不正ログイン対策、会員サイト・ECサイトの運営者がすぐやること｜リスト型攻撃の気づき方とログの見方、被害時の対応

01この記事でわかること（3行まとめ）

• 不正ログインの多くは、他で漏れたIDとパスワードの使い回しを狙う「リスト型攻撃」です。店のシステムが無事でも、会員のアカウントに入られます。
• ログの「失敗の急増」と「同じ接続元からの大量の試行」で気づけます。ログイン後のメールアドレスや配送先の変更、ポイント交換も見張る場所です。
• すぐやる対策は5つです。試行回数の制限、多要素認証やパスキー、ログイン通知、CAPTCHAなどのボット対策、WAFです。被害が出たら、対象のパスワードを初期化し、本人への連絡と個人情報保護委員会への報告を進めます。

攻撃の名前や基本の意味はリスト型攻撃の用語ページ、ハッキング全体の話はハッキングのまとめにあります。この記事は、会員サイトを運営する側がすることに絞ります。

02リスト型攻撃とは：他社で漏れたIDとパスワードで入ってくる

リスト型攻撃は、別のサービスから漏れたIDとパスワードの組み合わせを大量に集め、それを使って他のサイトにログインを試す手口です。総務省の「国民のためのサイバーセキュリティサイト」も、「サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています」と説明し、パスワードを複数のサービスで使い回さないよう呼びかけています。

運営者にとってやっかいなのは、入ってくるときに使われるのが正しいIDとパスワードだという点です。附属文書20（EC加盟店向けのセキュリティ対策の導入ガイド）は、IDはメールアドレスであることが多く、なりすましの不正ログインが実行されても正常なログインになるため、店は気づきにくいと書いています。また、会員用のログイン画面は誰でも開ける場所にある必要があり、アクセスを絞りにくいことも指摘しています。

似た手口に、IDを決めてパスワードを片っ端から試す総当たり攻撃（用語ページ）があります。リスト型攻撃は、本物の組み合わせを1回ずつ試すので、1つのアカウントあたりの失敗回数は少なく、アカウントのロックだけでは止めきれないことがあります。その分、サイト全体で見ると、失敗の数が異常に多くなります。

2026年8月の「ファンくる」の件（記事）では、8月20日22時から8月24日13時までに試行が5,060,270回あり、59,389人のアカウントへのログインが成功しました。ファンくるは、同社からIDやパスワードが漏れた形跡はないとしています。それだけ多くの人が、どこかで漏れたものと同じパスワードを使っていたとみられます。

03数字で見る不正ログインの現状

不正アクセス禁止法にもとづいて毎年公表される「不正アクセス行為の発生状況」（2026年3月12日公表、2025年1〜12月が対象）の主な数字です。

警察に検挙された件の9割以上は、システムの弱点を突く型ではなく、他人のIDとパスワードを使う型でした。そして不正に使われた先の3割は、会員用などの専用サイトです。会員サイトは、狙われる側の真ん中にいるということです。

同じ資料は「防御上の留意事項」として、アクセス管理者（サービスを運営する側）に、ログの取得、不審なログインの監視、パスワードの使い回しをしないよう利用者に知らせること、ワンタイムパスワードなどの二要素認証に加えてパスキーのようなフィッシングに強い認証の導入などを求めています。次の節から、これを会員サイトの運営に落とし込みます。

04狙われるもの：ポイント・登録済みのカード・個人情報

攻撃者は、入ったアカウントで何ができるかを見ています。会員サイトで狙われやすいのは次のものです。

• ポイントやギフト：現金や商品に換えやすいものです。ファンくるの件では、2つのアカウントでポイントが不正に交換されました。
• 登録済みのクレジットカード：附属文書20は、正規のアカウントに不正ログインして、支払い方法として登録されているカード番号などを悪用する手口を「アカウント乗っ取り」と呼んでいます。連絡先や配送先の変更も合わせて行われると想定しています。
• マイページの個人情報：富士急ハイランドの「CLUB フジQ」の件（記事）では、2026年9月4日から7日に159人のアカウントにログインされ、氏名や電話番号などに加え、一部の会員ではカード番号の一部・有効期限・名義が閲覧された可能性があると発表されています。カード番号の全桁とセキュリティコードは含まれていません。

ログイン後の画面にどこまでの情報を出すかで、1件あたりの被害の大きさが変わります。マイページに表示する情報を必要な分に絞ることも、立派な対策です。乗っ取りの全体像は乗っ取り・不正ログインの悩みのページにまとめています。

05ログの見方：不正ログインに気づくサイン

リスト型攻撃は、1件ずつ見ると普通のログインと区別がつきません。全体の傾向を見るのがこつです。ガイドラインは、盗んだ番号を機械的に試す手口について、本物の利用者の操作と比べて「その速度や連続性の点が明らかに異なる」と書いています。ログインでも同じ見方ができます。次のような動きがあれば要注意です。

• ログインの失敗の数が急に増えた：ふだんの何倍、何十倍になっていないか。
• 同じ接続元（IPアドレス）から、たくさんのアカウントにログインを試している：1つの接続元が数百のメールアドレスを順番に試すのは、人の操作ではありません。
• 成功の割合が極端に低い試行が続いている：漏れた組み合わせの多くは、自分のサイトでは合いません。失敗が大半で、まれに成功する、という形になりがちです。
• 海外からのログインが増えた：附属文書20は、攻撃者は海外から実施することが多いと書いています。国内のお客様しかいないのに海外からの試行が増えたら目立ちます。
• 深夜や早朝に、短い間隔で続いている：人が手で打つ速さではない間隔です。
• ログインの直後に、メールアドレス・パスワード・配送先が変えられている：本人に気づかれないようにする動きです。
• ポイント交換や高額の購入が、特定の時間帯に集中している。

お客様からの「知らないログインの通知が来た」「パスワードが変わっていて入れない」という問い合わせも、大事なサインです。問い合わせが同じ日に何件も来たら、個別の問題ではなく攻撃を疑ってください。

06普段から残しておくログと、見る人を決めること

気づくためには、記録が残っている必要があります。会員サイトであれば、少なくとも次の記録を残せるか、使っているECサービスやソフトで確かめてください。

個人情報保護委員会の「WARNING」（2026年10月7日改訂）は、不正ログインの事例の原因の1つに、ログの保存と監視のルールがなかったため不正アクセスの検知が遅れたことを挙げ、対策例として「ログの保存期間を定め、定期的に分析する」としています。記録があっても、誰も見ていなければ気づけません。週に1回は誰が見るのか、どの数字が増えたら連絡するのかを決めておきましょう。ログの基本はログの用語ページで説明しています。

あわせて、被害が起きたときに調べられるよう、どのくらいの期間ログを残すかも決めておきます。ファンくるの件では試行の回数まで公表されていました。記録があったから、範囲を示せたということです。

07すぐやる対策①ログイン試行回数の制限とスロットリング

• 同じアカウントへのログイン失敗が一定回数を超えたらロックする（目安は10回以下）
• 同じ接続元からの、一定時間内の試行の数を制限する（スロットリング）
• 海外からのお客様がいなければ、海外からの接続を断つことも検討する

附属文書20の別紙aは、同じアカウントで一定回数を超えるログイン試行があったらロックすること、その回数は10回以下で、ロックは最低30分、本人確認ができるまで使えないようにすることを示しています。また、スロットリングを「同一IPアドレスからの一定時間内に受信可能なリクエスト数を制限」する仕組みと説明しています。

リスト型攻撃では1つのアカウントへの失敗は少ないので、アカウントごとのロックに加えて、接続元ごとの制限が効きます。附属文書20は、どの場面にも共通する対策として「不審なIPアドレスからのアクセス制限」を挙げ、海外の消費者を対象にしていない店は海外のIPアドレスを遮断することが望ましいとしています。方法は、接続している決済代行会社に相談すると入れられることが多いとも書いています。

あわせて、簡単すぎるパスワードを登録させないことも大切です。別紙aは、12文字以上（システムが対応していない場合は8文字以上）で、数字とアルファベットの両方を含むことを要件の例として挙げています。

08すぐやる対策②多要素認証とパスキー

• 会員のログインで、多要素認証（2段階認証）を選べるようにする
• パスキーに対応できるか、使っているECサービスやソフトを確かめる
• 少なくとも、カード情報の変更やポイント交換の前には追加の確認を求める

多要素認証は、「知っていること（パスワード）」「持っているもの（スマホなど）」「本人の特徴（指紋など）」のうち2つ以上を組み合わせる認証です。パスワードが漏れていても、もう1つの要素がなければ入れません（二段階認証の用語ページ）。

パスキーは、パスワードを使わない新しいログインの方法です。「不正アクセス行為の発生状況」は、フィッシングに強い認証技術の例としてパスキーを挙げ、運営する側に積極的な導入を求めています。偽のサイトでは認証が働かないため、IDとパスワードを盗まれる心配が小さくなります（パスキーの用語ページ）。附属文書20の別紙aも、FIDO2/パスキーを多要素認証の1つとして位置づけています。

すべての会員に必須にすると、ログインが面倒になって離れる人もいます。まず選べるようにし、ポイント交換、登録カードの変更、配送先の変更など、被害が大きい操作の前にだけ追加の確認を求める、という段階的な入れ方も現実的です。富士急の件の記事でも、カード情報の変更や高額の購入の前に再認証を求める設計の見直しに触れています。

09すぐやる対策③ログイン通知と変更時の確認

• ログインがあったとき、特に新しい端末からのときに、本人へメールかSMSで知らせる
• メールアドレス・パスワード・配送先が変わったら、変更前の連絡先にも知らせる
• 通知の文面に、心当たりがない場合の連絡先を書いておく

附属文書20は、なりすましの不正ログインは本人も店も気づきにくいことから、不正ログインをされた場合でも会員本人に気づきを与えられるよう、ログイン時にメールやSMSで通知することを対策に挙げています。通知は、攻撃を止めるものではありませんが、早く気づくための仕組みです。本人が「心当たりがない」と連絡してくれれば、被害が広がる前に手を打てます。

メールアドレスを変えられると、その後の通知は攻撃者に届いてしまいます。変更のときは、必ず変更前のアドレスにも知らせるようにしてください。

10すぐやる対策④CAPTCHAなどのボット対策とWAF

• ログイン画面と会員登録の画面に、CAPTCHAなどのボット対策を入れる
• WAFやボット対策のサービスで、機械的な大量の試行を止める
• ログインの失敗時に、「IDが違う」「パスワードが違う」を分けて表示しない

リスト型攻撃は、人ではなくプログラムで大量に試すものです。CAPTCHAは、ゆがんだ文字や画像を見て答えさせ、操作しているのが人かプログラムかを見分ける仕組みです。附属文書20の別紙aは、CAPTCHA認証やreCAPTCHA認証、その他の有効なボット対策ツールの導入を、ログインの場面の対策として挙げています。

WAF（ウェブアプリケーションファイアウォール）は、サイトの手前で怪しい通信を止める仕組みです（用語ページ）。製品によっては、ボットの判定や、同じ接続元からの大量のログインを止める機能を持つものがあります。自社で作り込むより早く入れられることが多いので、WAFの分類ページで比べてみてください。

3つ目の点は、エラーの出し方です。「このメールアドレスは登録されていません」と表示すると、攻撃者にどのアドレスが会員かを教えることになります。「IDまたはパスワードが違います」とまとめて表示するのが一般的です。

11管理画面とスタッフのアカウントも確認する

• 管理画面に入れる接続元を限るか、ベーシック認証などのアクセス制限をかける
• スタッフのアカウントには必ず多要素認証を設定する
• 退職した人や、契約が終わった委託先のアカウントを消す
• 管理画面のURLやIDが「admin」など推測しやすいものになっていないか確かめる

会員のアカウントより被害が大きいのが、管理画面のアカウントです。入られると、すべての会員情報が見られるおそれがあります。クレジットカード・セキュリティガイドライン6.1版は、EC加盟店が行う対策として、管理画面に入れるIPアドレスの制限、2段階認証か多要素認証、10回以下のログイン失敗でのアカウントロックを挙げています。

「不正アクセス行為の発生状況」は、IDとパスワードを知っていた元従業員や委託先による不正アクセスが起きていることから、使う立場でなくなった人のIDの削除やパスワードの変更を速やかに行うよう求めています。年に1回でよいので、管理画面のアカウントの一覧を見て、いまも必要な人だけが残っているかを確かめてください。パスワードはパスワード管理アプリで、人ごとに別のものを作ると管理しやすくなります。

12不正ログインが起きたときにやること（初動）

1. 攻撃を止める：攻撃元の接続元を遮断する、ログイン画面に制限を足す、必要なら一時的にサービスを止める。ファンくるは8月24日13時からサービスを止め、ログイン画面に不正アクセス対策の機能を足して翌日12時に再開しました。
2. 入られたアカウントを特定し、パスワードを初期化する：ログから成功したログインを洗い出します。富士急は対象アカウントのパスワードを初期化し、ファンくるは無効化してメールで再設定を案内しました。
3. 被害を確かめる：ポイント交換、購入、登録情報の変更がなかったかを調べます。カードの不正利用が疑われるときは、契約しているカード会社や決済代行会社に連絡します。
4. 自社から漏れていないかを確かめる：本当にリスト型攻撃なのか、自社のシステムから情報が漏れたのではないかを調べます。ファンくるは最終報で、入られたのはマイページだけで、他のサーバーなどでの不正な動きはないとしました。分からなければ専門の会社に調査を頼みます。
5. 記録を残し、報告の準備をする：気づいた日時、試行と成功の数、とった対応をメモします。

技術的な調査を頼む会社は事故対応・フォレンジックを頼める会社で探せます。

13公表とお客様対応：報告・通知・お知らせの書き方

個人情報保護委員会への報告：個人情報保護委員会の「漏えい等の対応」のページは、報告が必要な場合の例に「不正アクセスにより個人データが漏えいした場合」（不正の目的で行われたおそれがある場合）を挙げています。不正ログインでマイページの個人情報が見られた可能性があれば、人数が少なくても報告の対象になりうるものです。また、送金や決済の機能があるサービスのログインIDとパスワードの組み合わせの漏えいは、財産的被害のおそれがある場合の例に挙がっています。速報は発覚日から3〜5日以内、確報は不正の目的のおそれがある場合は60日以内です。富士急もファンくるも委員会に報告しています。迷ったら個人情報保護法相談ダイヤル（03-6457-9849）で確かめてください。手順の全体は個人情報が漏れたときに会社がやることの記事にあります。

警察への相談：他人のIDとパスワードでログインすることは、不正アクセス禁止法で禁じられた犯罪です。富士急は富士吉田警察署に、ファンくるも警察に報告しています。

本人への連絡：入られたアカウントの人には、個別にメールなどで知らせます。書くことは次のとおりです。

• いつ、何が起きたか（不正ログインの期間）
• 見られた可能性がある情報と、見られていない情報（例：カード番号の全桁は含まれない）
• 二次被害の有無（不正な購入やポイント交換が確認されたか）
• 店がとった対応（パスワードの初期化など）と、お客様にしてほしいこと
• 問い合わせの窓口

お客様にしてほしいことの中心は、パスワードを他で使っていないものに変えること、同じパスワードを使っていた他のサービスも変えることです。富士急もファンくるも、他のサービスでの変更を呼びかけていました。あわせて、店を名乗ってパスワードやカード情報を尋ねる不審なメール・SMS・電話に注意するよう書き、店からそうした問い合わせはしないと明記します。お知らせを出すと、それをまねた偽メールが出回りやすいためです。

不利益を減らす配慮：ファンくるは、サービスを止めた影響で期限が迫っていたアンケートやレシートの提出期限、失効しそうなポイントの期限を延ばしました。止める判断と一緒に、こうした救済も決めておくと、ためらわずにサービスを止められます。

公表：多くの会員に関わる場合は、サイトでお知らせを出します。「当社から情報が漏れたのではなく、他で漏れた情報が使われた」と分かっている場合でも、お客様を責める書き方は避け、パスワードの使い回しをやめてほしいという呼びかけとして書きます。

14困ったときの相談先

• IPA 不正アクセス特別相談窓口（事業者向け）：03-6759-5760（平日9時30分〜17時30分、12時〜13時を除く）。IPAが2026年10月16日に公開した不正アクセス対策の特設ページで案内しています。
• 個人情報保護委員会：漏えい等の報告は報告フォームから行います。制度の質問は個人情報保護法相談ダイヤル（03-6457-9849）へ。
• 警察：不正アクセスの被害は、最寄りの警察署や都道府県警察のサイバー犯罪相談窓口へ相談できます。
• 契約しているカード会社・決済代行会社：登録カードの不正利用が疑われるときに連絡します。
• 使っているECサービス・ソフトの提供元：試行回数の制限や多要素認証などの設定は、提供元のヘルプやサポートで確かめます。

総務省は2026年10月9日のお知らせで、大量の個人情報を扱う事業者への不正アクセスが相次いでいることを受け、国家サイバー統括室が事業者に、迅速な脆弱性対応や多要素認証などの認証機能の強化を求める注意喚起を出したことを紹介し、総務省も所管の事業者に同じ内容の注意喚起を行ったとしています。会員サイトを運営する会社は、この機会に認証の設定を見直してください。

15よくある質問