Z会の「Z-ID」で13件のパスワードが勝手に変えられる。パスワード再設定の機能を一時停止

01発表されている事実

1. 2026年10月15日未明

   Z-IDのパスワード再設定機能で、通常と異なる短時間の連続したパスワード変更が13件発生

2. 10月15日11時ごろ

   一部の利用者のアカウントで、第三者によるパスワードの再設定を確認

3. 10月19日

   第一報を公表

4. 10月20日14時30分

   セキュリティを強化したうえで、パスワード再設定の機能を再開

対象の13アカウントでは、氏名、メールアドレス、Z-IDが第三者に閲覧された可能性があります。ほかの情報が閲覧されたことは、現時点で確認されていません。Z会は、サーバーやデータベースへの直接の侵入や、顧客情報の社外への流出は確認されていないとしています。パスワードを変えられたZ-IDは一時停止し、対象の利用者には個別に連絡しました。不正利用などの二次被害も確認されていません。原因と影響範囲の調査を続けており、最終報を出すとしています。問い合わせは専用フォームか電話（0120-636-322、平日10時〜18時）です。

02読者への影響

Z会は、どのようにして再設定が行われたのか、詳しい原因をまだ公表していません。一般に、パスワード再設定の機能は登録メールアドレスに届くリンクや確認コードで本人を確かめます。そのため、登録メールアドレスのアカウントを他人に使われると、そこにつながる別のサービスのアカウントまで奪われるおそれがあります。原因がはっきりする前でも、利用者として備えられることはあります。

03今すぐやること

1. Z-IDに登録したメールアドレスのアカウント（GmailやYahoo!メールなど）に、他と違うパスワードと二段階認証を設定する
2. Z-IDのパスワードを他のサービスで使っていないか確かめる。使っていれば別のものに変える
3. 「パスワードを変更しました」という覚えのない通知が届いたら、すぐ公式サイトからログインを確かめ、窓口に連絡する
4. 子どもの学習用アカウントも、保護者がパスワードの管理を手伝う

04同じことを防ぐには（会員サイトを運営する企業）

パスワード再設定の機能は、ログイン画面より対策が手薄になりやすい部分です。短時間の連続した再設定を止める回数制限、再設定のときの追加の本人確認、変更後に本人へ知らせる通知が基本になります。Z会のように、異常に気づいたら該当の機能をいったん止め、強化してから再開する判断も被害を小さくします。子ども向けのサービスでは、保護者のメールアドレスが登録されていることが多く、保護者側のアカウントの守りも大切です。図鑑では、脆弱性診断のサービスと、パスワード管理アプリを比べられます。