取引のある会社です。自社の担当者の社用メールアドレスが含まれている可能性があります。GDOからの個別の連絡を待ちつつ、社内に注意を呼びかけます。
• 影響する: 照会された可能性がある会員55件の対象の人です。GDOが個別に連絡するとしています。
• 影響しない: 上の55件以外のGDOの会員です。公表では、会員の情報の流出や照会は55件とされています(10月16日時点)。
• 影響しない: クレジットカード番号です。GDOの管理するサーバーでは持っていないとしています。

会社・情シスが今日やること

1. GDOとの取引の有無を確かめます。 委託やパートナーの契約、ゴルフ場の予約や広告などでGDOとやり取りしている部署を洗い出し、担当者の社用メールアドレスを把握します。
2. GDOを名乗るメールに注意するよう知らせます。 請求や支払い先の変更、ファイルの共有を装うメールは、本文のリンクや添付を開かず、別の連絡先でGDOの担当者に確かめるよう伝えます。
3. メールの受け取りの設定を見直します。 GDOのドメインを装った送信元の見張り(なりすましの検知)と、社員が不審なメールを報告する窓口を確かめます。
4. 自社の管理者の一覧の置き場所を点検します。 システムや道具の管理者・利用者の一覧のファイルが、広く読める場所に置かれていないかを確かめ、要らないものは消します。
5. 封じ込めのあとの確かめ方を決めておきます。 1台を遮断したあとも、ほかのサーバーへ広がっていないかを、ログや外部の監視で確かめる手順を、自社の対応の手順に入れます。

公表に書かれていないこと

• 不正アクセスの侵入経路(特定できていないとしています)。
• 侵害されたサーバーの用途と、攻撃に使われた権限の種類。
• 委託先・パートナー企業の会社の数と名前。
• 警察への届け出。

2026年10月20日時点の内容です。