「WonderGOOで予約したことがある」「新星堂の会員だけれど、お知らせが届いていない」。今回、まず確認したいのは、どのサービスで、どんな個人情報を登録したかです。
REXT Holdingsは2026年10月9日、ランサムウェア被害の調査結果を公表しました。WonderGOO・新星堂の予約、WonderREXの買取、REXTの会員登録などに関する1,044,906件の情報に漏えいのおそれがあります。別に、310ファイルの外部公開も確認されています。公式第5報
個別の連絡が難しい方には、公式発表での案内となります。メールを待つだけでなく、下の表で利用内容を確認してください。
情報確認日：2026年10月12日。この記事は10月9日のREXT第5報をもとに、対象の確認と利用者の対応を整理しています。
まず確認：どの利用が対象に含まれる？
| 利用したサービス・立場 | 第5報に記載された対象情報 | 手元で確認するもの |
|---|---|---|
| WonderGOO・新星堂 | 商品などの予約に関するお客様情報 | 予約控え、受付メール、利用店舗 |
| WonderREX | 買取に関するお客様情報 | 買取時の控え、利用店舗・時期 |
| REXTの会員登録 | 会員登録に関する情報 | 会員番号、登録時のメールなど |
| APORITO | 顧客・取引先情報 | 利用内容、取引記録 |
| REXT・REXT Holdingsの従業員 | 従業員情報 | 会社からの案内 |
| 採用応募者 | 外部公開を確認したエントリーシートに関する情報 | 応募時の記録、会社からの案内 |
| 取引先 | 外部公開を確認した請求書・支払通知書に関する情報 | 取引記録、会社からの案内 |
この表は、公式発表の対象と、問い合わせ前に用意すると便利な記録を組み合わせたものです。店舗で買い物した記憶だけでなく、予約・会員登録・買取の履歴を探すと確認が進みます。
利用期間や個人ごとの対象項目を知りたい場合は、REXTの専用窓口に、利用したブランド・店舗・おおよその時期を伝えて問い合わせます。第5報には、すべての対象者に共通する登録期間は掲載されていません。公式第5報
お知らせが届かないときは、REXTの窓口へ
通知の方法は、情報の区分で異なります。
| 情報の区分 | 第5報で案内された連絡方法 |
|---|---|
| 外部公開を確認した会員・取引先の情報 | 公表後、速やかに個別連絡する案内 |
| 漏えいのおそれがある情報 | 個別連絡が難しい方には、公表をもって案内 |
| 外部公開を確認した採用応募者・従業員27名の情報 | 9月中旬に個別通知済み |
通知メールが見つからない方も、対象の利用に心当たりがあれば問い合わせできます。
REXT Holdings対策本部の問い合わせ先は、contact@rext.jpです。REXT公式サイトの10月9日付第5報にも掲載されています。
問い合わせでは、最初から本人確認書類の画像やカード番号を送る必要はありません。まず、何を伝えれば確認が進むかを尋ねると、余計な情報を送らずに済みます。
次の文面を、ご自身の利用内容に合わせて使えます。
件名：10月9日公表の情報漏えいに関する対象確認
WonderGOOで商品を予約したことがあり、今回の対象に含まれるか確認したく連絡しました。利用店舗は○○店、利用時期は○年○月ごろです。
対象確認に必要な情報と、その提出方法をご案内ください。対象に含まれる場合は、該当する情報項目も教えてください。
当ブログの問い合わせ文例です。WonderREXの買取や新星堂の予約など、実際の利用内容に書き換えてください。
104万件と310ファイルは、何が違う？
ニュースの数字だけを見ると分かりにくいので、公式発表の区分で整理します。
| 区分 | 確認された内容 |
|---|---|
| 外部公開を確認 | 310ファイル、約54MB。採用応募者、従業員、会員登録、取引先の請求書などに関する資料 |
| 漏えいのおそれ | 1,044,906件。暗号化されたサーバーに保存されていた会員・予約・買取などの情報 |
104万件は、外部公開を確認した人数ではなく、漏えいのおそれがある情報の件数です。公開されたファイルには個人情報を含まない業務資料もあり、310という数字はファイル数を表します。REXT公式第5報
対象項目は、会員コード、氏名、フリガナ、生年月日、性別、郵便番号、住所、電話番号、メールアドレスです。クレジットカード情報は、この第5報の対象情報に含まれていません。
採用応募者・従業員のうち、公開ファイルに個人情報が含まれる27名には、9月中旬に個別通知済みとしています。公式第5報
対象に心当たりがある方が、今すること
1．予約・買取・登録の記録を残す
受付メールや控えが見つかったら、問い合わせ用に保管します。記録には利用店舗と時期が分かるものを選び、SNSへ投稿する際は氏名・会員番号・連絡先などを隠してください。
2．「予約の確認」「返金」などを名乗る連絡は、公式窓口から確認する
情報漏えい後の対策で大切なのは、名前や利用先を知っている相手からの連絡でも、支払い・ログインの操作を始める前に確認することです。
「予約の再確認が必要」「返金のためカード情報を入力して」と届いた場合は、メッセージ内のリンクから手続きせず、店舗の公式ページやREXTの窓口へ確認します。REXTも、グループ各社を装う不審なメール・電話への注意を呼びかけています。公式第5報
3．すでに入力した方は、入力した情報に応じて対応する
| 自分が行った操作 | 次にすること |
|---|---|
| 不審な連絡を受け取った | リンクや添付を開かず、公式窓口で確認する |
| 偽サイトにパスワードを入力した | 本物のサービスから変更する。同じパスワードを使う他のサービスも変更する |
| 偽サイトにカード情報を入力した／不審な請求がある | カード裏面などで確認した発行会社の窓口へ連絡する |
上の表は、IPAのフィッシング対策に基づく一般的な対応です。IPA：不正ログイン被害とフィッシングへの対処
APORITOを利用した方は、別の事故も確認
APORITOオンラインストアには、今回のREXTのランサムウェア被害とは別に、不正スクリプトが設置された事故の案内があります。こちらでは、カード情報も漏えいの可能性がある情報に挙げられています。
APORITOオンラインストアで購入・情報入力をした方は、REXT第5報に加え、オンラインストアの公式案内とRIZAPグループのお知らせも確認してください。REXT第5報の「カード情報は含まれない」は、REXTの事故についての説明です。
よくある疑問
店舗は営業していますか？
10月9日の第5報では、全店で営業を再開したとしています。来店時に使いたいサービスについては、利用店舗の最新案内を確認してください。公式第5報
情報が公開されているか、自分で探した方がよいですか？
対象の確認はREXTの専用窓口へ問い合わせる方法をおすすめします。利用記録を用意して、自分の情報がどの区分に含まれるかを尋ねてください。
カードを止める必要がありますか？
REXT第5報の対象にはカード情報は含まれていません。まずは対象の登録内容と不審な連絡を確認します。APORITOオンラインストアの別件に該当する方や、不審な請求がある方は、カード会社へ相談してください。
