イオンモバイル「マイページ」への不正ログイン（規模は未公表）
公表日
イオンモバイルは2025年10月11日、利用者向けの「マイページ」に本人以外の不正なログインが検知されたと発表しました。件数などの規模はまだ発表されていません。
対象者は？
イオンモバイルの「マイページ」を利用するお客さまが対象として案内されています。被害にあった人数や、どの情報が見られたかは発表されていません。
登録メールアドレスに届く、件名「マイページにログインしました」のログイン通知を確認してください。身に覚えのない通知や、覚えのない操作・手続きがないかを見ます。
いますぐできること
- 登録メールアドレス宛の「マイページにログインしました」という通知に、身に覚えのないものがないか確認する。
- 身に覚えのない通知や操作があれば、マイページにログインしてメールアドレスを確認し、パスワードを変更して、お客さまセンターへ連絡する。
- マイページの「2段階認証」を、まだ設定していなければ設定する。
何が起きたのか
イオンモバイルは2025年10月11日、お客さま向けの「マイページ」に、ご本人以外の人による不正なログインが検知されたと発表しました。詳しい内容は調査中とされています。お知らせは同日11時40分に初回掲載され、2025年12月31日19時00分に、本文を変えないまま再掲されました。
なぜ起きたのか・なぜ広がったのか
原因や手口はまだ発表されていません。
いまの状況2025-12-31 時点続報待ち
2025年12月31日時点で、調査結果や被害の件数、流出した情報の有無については、まだ発表されていません。お知らせは本文変更なしで再掲されています。
企業として考えたいこと
自社のお客さま向けログイン画面で、不正ログインの疑いが出たとき、詳細が分からない段階でもお客さまに伝える確認方法と対策を決めていますか。
技術的な要約
イオンモバイルは2025年10月11日、同社が利用者に提供する「マイページ」に対し、本人以外による不正なログインを検知したと公表した。詳細は調査中とされ、件数や手口、流出情報の有無は示されていない。利用者にはログイン通知や身に覚えのない操作の確認、パスワード変更、お客さまセンターへの連絡、2段階認証の設定が案内された。同お知らせは2025年12月31日に本文変更なしで再掲された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明本人以外による不正なログインが検知されたと公表されたが、侵入口や手口は「現在調査を進めております」とされ不明。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- 調査中上限 —確定 —被害件数や閲覧・流出された情報の内容は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された事実の範囲 事実
イオンモバイルは、同社が利用者に提供する「マイページ」に対し、お客さまご本人以外の不正なログインが検知されたと公表した。詳細については「現在調査を進めております」とされ、facts に示された範囲では、侵入口や手口、件数、情報の流出有無といった詳細は明らかにされていない。お知らせは2025年10月11日(土)11時40分に初回掲載され、2025年12月31日19時00分に本文変更なしで再掲された。利用者向けには、身に覚えのないログイン通知や操作があればパスワードを変更し、お客さまセンターへ連絡するよう案内された。
利用者向けに示された確認手段と対応 事実
マイページにログインがあった場合、登録メールアドレス宛に「マイページにログインしました」という件名のログイン通知が自動で配信されている。お知らせは、この通知や身に覚えのない操作・手続きがあった場合に、マイページでメールアドレスを確認したうえでパスワードを変更し、お客さまセンターへ速やかに連絡するよう案内している。また、マイページログイン時の「2段階認証」設定を強く推奨し、未設定のお客さまに設定を依頼している。これらは公表文に書かれた利用者向けの対応であり、イオンモバイル側の封じ込め措置の内容は facts には示されていない。
「不正ログイン」型として読めること（解釈） 解釈
公表文は「不正なログイン」と表現しており、マイページの認証をどのように通過されたかが焦点になっていると読める。ただし手口は調査中であり、パスワードの使い回しや他所で漏れた情報の流用など、原因は現時点で断定できない。案内が2段階認証の設定とパスワード変更に重点を置いている点からは、ログイン時の本人確認を強めることが当面の対策として位置づけられていると解釈できる。ATT&CKの T1078（正規アカウントの悪用）に近い類型だが、これも原因の確定ではなく、続報で手口が示されるまでは暫定的な整理にとどまる。
対応
- 封じ込め
- 封じ込め措置の詳細は公表されていない。利用者には、身に覚えのないログイン通知や操作があればマイページでメールアドレスを確認してパスワードを変更し、お客さまセンターへ連絡するよう案内し、2段階認証の設定を強く推奨している。
- 公表の仕方
- 2025年10月11日11時40分にお知らせを初回掲載し、詳細は調査中とした。2025年12月31日19時00分に本文変更なしで再掲した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| ログイン通知は、不正ログインに利用者自身が気づくための手がかりになる。通知が届かない・見られない状態では効果が下がる。 | ログイン成功時に登録メール宛へ通知を送る機能を実装し、新しい端末・IPからのログインは通常と区別できる件名・本文にする。通知先メールの変更時は旧アドレスにも通知する。 |
| 2段階認証は、パスワードだけが知られた場合の被害を抑える対策として強く推奨されているが、任意設定のままだと未設定の利用者が残る。 | 2段階認証の設定率を計測し、未設定者にはログイン後に設定を促す導線を出す。重要操作（契約変更・連絡先変更など）の前には追加認証を必須にする。 |
| 不正ログインの検知後、詳細が未確定でも、利用者が今すぐ取れる行動を先に案内することが重要である。 | インシデント初報のテンプレートに「確認方法・パスワード変更・連絡先・追加認証」の項目を用意しておき、調査中でも公開できるようにする。続報の予定時期も併記する。 |
| 認証への攻撃は、検知の基準と対応手順があらかじめ決まっているほど早く動ける。 | ログイン失敗率・同一IPからの多数アカウント試行・短時間の地理的に離れたログインを検知ルール化し、閾値超過時の一時ロックやパスワード再設定の強制といった手順を運用手順書に定めて訓練する。 |
自組織などでの確認項目
- 自組織の会員向けサービスや社内システムで、ログインがあったときに本人へ通知が届く仕組みはあるか。通知先メールを変更された場合も気づけるか。
- 自組織のアカウントで2段階認証を設定している割合はどれくらいか。未設定の人が残る理由と、設定を促す方法は何か。
- 自組織で不正ログインの疑いを検知したとき、詳細が分からない段階でも、利用者へ何を・どの経路で・どの時点で案内するかが決まっているか。
未解明点
- 不正ログインの手口（パスワードの使い回し・流用、総当たり、その他）は何か。
- 不正ログインの検知日時や、被害を受けたアカウントの件数はどれくらいか。
- マイページ上で閲覧・変更された情報や、流出した情報の有無と内容はどうか。
- イオンモバイル側で取られた封じ込め措置（ロック、パスワード再設定など）と、再発防止策は何か。
出典
- 1イオンモバイル2025-12-31公式本文確認済