「WonderGOOや新星堂、WonderREXを使っているけれど、自分の情報も漏れた？」「通知は来るの？」「何に気をつければいい？」と気になっている方に向けて、運営会社であるREXT Holdings株式会社と、親会社のRIZAPグループ株式会社の公式発表に書かれていることだけを整理しました。内容はすべて、2026年8月10日の第1報から10月9日の第5報までの公式発表の原文を、2026年10月12日に確認したものです。公式発表に書かれていないことは「公式発表に記載なし」と明記しています。
【結論】REXT Holdingsは2026年10月9日の第5報で、ランサムウェアによる不正アクセスの調査結果を公表しました。
- 公開を確認した（漏えいを確認した）情報：インターネット上で掲載を確認したファイルが合計310件（約54MB）。会員登録に関する情報（会員コード・氏名・フリガナ・生年月日・性別・郵便番号・住所・電話番号・メールアドレス）や採用応募者のエントリーシートなどが含まれる
- 漏えいのおそれがある情報：暗号化されたサーバー上の1,044,906件（REXT会員登録・WonderGOOと新星堂の予約・WonderREXの買取・APORITO事業の顧客と取引先・従業員の情報）。項目は会員コード・氏名・住所・電話番号・メールアドレスなど。クレジットカード情報は含まれない
- 公開を確認した会員には発表後に個別に連絡。特定して連絡するのが難しい人は「本公表をもって」個別連絡に代える。窓口はメール（contact@rext.jp）のみで、補償の記載はなし
同じ時期に公表されたほかの情報漏えいは、2026年 国内の情報漏えい・サイバー攻撃 一覧（毎日更新）にまとめています。
自分は対象？公式発表でわかること早見表
第5報は、情報を「公開を確認した情報（漏えいを確認したもの）」と「漏えいのおそれがある情報」の2つに分けて書いています。どちらに当たるかで、公式の案内（連絡の有無）が違います。
| 知りたいこと | 公式発表に書かれていること |
|---|---|
| 公開を確認した会員情報の対象者 | 掲載を確認したファイル310件のうち「会員登録に関する情報」に含まれる人。人数は記載なし。「会員登録をされたお客様」には「本公表文の発表後、速やかに個別にご連絡のうえご説明申し上げます」 |
| 漏えいのおそれがある人 | 暗号化の被害を受けたサーバー上の次の情報（合計1,044,906件）：REXT社/REXT Holdings社従業員情報、REXT会員登録に関する情報、WonderGOO・新星堂事業の予約に関するお客様情報、WonderREX事業の買取に関するお客様情報、APORITO事業の顧客及び取引先情報 |
| 漏えいのおそれがある人への連絡 | 「個々のお客様を特定してご連絡することが困難な方におかれましては、本公表をもって、個別のご連絡に代えさせていただきます」。連絡の手段（メール・郵送など）は記載なし |
| 採用応募者・従業員 | 個人情報を含むファイルの対象27名に「2026年9月中旬に個別にご通知済み」 |
| まだ連絡が来ない場合 | 公式発表に記載なし（不明な点・心配な点は問い合わせ窓口へ、と案内） |
| 退会済みの人 | 公式発表に記載なし |
| HAPiNS・JEANS MATEの利用者 | 第1報で、営業に影響が出たREXT社の店舗として名前がある。第5報の対象一覧にはブランド名の記載なし |
| 自分が対象かを調べるページ | 公式発表に記載なし（照会ページの案内はない） |
| 問い合わせ先 | REXT Holdings株式会社 対策本部 お問い合わせ窓口 メールアドレス：contact@rext.jp（電話窓口の記載なし） |
第5報の本文は、REXT Holdings「当社ネットワークへの不正アクセスによる情報漏えいに関する調査結果及び今後の対応について（第5報）」（PDF）と、親会社のRIZAPグループ「当社グループにおける不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び（第5報）」で読めます。REXT HoldingsのPDFは、REXT株式会社のサイトのトップページにある一覧からも開けます。
「REXT会員」とは？
対象一覧にある「REXT会員」について、REXT会員規約は、グループの企業間や実店舗とネットサービスの区別なく「ポイントサービスを統合的に利用できることを目的とした『REXT会員システム』」と説明しています。入会はアプリ上から所定の事項を入力して登録する、と定められています。アプリで会員登録した覚えがある方は、この区分に当たるかどうかを窓口で確認できます。
なお、公式発表は「会員登録に関する情報」「予約に関するお客様情報」「買取に関するお客様情報」という区分で書いており、店頭で買い物をしただけの人や、会員登録をしていない人がどう扱われるかは書かれていません。自分がどの区分に当たるか判断できない場合は、窓口のメールアドレスに問い合わせるのが確実です。
「APORITOオンラインストア」の不正アクセスは別の発表
APORITOは、REXT社へ運営の一部を委託しているRIZAP株式会社の事業で、第5報の対象一覧にも「APORITO事業の顧客及び取引先情報」が入っています。これとは別に、RIZAPグループは「APORITOオンラインストア」への不正アクセスについても発表しており、こちらは問い合わせ窓口も別（RIZAPグループ 情報セキュリティ専用窓口）です。オンラインストアを利用していた方は、RIZAPグループ「『APORITOオンラインストア』への不正アクセスに関するお詫びとご報告（第3報）」もあわせて確認してください。
何が漏れた？「公開を確認」と「漏えいのおそれ」の違い
第5報は、外部専門機関の詳細調査が完了したとして、情報を2つに分けています。この記事でも公式の表現どおりに書き分けています。
| 区分 | 公開を確認した情報（漏えいを確認したもの） | 漏えいのおそれがある情報 |
|---|---|---|
| 規模 | 掲載を確認したファイル合計310件（データ容量約54MB） | 1,044,906件 |
| お客様に関する内容 | 会員登録に関する情報：会員コード、氏名、フリガナ、生年月日、性別、郵便番号、住所、電話番号、メールアドレス | 会員コード、氏名、フリガナ、生年月日、性別、郵便番号、住所、電話番号、メールアドレス |
| そのほかの内容 | 採用応募者のエントリーシート（氏名、性別、生年月日、住所、メールアドレス、電話番号）、従業員の人事関係書類等、取引先の請求書・支払通知書（名称、住所、電話番号、FAX番号、振込口座情報、取引金額等）、個人情報を含まない会計・発注・POS・売上・在庫データなど | 従業員情報、APORITO事業の取引先情報も対象に含まれる |
| クレジットカード情報 | 一覧に記載なし | 「含まれておりません」 |
| 公式の説明 | インターネット上で掲載を確認したもの | 「情報が窃取されたことを示す事実は確認されておりませんが、当該サーバーへのアクセスを否定できないことから、漏えいのおそれがあるものとして取り扱っております」 |
「104万件」は人数？
公式発表の表記は「件数 1,044,906件」で、人数かどうかの説明はありません。また、この件数の対象には、お客様の情報だけでなく従業員情報やAPORITO事業の取引先情報も含まれています。「104万人分が漏れた」という書き方は、公式発表の表現とは異なります。
第5報は、漏えいのおそれがある情報について「2026年10月9日時点において、攻撃者のリークサイト上で、当該お客様情報の公開は確認されておりません」とも書いています。一方、会員登録に関する情報の一部は「公開を確認した情報」に入っており、こちらは漏えいを確認したものとして扱われています。
漏れた項目ごとに起こりうる二次被害
第5報は「現時点において、漏えいしたおそれのある情報が悪用されたことによる二次被害（不正利用や不当な請求等）は確認されておりません」としたうえで、「当社らやグループ各社を装う不審なメール、電話、不審な連絡等」への注意を呼びかけています。住所と電話番号が含まれるため、電話・SMS・メールに加えて郵便物にも気をつけておくと安心です（「公式」と書いたもの以外は一般的な注意点です）。
| 漏れた・漏れたおそれのある項目 | 起こりうること | 注意すること |
|---|---|---|
| 電話番号 | REXTやグループ各社を装う不審な電話（公式）。SMSで偽サイトへ誘導されること | 心当たりのない番号には出ない・折り返さない。SMSのリンクは開かない |
| メールアドレス | REXTやグループ各社を装う不審なメール（公式）。偽サイトへ誘導するフィッシングメール | 本文中のリンクにアクセスしない・返信しない（公式） |
| 住所・郵便番号 | 名前と住所を書いた郵便物やはがきで、支払いや手続きを求める連絡 | 書かれた連絡先ではなく、公式サイトで調べた連絡先で確かめる |
| 氏名・フリガナ・生年月日・性別 | 本人の情報を並べて本物らしく見せる連絡 | 名前や生年月日が合っていても本物とは限らないと考える |
| 会員コード | 会員コードを書いて「会員様へのお知らせ」を装う連絡 | 会員コードが書かれていても、リンクや返信で個人情報を送らない |
電話番号が漏れた場合：知らない番号の着信に注意
今回の項目には電話番号が含まれます。知らない番号からの着信は、出る前に番号の形を確かめると落ち着いて判断できます。番号の桁数から国内・海外を見分ける方法は電話番号の桁数一覧（10桁・11桁・12桁・13桁の見分け方）、検索しても出てこない番号の調べ方は迷惑電話番号の検索・調べ方にまとめています。
うっかり出てしまった・折り返してしまった場合の対処は国際電話に出てしまったときの対処法（折り返し・留守電・料金）、海外からの着信を止めたい場合は国際電話の着信拒否と国際電話不取扱受付センターの申し込み手順、番号を出さない着信が続く場合は非通知着信の理由と拒否設定を参考にしてください。
メールアドレスが漏れた場合：「お詫び」を名乗るメールに注意
第5報は、公開を確認した会員に「速やかに個別にご連絡」するとしていますが、連絡の手段や、メールで連絡する場合の送信元アドレス・件名は書かれていません（2026年10月12日確認）。そのため、「WonderGOO」「新星堂」「REXT」「情報漏えいのお詫び」を名乗るメールやSMSが届いても、本文のリンクから情報を入力したり返信したりせず、公式サイトを自分で開いて確かめるのが安全です。
警察庁も、メールに記載されたリンクは偽装できるとしたうえで、「電子メールやＳＭＳ内のリンクを安易にクリックせず、あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」と案内しています（警察庁「フィッシング対策」）。
今やること（公式の案内と一般的な対策）
公式が案内していること（順番に）
第5報の「二次被害の防止に関するお願い」と「お客様へのご連絡について」に書かれているのは、次の2点です。
- 不審なメール・電話・連絡のリンクにアクセスせず、返信もしない：「当社らやグループ各社を装う不審なメール、電話、不審な連絡等をお受け取りになった場合は、本文中のリンクへのアクセスや返信等をなさらないよう、十分にご注意くださいますようお願い申し上げます」
- 不明な点・心配な点は窓口に問い合わせる：「ご不明な点やご心配な点がございましたら、下記のお問い合わせ窓口までご連絡くださいますようお願い申し上げます」。窓口はREXT Holdings株式会社 対策本部（メールアドレス：contact@rext.jp）
なお、第5報にはパスワードの変更を求める案内は書かれていません。公表された項目の一覧にもパスワードは挙げられておらず、クレジットカード情報は「含まれておりません」とされています（2026年10月12日確認）。
一般的な対策（公式の案内ではないもの）
以下は公式発表の案内ではなく、住所・電話番号・メールアドレスが漏れた（漏れたおそれがある）場合に一般的に取られる対策です。
- 心当たりのない電話には出ない・折り返さない：とくに「+」から始まる番号や見覚えのない番号は、留守番電話に用件が残っているかを確かめてから判断する
- 問い合わせは自分で宛先を入力する：届いたメールに返信せず、公式発表に書かれたアドレス（contact@rext.jp）を自分で入力して送る
- 郵便物の連絡先は使わない：未払い・返金・当選などを知らせるはがきや封書が届いた場合は、書かれた電話番号やURLではなく、公式サイトで調べた連絡先で確かめる
- カードや口座の明細を確認する：今回、クレジットカード情報は含まれないとされていますが、フィッシングで別のサービスのカード情報を入力してしまうと被害につながります。身に覚えのない請求があればカード会社・金融機関に連絡する
- 「補償」「返金」を名乗る連絡に応じない：公式発表には補償の手続きの案内はありません（次の章を参照）
補償・お詫びはある？
第5報には「お客様、お取引先様、加盟店及び従業員の皆様をはじめ、関係する皆様には、長期間にわたり多大なご心配、ご不便をおかけしておりますことを、重ねて深くお詫び申し上げます」というお詫びの文言があります。一方で、補償・お詫び金・ポイント付与などの記載はありません（第1報〜第5報のいずれにも記載なし）。訴訟や賠償についての記載もありません。
「お詫びのポイントを付与します」「補償の手続きをしてください」といった連絡が届いても、本文のリンクから口座番号やカード情報を入力しないでください。今後、補償などの発表があれば、REXT株式会社のサイトや親会社のRIZAPグループのお知らせで確かめるのが安全です。
個人情報の取り扱いに関する事業者への苦情や、個人情報保護法の制度についての質問は、個人情報保護委員会「個人情報保護法相談ダイヤル」（03-6457-9849・9:30〜17:30、土日祝日と年末年始を除く）でも受け付けています。
経緯・原因と第1報〜第5報の履歴
原因について、第5報は「調査の結果、システム障害を検知する以前より、攻撃者が当社らのネットワーク内に侵入していたことが確認されました。攻撃者がネットワーク機器を経由して、当社らのネットワークへ侵入した可能性が高いとの見解が示されております」と書いています。被害については「2026年8月9日未明から同日朝にかけて、本部及び店舗のサーバー・パソコン等、調査対象とした機器の多くで暗号化による被害を確認」し、POSシステムや会計システムなどが止まって一部店舗の営業に影響が出たとしています（この記事では、公式の表現以上の推測は加えていません）。
| 日付 | 公表・出来事 |
|---|---|
| 2026年8月9日（日） | REXT社の一部の社内ネットワークシステムで、ランサムウェアによる不正アクセス被害を確認 |
| 2026年8月10日（第1報） | システム障害と一部店舗の営業変更を公表。WonderGOO・WonderREX・新星堂・HAPiNS・JEANS MATEの店舗で一部休業やサービス制限。個人情報などの外部漏えいの可能性を「完全には否定できない状況」 |
| 2026年8月14日（第2報） | 8月12日以降に外部専門機関の詳細調査を開始し、警察と個人情報保護委員会に報告。漏えいの可能性は「極めて低いと推定」しつつ「完全には否定できない状況」。全店舗の営業再開は8月16日の見込み |
| 2026年8月31日（第3報） | 休業していた全店舗が8月16日に営業を再開。一部サービス・決済方法の制限は9月上旬をめどに解消の見込み |
| 2026年9月11日（第4報） | 流出した可能性のある情報の一部がインターネット上に掲載されていることを確認。調査完了次第、対象者に順次個別にお詫びとお知らせを案内する方針と、専用の問い合わせ窓口（contact@rext.jp。第1報から同じアドレス）を案内 |
| 2026年9月中旬 | 採用応募者・従業員の個人情報を含むファイルの対象27名に個別に通知（第5報で公表） |
| 2026年10月9日（第5報） | 外部専門機関の詳細調査が完了。公開を確認したファイル310件（約54MB）と、漏えいのおそれがある情報1,044,906件を公表。侵入経路の対策とランサムウェアの駆除が完了し、全店で営業を再開していると報告 |
第4報と第5報は、題名が「システム障害」から「情報漏えい」に変わっています。第2報の時点では漏えいの可能性は「極めて低いと推定」とされていましたが、第4報で情報の一部の掲載が確認され、第5報で対象と件数が示された、という流れです。各報のPDFは、REXT株式会社のサイトのトップページのほか、第4報はREXT Holdings「当社ネットワークへの不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び（第4報）」（PDF）で読めます。
同社の対応として、第5報は個人情報保護委員会に調査結果を提出し、警察にもあらためて相談していること、新たに判明した事項は顧問弁護士と確認のうえ追加報告の要否を検討することを挙げています。第4報では、外部専門機関とともに「ダークウェブ等の監視を継続」するとしていました。2026年10月12日に確認した時点で、第6報は出ていません。WonderGOO・新星堂・WonderREXの各サイトに載っている本件のお知らせは、8月17日更新のシステム障害の案内です（情報漏えいについてはREXT Holdingsの発表を案内）。
ほかの事案（電話番号が含まれる情報漏えい）
電話番号が漏えい項目に含まれる事案は、ブックオフの情報漏えい（漏れた項目と今やること）、skyticketの情報漏えい（漏れた項目と今やること）、焼肉きんぐアプリの情報漏えい（漏れた4項目と今やること）でも、公式発表をもとに整理しています。
よくある質問
WonderGOOや新星堂、WonderREXの会員は対象ですか？
A. 第5報で漏えいのおそれがあるとされた情報には、REXT会員登録に関する情報、WonderGOO・新星堂事業の予約に関するお客様情報、WonderREX事業の買取に関するお客様情報が含まれます。また、公開を確認したファイルにも会員登録に関する情報が含まれています。店頭で買い物をしただけの人や退会済みの人の扱いは書かれていないため、自分が当てはまるか分からない場合は、REXT Holdings株式会社 対策本部の窓口（contact@rext.jp）に問い合わせてください。
自分が対象か確認する方法はありますか？通知は来ますか？
A. 自分が対象かを調べる照会ページの案内はありません。公開を確認した会員登録情報の対象者には、第5報の発表後、速やかに個別に連絡するとされています。漏えいのおそれがある情報の対象者のうち、特定して連絡するのが難しい人については、第5報の公表をもって個別の連絡に代えるとされています。連絡の手段は書かれていません。
104万人分の情報が漏れたのですか？
A. 公式発表の表記は「漏えいのおそれがある情報」の件数1,044,906件で、人数かどうかの説明はありません。対象には従業員情報や取引先情報も含まれます。暗号化の被害を受けたサーバーについて、情報が窃取されたことを示す事実は確認されていないものの、アクセスを否定できないため漏えいのおそれがあるものとして扱っている、と説明されています。
クレジットカード番号は漏れましたか？
A. 第5報は、漏えいのおそれがある情報について、クレジットカード情報は含まれていないとしています。公表された項目は会員コード、氏名、フリガナ、生年月日、性別、郵便番号、住所、電話番号、メールアドレスです。
不審な電話やメールが来たらどうすればいいですか？
A. 公式発表は、REXTやグループ各社を装う不審なメール、電話、不審な連絡等を受け取った場合、本文中のリンクへのアクセスや返信等をしないよう呼びかけています。第5報の時点で、二次被害（不正利用や不当な請求等）は確認されていないとされています。心当たりのない番号には出ない・折り返さないことが一般的な対策です。
補償やお詫びのポイントはありますか？
A. 2026年10月9日の第5報までの公式発表に、補償・お詫び金・ポイント付与・訴訟についての記載はありません。補償を名目にカード情報や口座情報を求める連絡には応じないでください。
まとめ
- REXT Holdingsは、2026年8月9日に確認したランサムウェアによる不正アクセスについて、8月10日の第1報から10月9日の第5報まで公表してきた
- 第5報では、インターネット上で掲載を確認したファイル310件（約54MB）を「公開を確認した情報（漏えいを確認したもの）」とし、会員登録に関する情報（会員コード・氏名・フリガナ・生年月日・性別・郵便番号・住所・電話番号・メールアドレス）が含まれると公表した
- 暗号化されたサーバー上のREXT会員・WonderGOOと新星堂の予約・WonderREXの買取・APORITO事業・従業員の情報1,044,906件を「漏えいのおそれ」とした。クレジットカード情報は含まれない
- 公開を確認した会員には個別に連絡。特定が難しい人は公表をもって連絡に代える。照会ページ・退会済みの扱い・連絡手段・補償の記載はない
- 公式の案内は、不審なメール・電話・連絡のリンクにアクセスせず返信しないこと。問い合わせはメール（contact@rext.jp）のみ
この記事は、2026年10月9日の公式発表（第5報）までの情報（2026年10月12日確認）で書いています。続報が出た場合は、REXT株式会社やRIZAPグループの公式のお知らせを優先してください。
出典
- REXT Holdings「当社ネットワークへの不正アクセスによる情報漏えいに関する調査結果及び今後の対応について（第5報）」（PDF）（2026年10月9日・2026年10月12日確認）
- RIZAPグループ「当社グループにおける不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び（第5報）」（2026年10月9日）
- REXT Holdings「当社ネットワークへの不正アクセスによる情報漏えいのおそれに関するお知らせとお詫び（第4報）」（PDF）（2026年9月11日）
- 第1報（8月10日）／第2報（8月14日）／第3報（8月31日）（REXT Holdings・PDF）
- REXT株式会社「REXT会員規約」／RIZAPグループ「『APORITOオンラインストア』への不正アクセスに関するお詫びとご報告（第3報）」
- 警察庁「フィッシング対策」／個人情報保護委員会「個人情報保護法相談ダイヤル」
コメント