【解説】JFA Passport・カーセンサー・Joshinなど6件、不正アクセスと不審なアクセスの公表を整理

日本サッカー協会は、公式アプリへの不正アクセスを受け、当面はログアウトや再インストールを控えるよう利用者に呼びかけました。不具合のときに多くの人がまず試す操作です。10月17〜18日には、カーセンサーやJoshinなどからも、被害の範囲が分かる前にサービスを止めたという公表が続きました。

2026年10月17〜18日に明らかになった国内の不正アクセスや不審なアクセスの公表のうち、6件を整理した。日本サッカー協会（JFA）は、公式アプリ「JFA Passport」に10月17日3時25分頃から19時頃まで不正アクセスがあり、アプリの機能の一部を止めたと発表した。リクルートは、『カーセンサーnet』関連システムへの外部からの不審なアクセスを17日に検知し、同日17時頃から関連する全てのサービスを止めた。Joshinはネットワークへの不正アクセスで一部のサービスを提供できない状態にあり、石川コンピュータ・センターは顧客向けサポートサイトを、会員管理システム「DIGYM」は全サイトを止めた。この5件は、影響の範囲を調べている段階にある。東北電力フロンティアは、Studioへの不正アクセスで、問い合わせフォームの延べ182件の情報が漏洩した可能性があるとした。

10月16日に公表されたAstemo、岩井コスモ証券、函館市などの5件は前回の記事で、Studio、コミックシーモア、日本郵便などの8件はその前の記事で整理しました。ゲオやセカンドストリートを運営するセカンドリテイリングの件は、別の記事で取り上げます。この記事では、10月17〜18日に明らかになったほかの6件を取り上げます。カーセンサーは、サイト上の告知に掲載日の記載がないため、告知の内容に沿って書きます。各サービスの状況は、10月19日朝の時点のものです。

6件のうち5件は、情報への影響を調べている段階で、サービスの停止やアクセスの遮断を知らせる公表です。JFA、リクルート、Joshin、石川コンピュータ・センター、DIGYMは、不正アクセスや不審なアクセスを検知または認識したあと、アプリやサイト、サービスを止め、影響の範囲などを調べていると説明しています。10月15日にサービスを止めたコミックシーモアは、翌16日に会員情報の流出を確認しました。今回の5件も、続報で調査結果が示されていく段階の報告です。

10月17〜18日に明らかになった6件

組織	止めたもの・状況（各組織の説明）	利用者への案内
日本サッカー協会（JFA）（10月18日）	公式アプリ「JFA Passport」の機能の一部を停止。個人情報を含む利用者情報への影響は調査中	当面、アプリからのログアウト、再ログイン、再インストールなどを控える
リクルート（カーセンサー）（サイト上の告知）	10月17日17時頃から、『カーセンサーnet』、アプリ版『カーセンサー』、販売店向け『C-match』など関連する全てのサービスを停止。原因と影響範囲は調査中	再開の見込みが立ち次第、各サービスのウェブサイトなどで知らせる
Joshin（10月17日）	外部からのアクセスを制限した結果、一部のサービスを提供できない状態。情報流出の有無は確認中で、個人情報保護委員会へ第一報	問い合わせはお客様相談室へ
石川コンピュータ・センター（10月17日）	顧客向けサポートサイトを停止し、サーバを遮断。原因と侵入経路を調査中	新たな事実が判明したら知らせる
デジサポート（DIGYM）（10月17日）	全サイトへのアクセスを一時的に遮断。個人情報が漏洩した可能性があり、詳細は調査中	不審なメールや電話、身に覚えのない連絡に注意
東北電力フロンティア（10月17日）	Studioへの不正アクセスで、問い合わせフォームの延べ182件に漏洩の可能性。2つのサイトのフォームを閉鎖	対象者にメールで連絡。不審なメールや電話に注意

JFA Passport｜未明から19時頃まで続いた不正アクセス

日本サッカー協会（JFA）は10月18日、公式アプリ「JFA Passport」に第三者による不正アクセスがあったと発表しました。不正アクセスがあったのは、10月17日3時25分頃から19時頃までです。検出後、アプリのサービス提供会社と連携して不正アクセスの経路を遮断するなどの対策をとり、それに伴ってアプリの機能の一部を一時的に止めています。

個人情報を含む利用者情報への影響は、調査中です。現時点の調査では、JFAが利用するその他のシステムへの影響は確認されていないとしています。情報漏えいが確認された場合は、関係法令などを踏まえて対応する方針です。

JFA Passportは、日本代表の動画やイベントへの参加申し込み、クーポンなどを提供するJFAの公式アプリです。2024年1月からは、選手証や監督証、指導者証、審判証といったJFA登録証の表示にも使われています。サッカーを観る人だけでなく、プレーする人や指導する人も使うアプリです。止めている機能が具体的にどれかは、発表では示されていません。

発表の中で、利用者に向けた具体的なお願いは一つです。当面の間、アプリからのログアウト、再ログイン、再インストールなどの操作を控えてほしいというものです。理由は、安定したサービス提供に向けた確認を行っているため、と説明しています。アプリの調子が悪いとき、多くの人がまず試すのが、ログインし直すことや入れ直すことでしょう。その操作を、いまは控えてほしいという案内です。調査と復旧の状況は、公式サイトJFA.jpで知らせるとしています。

カーセンサー｜販売店向けの業務支援サービスも停止

リクルートは、運営する中古車情報サイト『カーセンサーnet』の関連システムに対して、10月17日に外部からの不審なアクセスを検知しました。顧客と取引先の安全確保と影響の確認のため、同日17時頃から、関連する全てのサービスを一時停止しています。対象には、『カーセンサーnet』、アプリ版『カーセンサー』に加え、中古車販売店向けの業務支援サービス『C-match』も含まれます。

告知は、サイトにアクセスした人に表示される形で出ています。原因と影響範囲は詳しく調べている最中で、サービス再開の見込みが立ち次第、各サービスのウェブサイトなどで知らせるとしています。知らせるべき事実が確認された場合も、速やかに案内する方針です。

日刊自動車新聞は、18日夕方の時点でもサイトなどを利用できない状態が続いていると報じました。販売店はC-matchを通じて、カーセンサーへの車両の掲載や値付けを行っているとも伝えています。止まっているのは中古車を探す人の窓口だけではなく、販売店の日々の業務の道具でもあります。

Joshin｜「可能性も否定できない」段階で第一報

家電量販店を展開するJoshinは10月17日、同社のネットワークが第三者による不正アクセスの影響を受け、一部のサービスを提供できない状態になっていると発表しました。不正アクセスを認識したのは10月16日です。すぐに外部からのアクセスを制限するなどの対策をとった結果、一部のサービスが止まっています。どのサービスが止まっているかは、発表では示されていません。

外部の専門機関と連携して、不正アクセスの詳細と影響範囲を調べ、個人情報やその他の重要な情報が流出したかどうかを確認しています。現時点では個人情報の漏洩の可能性も否定できないとして、個人情報保護委員会に第一報を入れたとしています。

個人情報保護法は、報告の対象となる漏えいが「発生したおそれ」がある段階でも、事業者に個人情報保護委員会への報告を求めています。速報を出し、調査の結果を確報で補う仕組みです。Joshinの説明も、漏えいの確定を待たずに第一報を入れたというものです。

石川コンピュータ・センターとDIGYM｜事業者向けのサービスが止まる

石川県金沢市の石川コンピュータ・センターは、公共機関や医療機関、民間企業向けのソフトウェア開発を手がけています。10月17日の発表によると、16日に、同社が運営する顧客向けサポートサイトへの第三者による不正アクセスを確認しました。サービスを止めてサーバを遮断し、原因と侵入経路の特定、影響範囲の調査、復旧に向けた対応を進めています。

DIGYM（デジム）は、デジサポートが提供するクラウド型の会員管理システムです。会員管理や予約、決済をまとめて扱う店舗運営の仕組みとして紹介されています。10月17日のお知らせでは、不正アクセスを検知したため、全サイトへのアクセスを一時的に遮断したとしています。個人情報が漏洩した可能性があり、詳細は調査中です。念のためとして、不審なメールや電話、身に覚えのない連絡に注意するよう呼びかけています。

石川コンピュータ・センターでは顧客向けのサポートサイトが、DIGYMでは店舗運営を支える会員管理システムに関わるサイトが止まっています。サービスを利用する事業者や、その先の利用者にどのような影響があるかは、今後の公表で確かめることになります。

東北電力フロンティア｜Studioの利用企業の公表が続く

東北電力フロンティアは10月17日、イベント関連のWebサイトの制作と運用に使っていたStudioのサービスへの不正アクセスで、同社が管理する個人情報など延べ182件が外部に漏洩した可能性があると発表しました。16日にStudioから連絡を受けています。

Studioによると、不正アクセスが確認されたのは9月30日から10月1日（日本時間）にかけてで、10月14日に対処を終えるまで、クラウド環境内のデータを外部から取得できる状態にありました。東北電力フロンティアでは、5つのイベント関連サイトの問い合わせフォームに入力された会社名、氏名、メールアドレス、電話番号、問い合わせ内容が対象になります。電気や光回線の契約に関わる顧客の情報と、イベントに実際に参加した人の個人情報は、Studioのフォームを使っていないため対象外です。現時点で、第三者が実際に情報を取得した事実は確認されていません。

同社は2つのサイトの問い合わせフォームを閉鎖し、対象者にはメールで連絡するとしています。Studioの第一報と、Link-Uグループなど利用企業の公表が始まったことは、10月17日の記事で伝えました。提供元の公表のあとに、利用企業の公表が一件ずつ続く形が、ここでも表れています。

この段階で利用者ができること

6件の公表文を並べると、利用者に求めていることは多くありません。

1つ目は、公式の案内どおりに動くことです。JFAは、アプリからのログアウト、再ログイン、再インストールを控えるよう求めています。リクルートは、再開の見込みを各サービスのウェブサイトなどで知らせるとしています。JFA Passportでは、案内された操作を控えて続報を待ちます。ほかのサービスでも各組織の案内を確かめ、不審な連絡や身に覚えのない利用に気づいたら、公式の窓口に相談するのが確実です。なお、今回取り上げた6件の公表文には、利用者にパスワードの変更を求める記述はありません。

2つ目は、なりすましの連絡に注意することです。DIGYMと東北電力フロンティアは、不審なメールや電話に注意するよう呼びかけています。サービスが止まっている間に再開や確認を名目にした連絡が届いても、メールやSMSのリンクからではなく、公式サイトや公式アプリから確かめるのが確実です。リンクを使わず公式の入口から入るという考え方は、10月7日の記事でも、個人にできる対策の一つとして取り上げました。

3つ目は、続報で自分に関わる項目を確かめることです。コミックシーモアは停止の翌日に流出を確認し、流出した項目を示しました。止めた段階にある5件の公表では、対象者や情報の項目の詳細はまだ示されていません。続報が出たら、自分が対象に含まれるか、どの情報が対象か、何をするよう求められているかを、公式の発表で確かめることになります。

止めて調べる時間

不正アクセスへの対応では、被害の拡大を防ぐために、アクセスを制限したりサービスを止めたりすることがあります。JFAは被害拡大防止のための対策として、リクルートは安全確保と影響の確認のため、DIGYMはセキュリティ確保の観点からと、それぞれ理由を説明しています。止めている間、利用者は使いたいサービスを使えず、販売店や店舗は業務の道具を失います。それでも各組織は、影響の範囲が分かる前の段階で、停止や遮断を公表しました。

影響範囲の調査が続く中で、停止や遮断を知らせる。今回の5件は、その途中経過を利用者と共有する公表です。対象の範囲を具体的に示した東北電力フロンティアの発表も含め、続報で自分に関わる情報が示されていないかを、公式の案内で確かめていくことになります。止めて調べる時間は、利用者にとっても、落ち着いて備える時間です。