アンケートモニターサイト「D style web」への不正ログイン（OCNメールアカウント乗っ取りを悪用した不正ポイント交換申請）
公表日
アンケートモニターサイト「D style web」で、メールアカウントを乗っ取られた利用者のアカウントに第三者が不正ログインし、ポイントがギフトに不正に交換申請されました。乗っ取りの報告はOCNのメールアドレス利用者のみとされ、被害の件数や金額は報道では明らかにされていません。
対象者は？
D style webの利用者のうち、登録しているメールアドレスのメールアカウントを第三者に乗っ取られた人が対象です。メールアカウントの乗っ取り被害が報告されているのは、現時点でOCNのメールアドレス利用者のみとされています。同社は、自社サーバーから情報が漏れたものではないと説明しています。
OCNメールを使っている人は、OCNが案内しているWebメールのログイン履歴の確認とログインアラートメールの設定で、身に覚えのないログインがないか確かめられます。D style web側での確認方法は、報道では示されていません。
いますぐできること
- メールアカウントのパスワードを変更し、ほかのサイトと同じパスワードを使い回さないようにする。
- メールや各サービスで二段階認証（多要素認証）を設定する。
- OCNメールを使っている場合は、Webメールのログイン履歴を確認し、ログインアラートメールを設定する。
何が起きたのか
2025年12月24日、アンケートモニターサイト「D style web」を運営するアスマークは、次のような被害を確認したと発表しました。第三者が利用者のメールアカウントを乗っ取り、そのメールアドレスを使ってサイトに不正にログインし、ためたポイントをギフトに交換する申請をしていたというものです。同社は、Amazonギフトカード、Apple Gift Card、Google Play ギフトコードへの交換を一時的に止めました。2026年1月26日にも、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。対策として一部のポイント交換を一時停止すると発表しています。
なぜ起きたのか・なぜ広がったのか
同社の説明では、利用者のメールアカウントが第三者にメールの送受信や他サイトのパスワード再発行のお知らせを見られる状態になっており、それが悪用された可能性が高いとされています。メールアカウントがどうやって乗っ取られたかは発表されていません。同社は、自社のシステムへの侵入や自社サーバーからの情報漏れではないとしています。
いまの状況2026-05-28 時点続報待ち
Amazon・Apple・Google Playのギフトへの交換申請は「安全確認が取れるまで」止められており、再開の時期はまだ発表されていません。被害の件数や、被害を受けた人への補償についてもまだ発表されていません。なお2026年5月22日には、OCNが、OCNメールが不正に使われている可能性について証券会社などから報告を受けたとして、利用者に注意を呼びかけています。
企業として考えたいこと
自社のサービスで、お客さまの登録メールが乗っ取られたとき、パスワードの再設定からポイントや残高の引き出しまでメールだけで済んでしまう流れになっていないか？
技術的な要約
アスマークが運営するアンケートモニターサイト「D style web」は2025年12月24日、第三者がユーザーのメールアカウントを乗っ取り、そのメールアドレスを悪用して同サイトへ不正ログインし、不正なポイント交換申請が発生した個別事象を確認したと発表した。メールアカウント自体の乗っ取り被害が報告されているのは、特定のプロバイダ（現時点ではOCNのみ）のメールアドレス利用者である。D style webは、本件は同社システムへの不正アクセスではなく、同社サーバーから情報が漏えいしたものでもないとしている。メールアカウントがどの手口で乗っ取られたかは明示されていない。同社はAmazonギフトカード、Apple Gift Card、Google Play ギフトコードの交換申請を、安全確認が取れるまで（期限は明示せず）一時停止した。2026年1月26日にも「不正アクセス対策に伴う一部ポイント交換の一時停止について」が発表されている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者D style webの説明では、ユーザー側のメールアカウントが第三者に操作可能な状態（メール送受信や、他サイトのパスワード再発行通知の閲覧が可能な状態）になっていたことを悪用され、不正ログインやポイント交換申請につながった可能性が高いとされる。D style web側システムへの不正アクセスや同社サーバーからの情報漏えいではないとしている。メールアカウントがどの手口で乗っ取られたかは明示されておらず、報道記事が挙げる手口は想定例で、本件がどれに該当するかは確定できない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり Amazonギフトカード、Apple Gift Card、Google Play ギフトコードの交換申請を一時停止。不正なポイント交換申請が発生した。期間：安全確認が取れるまで（期限は明示されていない）
- データ
- なし上限 —確定 —D style webは同社サーバーからの情報漏えいではないとしている。被害件数・不正交換の件数は公表情報から確認できない。メールアカウント乗っ取り被害が報告されているのは特定プロバイダ（現時点ではOCNのみ）の利用者。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- D style web側システムの侵害ではなく、ユーザーのメールアカウント乗っ取りを経由した不正ログインとされる。委託先経由の侵害は公表されていない。
時系列
- 2025-12-24
- 2025-12-24Amazonギフトカード、Apple Gift Card、Google Play ギフトコードの交換申請を安全確認が取れるまで一時停止すると案内（期限は明示せず）。1
- 2025-12-24利用者にメールアカウントのパスワード変更、パスワード使い回しの回避、二段階認証（多要素認証）の利用検討を推奨。1
- 2025-12-26セキュリティ対策Labが本件を報道し、想定される手口を整理（本件がどれに該当するかは確定できないと注記）。1
- 2026-01-15ScanNetSecurityが、OCNメールアカウント乗っ取り被害とD style webでの不正なポイント交換申請について報道。3
- 2026-01-26アスマークが「不正アクセス対策に伴う一部ポイント交換の一時停止について」を発表。4
- 2026-01-29ScanNetSecurityが、D style webでポイントの不正交換行為が発生し一時停止した旨を報道。4
- 2026-05-22 19:15（関連報道）OCNが、OCNメールアカウントが第三者に不正利用されている可能性についてマネックス証券等の外部から報告を受けたとして、緊急注意喚起を発出。D style webの発表との関係は公表情報からは確認できない。2
- 2026-05-28（関連報道）セキュリティ対策Labが上記OCNの注意喚起を報道し、ログイン履歴確認・ログインアラート設定・パスワード変更を案内。2
技術解説
公表された事象と対応の経緯 事実
アスマークは2025年12月24日、運営するアンケートモニターサイト「D style web」で、第三者がユーザーのメールアカウントを乗っ取り、そのメールアドレスを悪用して不正ログインし、不正なポイント交換申請が発生した個別事象を確認したと発表した。メールアカウント自体の乗っ取り被害が報告されているのは、特定のプロバイダ（現時点ではOCNのみ）のメールアドレス利用者とされる。同社は、本件は同社システムへの不正アクセスではなく、同社サーバーからの情報漏えいでもないと説明している。対応として、Amazonギフトカード、Apple Gift Card、Google Play ギフトコードの交換申請を、安全確認が取れるまで一時停止した（期限は明示されていない）。2026年1月26日には「【重要】不正アクセス対策に伴う一部ポイント交換の一時停止について」を発表した。報道は、ポイントの不正交換行為が発生し、交換を一時停止したと伝えている。被害件数や不正交換の金額は、渡された情報からは確認できない。
説明された侵入経路と利用者への呼びかけ 事実
同社の説明では、ユーザー側のメールアカウントが第三者に操作できる状態、つまりメールの送受信や他サイトのパスワード再発行通知を閲覧できる状態になっていたことが悪用された。その結果、D style webへの不正ログインやポイント交換申請につながった可能性が高いとされる。一方、メールアカウントがどの手口で乗っ取られたかは明示されていない。セキュリティ対策Labは、アカウントリスト型攻撃、フィッシング、マルウェア、転送設定改ざん、IMAP/SMTP不正利用を想定される代表例として挙げた。ただし、本件がどれに該当するかはリリース情報だけでは確定できないと注記している。同社は利用者に、メールアカウントのパスワード変更、パスワードの使い回しをやめること、二段階認証（多要素認証）の利用検討を推奨した。
OCNメールをめぐる後日の注意喚起 事実
OCNは2026年5月22日19時15分、公式サポートサイトで緊急注意喚起を出した。OCNメールのアカウントが第三者に不正利用されている可能性について、マネックス証券等の外部から報告を受けたとしている。OCNはサービス側の対応を進める一方、利用者にログイン履歴の確認、ログインアラートの設定、パスワード変更を速やかに行うよう呼びかけた。確認方法としては、Webメールのログイン履歴の確認とログインアラートメールの設定の2つを案内している。報道は、メールの乗っ取りを経由してパスワードリセット機能等を悪用し証券口座に侵入する「メール経由の連鎖攻撃」が疑われるとしている。なお、渡された情報には、この注意喚起とD style webの事象が関連すると示す記述はない。
メールアカウントが「合鍵の束」になる構造 解釈
本件の構造上の要点は次のように考えられる。サービス側のシステムが侵害されていなくても、ログインIDやパスワード再発行の受け皿になるメールアカウントが奪われれば、そこに紐づく各サービスに順に入り込まれ得る。アンケートのポイントはデジタルギフトに交換でき、換金性が高いため、攻撃者にとって狙いやすい資産になりやすい。同社が停止の対象をAmazon、Apple、Google Playのギフトに絞ったのは、換金しやすい出口を先に閉じる判断と読める。後にOCN側でも証券会社などからの報告に基づく注意喚起が出たことは、同じ種類のメール乗っ取りが業種の異なる複数のサービスに波及し得ることを示唆する。ただし、攻撃者や手口が同じかどうかは公表情報からは分からない。
公表内容の評価と今後の注目点 解釈
同社は第1報の段階で、自社システムの侵害や情報漏えいではないことと、乗っ取りの報告がOCNのみであることを示した。利用者が自分に関係があるかを判断しやすい情報を早く出したと言える。一方、被害件数、不正交換の規模、検知の経緯、停止の解除時期、被害を受けた利用者への対応の有無は、渡された情報からは確認できない。ポイント制のサービスでは、利用者のメールアカウントの管理は事業者の手の届かないところにあり、事業者がどこまで責任を負うかの線引きが難しい。今後の続報では、ログイン時の追加認証や交換時の本人確認の強化など、サービス側の再発防止策が示されるかが注目点となる。
対応
- 封じ込め
- Amazonギフトカード、Apple Gift Card、Google Play ギフトコードの交換申請を安全確認が取れるまで一時停止（期限は明示せず）。2026年1月26日にも一部ポイント交換の一時停止を発表。
- 公表の仕方
- 2025年12月24日に不正ログインと不正なポイント交換申請の個別事象を発表し、2026年1月26日に不正アクセス対策に伴う一部ポイント交換の一時停止を発表。メールアカウントの乗っ取り手口までは明示されていない。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 登録メールアドレスを握っていることだけを本人確認の根拠にすると、メールが乗っ取られたときにサービス側の防御が働かない。 | ギフト交換・出金など換金性のある操作の直前に再認証を求める。方式はTOTP・パスキー・SMSなど、メール以外の要素を使う。多要素認証を未設定の利用者には、交換時の設定を必須にする。 |
| パスワード再設定がメールだけで完結すると、再設定の直後に高リスク操作まで一気に進められてしまう。 | パスワード再設定・登録メール変更・新しい端末からのログインの直後は、一定時間（例：24〜72時間）ギフト交換を保留する。あわせて、変更通知を旧アドレスやアプリ通知などメール以外の経路にも送る。 |
| 換金しやすい出口（デジタルギフト）が不正の最終目的になりやすい。 | ギフト種別ごとに交換の回数・金額の上限を設ける。新規端末・新規IP・再設定直後・高額の連続交換を組み合わせたリスクスコアで、手動審査キューに回す仕組みを入れる。 |
| 被害の報告が特定のメールプロバイダに偏ることがあり、早めに気づけば被害を抑えられる。 | ログイン失敗率、パスワード再設定件数、交換申請件数をメールドメイン別に可視化し、平常時からの外れ値をアラートにする。偏りが出たドメインの利用者には、追加認証の強制や個別の注意喚起を行えるようにしておく。 |
| 不正が見つかったとき、サービス全体を止めずに被害の出口だけを素早く閉じられるかが、影響範囲を左右する。 | ギフト種別単位で交換を停止・再開できるフィーチャーフラグ（キルスイッチ）を用意し、手順書と利用者向け告知のひな型を事前に整備しておく。 |
自組織などでの確認項目
- 自組織のサービスで、登録メールアドレスが乗っ取られた場合に、パスワード再設定からポイント・残高・ギフトの引き出しまでメールだけで完結してしまう経路はないか。
- 換金性のある操作（ギフト交換、出金、送金先変更など）の直前に、メール以外の要素による再認証や待機時間が設けられているか。
- ログイン・パスワード再設定・交換申請の異常を、メールドメイン別や端末別に監視し、偏りに気づける仕組みがあるか。
- 不正が見つかったときに、特定の交換先や機能だけを即座に止められる手段と、その判断・告知の手順が決まっているか。
未解明点
- 不正ログインを受けたアカウント数と、不正に交換申請されたポイントの件数・金額。
- 利用者のメールアカウントがどの手口で乗っ取られたか（パスワードの使い回し、フィッシング、マルウェア、転送設定の改ざん等のいずれか）。
- 不正ログインの開始時期と、同社が事象を検知した経緯・時期。
- ギフト交換の一時停止がいつ解除されるか（解除済みか）、および停止期間中に講じたサービス側の再発防止策。
- 不正交換の被害を受けた利用者へのポイント復元や補償の有無。
- 2026年5月22日のOCNによる注意喚起と、D style webでの事象との関連の有無。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-26報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-05-28報道本文確認済
- 3ScanNetSecurity2026-01-15報道本文確認済
- 4ScanNetSecurity2026-01-29報道本文確認済