富士急ハイランドの「CLUB フジQ」にリスト型攻撃。159人が不正ログインされ、カード情報の一部も閲覧の可能性

01発表されている事実

• 不正ログインの期間：2026年9月4日〜9月7日
• 不正ログインされたアカウント：159人分
• 閲覧された可能性がある情報（全員）：氏名、メールアドレス、生年月日、性別、電話番号、郵便番号、都道府県、会員番号
• 閲覧された可能性がある情報（一部の会員）：購入履歴、クレジットカード情報の一部（カード番号の一部・有効期限・名義のみ）、チケット情報。カード番号の全桁とセキュリティコードは含まれない
• 二次被害：発表時点で、不正な購入・決済、会員情報の書き換え、チケットの不正利用は確認されていない

同社は対象アカウントのパスワードを初期化し、対象の会員には個別にメールで連絡しています。個人情報保護委員会と富士吉田警察署にも報告しました。

02読者への影響

リスト型攻撃は、別のサービスから漏れたIDとパスワードを使います。富士急のシステムから漏れたのではなく、利用者が他でも同じパスワードを使っていたことが入口です。富士急はパスワードの変更と、同じパスワードを使う他のサービスでの変更を呼びかけています。また、同社をかたる不審なメール・SMS・電話に注意し、同社がパスワードやカード情報を尋ねることはないとしています。

03今すぐやること

1. CLUB フジQを使っている人は、パスワードを他で使っていないものに変える
2. 同じパスワードを使っていたサービスがあれば、そちらも変える
3. サービスごとに別のパスワードを覚えるのは難しいので、パスワード管理アプリに作らせて保存する
4. 多要素認証やパスキーが使えるサービスでは、設定する

04同じことを防ぐには（会員サイトを運営する企業）

リスト型攻撃は、1つのIPアドレスから大量にログインを試す、成功率が極端に低いログインが続く、といった特徴があります。ログイン試行の回数制限、ボット対策、WAFのアカウント乗っ取り対策の機能で多くを止められます。新しい端末からのログイン時に本人へ通知する仕組みも、利用者が気づくきっかけになります。

今回のように、ログイン後の画面で購入履歴やカード番号の一部まで見える作りだと、不正ログイン1件あたりの被害が大きくなります。マイページで表示する情報を必要な分だけにする、カード情報の変更や高額の購入の前に再認証を求める、といった設計も見直す価値があります。不正ログインに気づいたら、対象アカウントのパスワードを初期化し、本人への連絡と個人情報保護委員会への報告を速やかに進めてください。図鑑ではパスワード管理アプリとWAFのサービスを比べられます。