相次ぐ個人情報流出と不正ログイン対策｜事業者が今見直す本人認証

2026 年 9 月下旬から、数百万件規模の個人情報の流出（またはその可能性）の公表が続いています。10 月 9 日には内閣官房の国家サイバー統括室が、大量の個人情報を扱う事業者などに向けて、対策の徹底を速やかに検討するよう求める文書を公表しました。

流出の公表は、被害の終わりではありません。流出したメールアドレスや氏名は、その後のフィッシングや不正ログインに使われます。本記事では、公表された事実と政府の要請を整理したうえで、自社のサービスのログインで今見直すべき点をまとめます。

本記事は 2026 年 10 月 9 日時点の公表資料と報道にもとづいています。件数や項目は各社の調査で変わることがあるため、末尾の出典で最新の情報をご確認ください。

何が起きているのか

10 月 9 日だけでも、複数の事業者が流出または流出の可能性を公表しました。主なものを公表・報道の内容のまま並べます。

JR 東日本と JR 九州は、利用していた外部のクラウドサービスが不正アクセスを受けたことによるものと報じられています。スズキも、サイトを運営する委託先のサーバーへの不正アクセスと公表しています。自社のシステムだけでなく、委託先やクラウドを経由した流出が目立ちます。

これに先立つ 9 月 28 日には、宿泊予約の管理システムを提供する手間いらずが、システムへの不正アクセスを公表しました。宿泊施設の予約者に、予約内容を知っているとみられる不審なメッセージが届き、クレジットカード情報の再入力や支払いを求めて偽サイトへ誘導していたというものです。流出した情報が、そのまま次の詐欺に使われた例です。

国家サイバー統括室が求めたこと

国家サイバー統括室の文書「不正アクセスによる漏えい等の事案を踏まえた対応について」は、大量の個人情報や機微な情報を扱う事業者に向けて、3 つの分野で対策のポイントを挙げています。

1. ウェブシステム等の適切な管理。 インターネットに公開しているシステムは「いつ攻撃を受けてもおかしくない」という前提で対策を講じるよう求めています。修正プログラムの速やかな適用、サポートが終わった製品を使わないこと、定期的な脆弱性診断に加え、アカウント管理・認証として多要素認証（MFA）の導入、推測されやすいパスワードの禁止、不要なアカウントの無効化を挙げています。ログの取得と、外部からの異常な認証試行の把握も含まれます。
2. サプライチェーンを通じた侵害への対策。 委託先や再委託先のセキュリティ対策を、契約時だけでなく継続的に確認すること。委託先に渡す情報を最小限にし、業務の終了後は削除させること。
3. データの適切な管理。 持っている情報の棚卸しと、不要になった情報の削除。保存データと通信の暗号化、パスワードや認証情報を平文で保存しないこと、クラウドの公開設定とアクセス権限の確認。

文書は、AI の悪用を含む攻撃の手口が高度化・巧妙化しているとして、経営層に対し、サイバーセキュリティを経営課題と位置づけ、投資と体制の整備を含めて対策を強めるよう求めています。

流出の次に来るのは「なりすましログイン」

流出した情報にクレジットカード番号が含まれていなくても、安心はできません。メールアドレスや氏名、生年月日は、次のような形で使われます。

本物らしいフィッシング

氏名や予約内容、会員であることを知った上で送られてくるメールや SMS は、見分けがつきにくくなります。手間いらずの例のように、本物の情報を添えて偽サイトへ誘導し、パスワードやカード情報を入力させます。ブックオフグループホールディングスも公表の中で、同社グループや関係先を装った連絡への注意を呼びかけています。偽サイトで入力されたパスワードは、本物のサイトへのログインにそのまま使われます。

パスワードの使い回しを狙った総当たり（リスト型攻撃）

多くのサービスでは、メールアドレスがログイン ID を兼ねています。攻撃者は、流出したメールアドレスの一覧と、過去に別のサービスで漏れたパスワードを組み合わせて、さまざまなサービスでログインを試します。利用者が同じパスワードを使い回していれば、流出とは無関係のサービスにも入られます。パスワードがハッシュ化されていても、短く推測しやすいものは時間をかければ割り出されることがあります。

乗っ取ったアカウントで何をされるか

ログインに成功した攻撃者は、ポイントの換金、登録済みのカードでの購入、配送先やメールアドレスの書き換えを行います。メールアドレスを書き換えられると、本人がパスワードを再設定しようとしても通知が届かず、取り戻すのが難しくなります。

つまり、自社が流出元でなくても、他所の流出の影響は自社のログイン画面に届きます。流出が相次ぐ今は、ログインの守りを見直す時期です。

事業者が今見直すこと

前提: 脆弱性の修正と監視

まず、流出そのものを防ぐのは、政府の文書が挙げるとおり、脆弱性の修正、委託先の管理、持つ情報の最小化、ログの監視です。以下の認証の見直しは、それに代わるものではありません。そのうえで、流出した情報を使った不正ログインを止めるのがログインの役割です。

パスワードを前提にした対策

• 推測されやすいパスワード・漏えい済みのパスワードを拒否する。 登録やパスワード変更のとき、よく使われる文字列や、過去の流出で知られている文字列を受け付けないようにします。
• 試行回数を制限し、異常な試行を見つける。 同じアカウントへの連続した失敗だけでなく、同じ接続元から多数のアカウントへ試す動きを検知します。
• 新しい端末からのログインや、重要な変更を本人に知らせる。 ログイン、パスワードの変更、メールアドレスの変更があったときに通知を送れば、乗っ取りに早く気づけます。メールアドレスの変更は、変更前のアドレスにも知らせます。
• パスワードを適切な方式でハッシュ化して保存する。 平文や、単純なハッシュのままにしないこと。政府の文書も、パスワードや認証情報を平文で保存しないよう求めています。

多要素認証と、その弱点

多要素認証は、パスワードが漏れても他の要素が無ければ入れないため、不正ログインを大きく減らせます。ただし SMS や認証アプリのワンタイムパスワードには、偽サイトに入力させたコードをその場で本物のサイトへ転送する手口があります。フィッシングが精巧になるほど、この弱点は効いてきます。

アカウントの復旧が抜け道になる

見落とされやすいのが、パスワードを忘れたときやメールアドレスを変えるときの手続きです。本人確認に生年月日や電話番号を使っている場合、それらが流出していれば確認の意味がなくなります。ログインそのものを強くしても、復旧の手続きが弱ければ、攻撃者はそちらから入ります。窓口での本人確認や、メールだけで完結する再設定の流れも点検の対象です。

パスキーで、なりすましログインを断つ

パスキーは、端末の生体認証などでログインする、公開鍵暗号を使った方式です。なりすましログインに対しては、次の 2 点が効きます。

• フィッシングに強い。 署名にはサイトのドメインが含まれ、偽サイトではブラウザがその鍵を使いません。利用者が偽サイトを開いてしまっても、転記できるコードやパスワードがありません。
• サーバーに、ログインに使える秘密を置かない。 サービス側に保存するのは公開鍵だけで、秘密鍵は利用者の端末から出ません。データベースが流出しても、そこからログインに使える情報は得られません。使い回しも起きません。

ただし、パスキーはサーバーへの侵入を防ぐものではありません。メールアドレスや氏名が流出すれば、フィッシングのメールは届きます。パスキーが断つのは、その先のなりすましログインです。役割を分けて考えることが大切です。

どう進めるか

既存のログインを一度に作り替える必要はありません。現実的なのは、今のログインを残したままパスキーを追加し、利用者に登録を促す進め方です。

1. パスキーを追加の選択肢として入れる。 ログイン後の設定画面や、ログイン直後の案内から登録してもらいます。
2. 登録の入口を守る。 パスキーの登録は、本人確認済みの状態でのみ受け付けます。盗まれたパスワードで入った攻撃者が自分のパスキーを登録できてしまうと、意味がなくなります。
3. 復旧の手順を決める。 端末を無くした利用者をどう確認して再登録させるかを、公開の前に決めます。
4. パスワードを閉じる時期を決める。 登録が進んだら、パスワードだけのログインを段階的に止めます。

パスキーの仕組みと普及の状況は「パスキーとは何か｜急に広がった理由と、自社サービスへの入れ方」に、導入方法ごとの費用は「パスキー認証の導入費用｜Auth0・Cognito・Hanko の料金比較」に、手順は「パスキー導入の手順｜パスワードレスへ段階的に移行する方法」にまとめています。

当社は、既存のログインにパスキーを追加できる認証基盤「SealGate」を提供しています。登録・認証・失効・復旧を API で提供し、SealGate が保存するのは公開鍵と利用者 ID の対応だけです。流出が相次ぐ中での具体的な進め方は、SealGate のブログ「個人情報の流出が相次ぐ今、パスキーをどう入れるか」でも解説しています。

出典

• 内閣官房国家サイバー統括室: 不正アクセスによる漏えい等の事案を踏まえた対応について（2026 年 10 月 9 日、PDF）
• ブックオフグループホールディングス: 不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（2026 年 10 月 9 日、PDF）
• skyticket: 不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（2026 年 10 月 9 日）
• スズキ: 当社コミュニティサイト「スズキヴィレッジ」への不正アクセスに関するお知らせ（2026 年 10 月 9 日）
• 手間いらず: 不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ（2026 年 9 月 28 日、PDF）
• ITmedia NEWS: JR東日本、「えきねっと」「ビューカード」などで漏えいか メルアドなど最大609万件
• NHK: JR九州の顧客メールアドレス最大130万件漏えいおそれ
• ITmedia NEWS: 国家サイバー統括室、不正アクセスによる漏えい事案受け注意喚起