ステップゴルフの無料体験を申し込んだ方や、現在・過去に会員だった方は、個人情報漏えいの対象となる可能性があります。
インドアゴルフスクールを展開するステップゴルフ株式会社は2026年11月7日、業務システムと予約システムへの第三者による不正アクセスを公表しました。個人情報を含むデータベースのバックアップファイルなどが外部に漏えいした可能性が「極めて高い」としています。
対象となり得るのは最大21万5,000件の登録データです。銀行口座情報、氏名・住所、顔写真、レッスンカルテなどが含まれ、銀行口座情報は暗号化されていない状態で保管されていました。ただし、21万5,000人の流出が確定したわけではなく、実際の漏えい件数と対象者は調査中です。
まず行うこと：身に覚えのない口座引き落としがないか確認し、ステップゴルフや銀行を名乗る不審な連絡から暗証番号・パスワードを入力しないよう注意してください。対象者には準備が整い次第、メール等で個別に案内される予定です。
※この記事は2026年11月9日に公式発表（11月7日付第一報）を確認して作成しています。
ステップゴルフの情報漏えい、何が起きた？
| 項目 | 11月7日付第一報で確認できた内容 |
|---|---|
| 公表日 | 2026年11月7日 |
| 対象システム | 業務システム、予約システム |
| 発覚日 | 11月5日、異常な処理を検知 |
| 過去の不正アクセス | 10月23日と25日にも発生 |
| 漏えいの可能性 | データベースのバックアップファイル等が外部に漏えいした可能性が極めて高い |
| 最大規模 | 21万5,000件（データベース登録件数。人数ではない） |
| 確定件数・侵入経路 | 調査中・未公表 |
| 次回発表 | 11月10日を目途に公式サイトで続報予定 |
同社は個人情報保護委員会への報告と警察への相談を行い、外部のセキュリティ専門機関による調査を進めています。11月7日時点で、本件に起因する具体的な二次被害は確認されていません。
自分は漏えい対象？無料体験だけでも可能性あり
公式発表で対象となる可能性が示されているのは、①無料体験の申込者、②現在の会員、③過去の会員です。すでに退会している場合も対象から除外されていません。無料体験に申し込んだだけで入会しなかった場合も、登録データが残っていれば対象となる可能性があります。
一方、現時点では「何年から何年までの会員が対象」「特定の店舗だけが対象」などの詳細な絞り込みは公表されていません。個人ごとの該当・非該当を自分で確定できる照会方法も、第一報では案内されていません。公式サイトの続報と個別連絡を確認してください。
漏えいした可能性のある情報
| 分類 | 情報の種類 |
|---|---|
| 基本情報 | 氏名、住所、生年月日、電話番号、メールアドレス |
| 銀行口座情報 | 金融機関名、支店名、口座番号、口座名義などの口座振替情報 |
| 利用情報 | 契約状況、予約履歴、購入履歴、レッスンカルテ、顔写真、要配慮個人情報など |
含まれる情報の種類は人によって異なります。「要配慮個人情報」の具体的な内訳は第一報では明らかにされていません。また、クレジットカード情報と本人確認書類は、対象システムでは保有しておらず本件の影響はないと説明されています。
銀行口座情報が漏えいしたかもしれない。何をすればいい？
特に気になるのは、銀行口座情報が暗号化されていなかった点です。ただし、口座番号と名義が知られただけで、直ちに預金が引き出されるわけではありません。ステップゴルフもこの点を説明したうえで、不審な引き落としや口座情報を利用した詐欺への警戒を呼びかけています。
- 口座の取引履歴を確認：ネットバンキング、通帳、銀行アプリなどで身に覚えのない引き落とし・口座振替がないかチェックします。
- 不審な取引があれば銀行へ直接相談：メール内の番号やリンクではなく、銀行の公式サイト・アプリ・通帳に記載された窓口を使います。
- メール・SMS・電話に注意：「漏えい確認のため口座暗証番号を教えて」「補償金の受け取りには認証が必要」などの連絡をうのみにせず、パスワードやワンタイムパスワードも入力しません。
- 会社の公式発表を継続確認：対象者への個別連絡と続報を待ち、疑わしい案内は公式の事故公表ページから確認します。
現段階で同社は、対象者全員に口座解約や口座番号変更を求めていません。まず取引を確認し、異常や不安があれば利用金融機関に相談するのが現実的です。IPAも個人情報漏えい時には、偽のメール・SMSや不審な連絡に注意するよう案内しています。
パスワード変更は必要？偽メールには特に注意
11月7日の公式発表に、予約システムのログインパスワードが漏えいしたとの記載はありません。また、利用者に一律のパスワード変更を求める案内もありません。パスワードが安全だったと確認された、という意味ではないため、続報を確認してください。
事故に便乗し、ステップゴルフや銀行を装って口座情報・認証情報を聞き出す詐欺には注意が必要です。案内メールを受け取っても、記載されたURLを即座に開かず、公式サイトの「お知らせ」から照合する方法が安全です。現時点で、今回の事故に便乗した特定の詐欺が実際に発生したことまでは確認できていません。
いつ不正アクセスされた？10月23日のPHP脆弱性発表との関係は
| 日付 | 公表・判明した内容 |
|---|---|
| 10月23日 | PHP脆弱性報道への対応として一次対策完了を発表。当時、漏えい等は確認されていないと説明。同日、不正アクセスも発生していたことが後に判明 |
| 10月25日 | 不正アクセスが発生（後の調査で判明） |
| 11月5日 | 異常な処理を検知。不正アクセスが判明 |
| 11月7日 | 個人情報漏えいの可能性が極めて高いと第一報を発表 |
| 11月10日ごろ | 続報を公表する予定（11月7日時点の案内） |
ステップゴルフは10月23日に、PHPの脆弱性に関する報道を受けて業務・予約システムの調査と一次対策を実施したと発表しています。その後、同じ10月23日と25日の不正アクセスが明らかになりました。
しかし、PHPの脆弱性が今回の侵入経路だったとは発表されていません。利用された脆弱性の種類、攻撃の具体的手法、対象サーバーの構成などは不明です。時期が近いことだけで原因を結び付けることはできません。
なぜ「バックアップファイル」と「暗号化なし」が問題なのか【技術解説】
データベースのバックアップは、障害時に情報を復元するためのコピーです。業務システムで使う氏名や口座情報などがまとめて含まれている場合、一つのバックアップファイルへの不正アクセスが広範囲の情報漏えいにつながることがあります。
今回の公式発表では、個人情報を含むデータベースのバックアップファイル等が外部に漏えいした可能性が極めて高いとされています。同時に銀行口座情報が暗号化されずに保管されていたことも判明しています。
- 保存時の暗号化：バックアップが第三者の手に渡っても、適切な鍵管理があれば情報を読まれるリスクを下げられます。
- アクセス権の分離：通常のアプリケーション権限からバックアップを自由に取得できない設計にします。
- 保管先と履歴の監視：バックアップの取得・転送を記録し、異常な一括ダウンロードや権限変更を検知します。
- 不要データの見直し：保有が不要になった個人情報は、保存期間と業務上の必要性を検討して削減します。
これらは一般的な管理上の対策であり、同社の具体的な侵入経路や設計上の不備が調査で確定したという意味ではありません。IPAも大規模な漏えい事案を踏まえ、保有情報の把握と最小化、専門機関による詳細調査を推奨しています。
会社の対応、問い合わせ先、レッスンの利用状況
同社はアクセス元の遮断と認証情報の変更などの緊急対策を実施。外部専門機関に調査を依頼し、影響範囲と原因の特定を進めています。
専用問い合わせ窓口（電話・Web）は11月7日の第一報時点で設置準備中です。窓口の案内は公式ホームページに掲載予定で、対象者にも準備ができ次第メール等で個別に連絡する方針です。店舗では詳細な問い合わせに対応できないため、同社は店頭への問い合わせを控えるよう案内しています。
予約とレッスンは通常どおり利用可能と案内されています（11月7日時点）。不正アクセスの調査は続いているため、営業状況や窓口情報は新しい公式発表で確認してください。
よくある質問（FAQ）
Q. 退会済みでも対象になりますか？
はい。過去の会員も対象となる可能性があります。ただし、個別に対象かどうかは調査中です。
Q. 体験レッスンの申込だけでも対象？
可能性があります。無料体験の申込者も公表された対象範囲に含まれます。
Q. 銀行口座をすぐ解約した方がいい？
会社は一律の解約を求めていません。まず取引明細を確認し、心当たりのない引き落としや不審な連絡がある場合は銀行へ直接相談してください。
Q. 21万5,000人全員の情報が流出しましたか？
いいえ。21万5,000件はデータベース上の登録件数であり、人数でも確定した漏えい件数でもありません。実際の対象範囲は調査中です。
Q. クレジットカード番号も漏れましたか？
同社はクレジットカード情報と本人確認書類を対象システムでは保有しておらず、本件による影響はないと説明しています。
まとめ：対象者は続報と銀行口座の明細を確認
ステップゴルフの不正アクセスでは、無料体験申込者や現・元会員の最大21万5,000件の登録情報が対象となる可能性があります。銀行口座情報が暗号化されず保管されていたことは重要ですが、流出人数や個人別の対象情報、侵入経路はまだ確定していません。
利用経験のある方は口座明細を確認し、偽メール・SMSに注意を払いながら、11月10日を目途とする続報を待ちましょう。不明な点は不明なままにせず、会社の追加発表で更新することが重要です。
関連する情報漏えい事例：My docomoで口座番号などが対象となった事案／情報漏えい事例の比較と確認事項
出典・更新履歴
- ステップゴルフ：不正アクセスによる個人情報漏えいのおそれ（第一報、2026年11月7日）
- ステップゴルフ：PHP脆弱性報道に伴う状況（2026年10月23日）
- IPA：個人情報が漏えいした際の対処（2026年10月26日）
- IPA：不正アクセスによる漏えい等を踏まえた対策（2026年10月9日）
初稿：2026年11月9日（日本時間）。公式一次情報を確認。11月10日以降の続報は初稿時点では反映していません。本文に記載した一般的な対策は、ステップゴルフ固有の侵入原因を推定するものではありません。
