モニターサービス「ファンくる」にリスト型攻撃。5万9,389人がログインされ、2件でポイント交換

01発表されている事実

1. 2026年8月20日22時〜8月24日13時

   不正ログインが行われた期間。試行は5,060,270回、成功は59,389人

2. 8月24日（第一報）

   公表。13時からサービスを停止。個人情報保護委員会に報告

3. 8月25日（第二報）

   ログイン画面に不正アクセス対策の機能を追加し、12時にサービスを再開。対象アカウントのパスワードを無効化し、メールで再設定を案内

4. 9月18日（最終報）

   調査結果を公表

不正ログインされたアカウントでは、マイページの氏名、生年月日、郵便番号、電話番号、メールアドレスが閲覧された可能性があります。2アカウントでは、第三者によるポイントの不正交換が確認されました。最終報では、入られたのはマイページ（会員情報）だけで、同じネットワークの他のサーバーやネットワーク機器での不正な動きはなく、他のサービスへの影響もないとしています。パスワードはハッシュ化して保存しており、同社からIDやパスワードが漏れた形跡はないとしています。二次被害や、攻撃者による情報の公開は確認されていません。

02読者への影響

約506万回の試行で約5万9千人に入られています。それだけ多くの人が、どこかで漏れたものと同じパスワードを使っていたとみられます。ポイントは現金や商品に換えられるため、リスト型攻撃の狙い目です。ファンくるは、同じメールアドレスとパスワードを他のサービスで使っている場合は、すぐに変えるよう求めています。フィッシングやなりすましの被害にあったときは、最寄りの警察署か警察相談専用電話（#9110）に相談するよう案内しています。

03今すぐやること

1. ファンくるの会員は、案内に沿ってパスワードを再設定する。他と同じものにしない
2. ポイントサイトやアンケートサイトなど、使っていないサービスは退会する
3. パスワード管理アプリで、サービスごとに別のパスワードを作る

04同じことを防ぐには（ポイントを扱う会員サイト）

同社は再発防止策として、アクセス制御とネットワークでの防御の強化、本人確認の強化、リアルタイムの監視と警告の仕組みを挙げています。ログインの失敗が急に増えたら知らせる、同じ接続元からの大量の試行を止める、ポイント交換の前に追加の本人確認を求める、といった対策が有効です。同社は第二報で、提出期限が迫っていたアンケートやレシートの期限を8月26日まで、8月25日〜30日に失効するポイントの期限を8月31日まで延ばしました。サービスを止めると利用者に不利益が出るため、こうした救済をあわせて決めておくと、停止の判断をためらわずに済みます。図鑑では、WAFとパスワード管理アプリを比べられます。