ワンダーグーや新星堂など157店のレジが停止、ランサムウェア被害から5日目

トップ/記事一覧/ワンダーグーや新星堂など157店のレジが停止、ランサムウェア被害から5日目

ニュース2026年8月13日公開本日更新

この記事のポイント

ワンダーグー・新星堂・ワンダーレックスなどを運営するREXT株式会社が8月9日にサイバー攻撃を受け、157店舗のレジやポイント、買い取り査定が止まったままです。13日時点でも復旧せず、支払いは原則現金のみ。お客様情報が外部に出た可能性も否定されていません。5日間の経過を時系列で整理しました。

ワンダーグー、新星堂、ワンダーレックス、HAPiNS、ジーンズメイト。これら5ブランド計157店舗を運営するREXT株式会社が、2026年8月9日にランサムウェアによる不正アクセス被害を受けたことを公表しました。ランサムウェアとは、社内のデータを勝手に暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する攻撃です。

影響は店頭に直撃しています。多くの店舗が臨時休業または部分営業となり、営業している店でも支払いは原則現金のみ、ポイントの付与も利用も不可、買い取りの受付と査定は停止。8月13日時点でも復旧していません。5日目です。

お盆の帰省と夏休みが重なる、書店・ホビー店にとって年間でも有数の書き入れ時にあたります。それにもかかわらず、この事案を報じた主要メディアは執筆時点でINTERNET Watchの1本だけです。何が起きているのかを整理します。

店に行くとどうなっているのか

まず、これから店舗に行く予定がある方に必要な情報から書きます。ブランドごとに状況がかなり違います。

ブランド	店舗数	営業	支払い	ポイント	通販
ワンダーグー	43	一部を除き休業 →予約品のみ再開	現金のみ	付与・利用とも不可	発送が 2〜3日遅延
ワンダーレックス	36	臨時休業が中心	現金のみ	利用不可	—
新星堂	25	営業時間の変更・営業制限	一部の電子決済が不可	一部不可	発送遅延
HAPiNS	24	通常営業	原則現金のみ（一部例外あり）	—	通常どおり
ジーンズメイト	24	通常営業（手作業レジ）	原則現金のみ	—	通常どおり

8月11日からは、ワンダーグーの一部店舗で予約商品と抽選当選品の引き渡しに限った部分再開が始まりました。ただし条件は厳しく、現金のみ、ポイント不可、クレジットカードとコード決済も不可、予約券の持参が必要です。トレーディングカードの新弾予約や抽選販売の取り置き期限も延長対応となりました。

見落とされやすいのがワンダーレックスの買い取り停止です。買い取りはリユース店にとって商品の仕入れそのものであり、受付と査定が止まるということは、売る側の入口が閉まっているのと同じです。数日間の停止は、その後の店頭在庫にそのまま響きます。

公式発表は何を認めたのか

親会社であるREXT Holdingsが2026年8月10日に公表したリリースには、こう書かれています。

「2026年8月9日(日)、当社の子会社であるREXT株式会社の一部の社内ネットワークシステムにおいて、ランサムウェアによる不正アクセス被害が発生していることを確認いたしました」

影響として挙げられているのは、店舗の臨時休業と部分営業、営業時間の変更、キャッシュレス決済などの利用制限、買い取り受付と査定の停止、ポイントサービスの休止、そして通販の発送遅延です。実際に店頭で起きていることと一致します。

ここで押さえておきたいのは、この5ブランドがすべてREXT株式会社という1社の運営であるという点です。2022年6月の組織再編でブランドごとの運営会社が1社に統合されており、店舗システムも共通基盤に乗っています。だから1回の攻撃で、書店もリユース店もCDショップも雑貨店もアパレルも、同時に止まりました。ブランドの数だけ会社が分かれていれば、被害はもっと限定されていた可能性があります。

資本の系列でいうと、REXT株式会社の上にREXT Holdingsがあり、その上にRIZAPグループがあります。RIZAPグループは札幌証券取引所アンビシャス市場に上場していますが、本件について証券取引所への適時開示は行われておらず、企業リリースとしての公表にとどまっています。なお、RIZAPグループは8月14日に四半期決算の発表を控えています。

5日間で何が起きたのか

公式発表と各店舗の告知をもとに、経過を並べます。

← スワイプで移動

情報を出していたのは店舗のアカウントだった

この事案でもうひとつ目立つのが、情報発信の経路です。

レジが止まった8月9日の午前中、状況を最初に伝えたのは本社でもブランド公式アカウントでもなく、個々の店舗が運営しているSNSアカウントでした。「全店サーバートラブル、レジ不可」という短い投稿です。

ワンダーグーの公式アカウントが本件に触れたのは、8月12日の13時11分。障害の発生から3日、会社としての公表からも2日が経っていました。その間、店舗アカウントだけが個別に状況を告知し続けている状態が続きます。

利用者側からは、この沈黙への不満が複数投稿されています。「全店死んでいるのに個別店舗のアカウントだけ。公式もサイトも告知なし」「システム障害のことを何も発信しないなら何が公式アカウントなのか」といった内容です。店まで足を運んで買えずに帰った、取り置きも断られた、という報告も並んでいます。

障害時の広報は、対外的な体裁の問題ではありません。「今日その店に行くかどうか」を利用者が判断するための実用情報です。ここが遅れると、来店した人が全員無駄足を踏み、そのぶんクレームと現場負荷が増えます。実際、部分再開の具体的な条件（現金のみ、予約券持参、ポイント不可）を最も早く正確に出していたのは、やはり店舗アカウントでした。障害発生時に何をどう切り離し、どう伝えるかという初動の設計は、システム側の備えと同じくらい効きます。

お客の情報は漏れたのか

REXT Holdingsのリリースには、こう書かれています。

「現時点の調査において、REXT社が保有するお客様の個人情報や取引先情報等の外部漏えいの可能性を完全には否定できない状況です」

つまり、漏えいが確認されたわけではないが、否定もできていないという段階です。件数も項目も公表されていません。個人情報保護委員会などへの法的な報告は「進める」と表明されており、完了したとは書かれていません。この種の事案では、調査が進むにつれて範囲が具体化していくのが通例です。

攻撃した側については、現時点で分かっていることがほとんどありません。整理すると次のようになります。

✓ 確認済みの事実

✓8月9日にランサムウェアによる不正アクセス被害を確認（出典）
✓お客様情報などの外部漏えいの可能性を完全には否定できない、と公式が表明
✓攻撃者が公開するリークサイトに、REXTおよび5ブランドのいずれの名前も掲載されていない（8月13日時点）
✓8月13日時点で全面復旧しておらず、復旧予定日は公表されていない

? 現時点で分かっていないこと

?攻撃したグループの名前 ― 犯行声明は確認されていない
?侵入経路 ― 公式は一切公表していない
?身代金の要求があったかどうか、金額 ― 情報なし
?漏えいの件数・項目 ― 未開示
?休業している店舗の正確な数 ― 店舗別の一覧は公表されていない

リークサイトへの掲載がないことは、そのまま「盗まれていない」を意味しません。攻撃側は身代金交渉が決裂してから公開に踏み切るのが一般的で、暗号化から掲載まで2〜4週間空くことも珍しくないためです。主要なランサムウェア集団の名前と手口については別記事で整理していますが、今回はまだどのグループの名前も出てきていません。

なぜレジは止まり、通販は動いていたのか

ここは技術側の話です。今回の被害範囲には、はっきりした偏りがあります。

止まったのは、店舗のレジ、電子決済、ポイント、買い取り査定、そして通販の受注処理。一方で、ジーンズメイトとHAPiNSの公式オンラインショップは通常どおり動いていました。同じグループの同じ攻撃で、片方は壊滅し、片方は無傷です。

この差は、システムがどこで動いているかの違いで説明がつきます。オンラインショップは外部のサービス上で動いており、社内ネットワークとは別の場所にあります。対して店舗のレジやポイント、買い取り査定は、社内の基幹システムに接続されて初めて成立する仕組みです。攻撃を受けたのは「一部の社内ネットワークシステム」であり、そこにぶら下がっていたものだけが道連れになりました。

レジは特に厳しい立場にあります。商品バーコードの読み取りは端末側でできても、価格の照合、在庫の引き当て、ポイントの計算、クレジットカードの与信は、どれも中央のシステムに問い合わせて答えを待つ処理です。通信先が沈黙した瞬間、レジは金額を出せなくなります。ジーンズメイトとHAPiNSが手書き伝票と現金に切り替えて店を開け続けられたのは、扱う商品が衣料・雑貨で、ポイントや買い取りへの依存が小さかったからでしょう。トレーディングカードの抽選販売や中古品の査定を、手書きで代替するのは現実的ではありません。

この「情報システムの障害が、そのまま物理的な商売を止める」構図は、近年の国内事案で繰り返し出てきているものです。サイバー攻撃が倉庫と冷凍食品の流れを止めた件や、VPN機器1台の侵入から会社の決算まで止まった件でも、同じことが起きました。警察庁の統計によれば、ランサムウェアの侵入経路は6割超がVPN機器経由で、被害企業の95%以上はウイルス対策ソフトを導入していたにもかかわらず、その7割超は検知できていません。

同じグループで2か月前にも起きていた

見過ごせないのは、これがREXTグループにとって初めてではないことです。

2026年6月1日、REXT Holdingsの連結子会社であるD&MがVPN機器を経由してランサムウェアに感染し、6月12日に公表しています。FAXで受け付けた注文データ633件が流出した可能性があるとされました。今回の被害からわずか2か月前です。

さらに親会社側でも、8月10日に別件が同日開示されています。RIZAPグループが運営する通販サイトで不審な外部送信プログラムが見つかり、サイトを閉鎖したという内容です。同じ日に、同じグループから、性質の異なるセキュリティ事案が2件公表されたことになります。

個々の事案の因果関係は公表されていないので、つなげて断定はできません。ただ、グループ全体で見たときに、事案が短い間隔で反復しているのは事実です。子会社ごとにシステムも管理体制も分かれている企業グループでは、1社で得た教訓が他社に渡らないまま、同じ弱点が別の場所で使われることがあります。3月だけで国内製造業7社が被害を公表した件を整理したときにも、同じ構図が繰り返し出てきました。

復旧にはどれくらいかかるのか

復旧の見込みは公表されていません。参考として、近年の国内事案で実際にかかった日数を並べます。

事案	発生	販売の部分再開	全面正常化	業績への影響
トキハインダストリー	2025年3月	翌日（全店）	カード決済は 2か月以上停止	親会社が債務超過に
アスクル	2025年10月	10日	117日	純損失 221億円
アサヒグループ	2025年9月	10日	190日	約400億円
KADOKAWA ／ドワンゴ	2024年6月	書籍出荷約70日	約4か月	売上約83億円減
ニチレイ	2026年7月	—	11日	取引先にも波及
REXT （今回）	2026年8月	2日（予約品のみ）	未定	未開示

警察庁の統計では、ランサムウェア被害からの復旧に1か月以上を要したケースが約47%を占めます。1週間未満で済んだのは約21%です。今回のREXTは発生2日目に予約品の引き渡しだけ再開できており、初動としては早い部類に入ります。ただ、レジ・ポイント・買い取り査定という店舗の中核機能がまだ戻っていない以上、全面正常化の物差しは「日」ではなく「週」や「月」で見ておくのが現実的です。

とりわけ気になるのが、この時期です。お盆商戦、夏休み、そしてトレーディングカードの新弾発売が重なる期間の売上を、ほぼ丸ごと落とすことになります。アサヒグループの被害が最終的に決算の数字として現れるまでの経過を追ったときにも書きましたが、この種の損失は事故の直後ではなく、数か月後の業績発表で輪郭が見えてきます。RIZAPグループの決算発表は8月14日です。

157店舗が止まっても、ニュースにはならない

最後に、この事案でいちばん引っかかった点を書いておきます。

5ブランド157店舗が5日間まともに機能していないにもかかわらず、報じたのはINTERNET Watchの1本だけです。セキュリティ専門メディアも、地元紙も、執筆時点では動いていません。X上では利用者から「なんでニュースにならないんだ」という投稿が出ています。

理由を推測するなら、店舗が北関東を中心とした地域に集中していること、親会社が全国区の知名度を持つ上場企業ではないこと、そして被害が「サービス停止」であって「大規模な情報流出」としてまだ確定していないこと。この3つが重なると、全国紙の紙面には乗りません。

ただ、その店を日常的に使っている人にとって、規模の大小は関係ありません。予約していた新刊が受け取れない、貯めたポイントが使えない、売るつもりで持ち込んだ品が査定してもらえない。ある投稿では、新星堂で予約できなかったCDを別の通販で予約し直したと書かれていました。止まっている数日のあいだに、客はよそへ流れます。復旧してもそのぶんは戻ってきません。

国内でランサムウェアの被害報告は2025年に226件と過去最多を更新し、その大半は名前を知られていない中小の企業です。今回のように「全国ニュースにはならないが、その地域の生活は確実に止まっている」事案が、統計の数字の裏には毎月積み上がっています。REXTの続報、そして8月14日のRIZAPグループの決算発表での言及があれば、追記します。