WOWOW WEBアカウントへの不正ログイン試行（1,493件の可能性）
公表日
WOWOWのWEBアカウントに、第三者が不正にログインしようとした可能性のある事象が1,493件見つかりました。情報の流出が確定した件数は発表されていませんが、一部のアカウントでは登録情報の変更履歴が確認されたと報じられています。
対象者は？
WOWOW WEBアカウント（My WOWOW、WOWOWオンラインなど）の利用者のうち、不正ログインが試みられた可能性がある1,493件の対象者です。ログインされると、氏名、住所、電話番号、契約内容、端末名、支払い履歴、支払い方法が見られる状態でした。クレジットカード番号は下3〜4桁しか表示されず、セキュリティコードや有効期限も表示されません。WOWOWは、自社のシステムからID・パスワードが漏れたことは確認していないとしています。
対象の方には、2025年12月12日からWOWOWカスタマーセンターがメールと電話で連絡しています。不正ログインの可能性が高い方には、登録メールアドレス宛てに個別の連絡も届きます。また、身に覚えのないログイン通知を受け取っていないか確認してください。連絡が本物か不安な場合は、メールのリンクを使わずに公式サイトかカスタマーセンターで確かめてください。
いますぐできること
- WOWOWのパスワードを、ほかのサービスでは使っていない新しいものに変えてください。
- 身に覚えのないログイン通知が届いたら、すぐにパスワードを再設定してください。
- WOWOWを名乗るメールやSMSのリンクは押さず、公式サイトやカスタマーセンターで内容を確かめてください。
何が起きたのか
2025年12月10日、利用者から「身に覚えのないログイン通知が届いた」という問い合わせがありました。WOWOWが調べたところ、第三者がWOWOWのWEBアカウントにログインしようとした可能性がわかり、その件数は1,493件でした。WOWOWは12月12日から対象の方にメールと電話で知らせ、パスワードの変更をお願いするとともに、WOWOWオンラインなどで注意を呼びかけました。その後の報道によると、詳しく調べた結果、一部のアカウントでMy WOWOWへのアクセスや登録情報の変更の記録が見つかったとされています。
なぜ起きたのか・なぜ広がったのか
WOWOWは、第三者がWOWOWの外で不正に手に入れたID・パスワードが使われた可能性があると説明しています。WOWOW社内のシステムからID・パスワードが漏れたことは、現時点では確認していないとしています。また、ほかのサービスと同じID・パスワードを使い回していると、不正ログインされる危険が高まると呼びかけています。詳しい原因や手口は、まだ発表されていません。
いまの状況2026-01-15 時点続報待ち
WOWOWは対象の方への連絡とパスワード変更のお願いを続けており、個人情報保護委員会と総務省に報告し、原因を調べたうえで再発防止に努めるとしています。実際にログインされた件数、変更された情報の内容、具体的な再発防止策や補償については、まだ発表されていません。
企業として考えたいこと
自社の会員サイトに、ほかのサービスで漏れたパスワードを使ったログインが大量に来たとき、それに気づいて利用者にすぐ知らせる仕組みはありますか。
技術的な要約
2025年12月10日、顧客から「身に覚えのないログイン通知があった」との問い合わせがあり、調査の結果、第三者がWOWOW WEBアカウントへ不正にログインを試みた可能性が確認された。該当する可能性のある事象は1,493件。WOWOWは、外部で不正取得されたID・パスワードが使われた可能性があるとする一方、現時点の調査では自社システム内部からのID・パスワード漏洩は確認していないとしている。ログイン後は氏名・住所・電話番号・契約情報・支払い履歴などを参照でき、クレジットカード番号は下3〜4桁以外が非表示である。12月12日から対象者への通知とパスワード変更依頼を開始し、個人情報保護委員会と総務省へ報告する方針を示した。その後の報道では、一部アカウントでMy WOWOWへのアクセスや登録情報の変更履歴が確認されたとされる。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認公式は「お客さま以外の第三者が、外部でID・パスワードを不正に取得した可能性がございますが、現時点での調査では、当社システム内部からのID・パスワードの漏洩は確認しておりません」と説明。報道（セキュリティ対策Lab）はアカウントリスト型攻撃、フィッシング、メールアカウント乗っ取りを起点とした再設定悪用を想定される手口として挙げているが、これは媒体の推測である。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 出典に業務停止の記載はない。
- データ
- おそれ上限 1,493確定 —件氏名住所電話クレカその他1,493件は「第三者が不正にログインを試みた可能性のある事象の件数」。ログイン後に参照できる情報は、氏名、住所、電話番号、契約情報（プランの種類、直接契約か他社経由か等）、端末名称、お支払い履歴、お支払い方法（クレジットカード情報等）等。カード番号は下3〜4桁以外非表示で、セキュリティコードや有効期限等は表示されない。情報の流出が確定したとの公表はない。報道では、一部アカウントでMy WOWOWへのアクセスや登録情報の変更履歴が確認されたとされる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 出典にサプライチェーン経由の記載はない。利用者が他サービスで使っていたID・パスワードの流用の可能性が示されている。
時系列
- 2025-12-10顧客から「身に覚えのないログイン通知があった」との問い合わせがあった。1
- 2025-12-10調査の結果、第三者がWOWOW WEBアカウントへ不正にログインを試みた可能性が確認された。1
- 2025-12-12WOWOWカスタマーセンターから対象1,493件の顧客へメールおよび電話での通知を開始し、パスワード変更等を依頼した。1
- 2025-12-12WOWOWオンライン等に「身に覚えのないログイン通知にご注意ください～第三者による不正ログイン対策に関するお願い」を掲出し、注意喚起を行った。1
- 2025-12-15公式サイトに「WOWOW WEBアカウントへの不正ログインの発生とパスワード変更等のお願いについて」を掲載。試行の可能性のある事象は1,493件、社内システムからのID・パスワード漏洩は確認していないと公表した。1
- 2025-12-15個人情報保護委員会および総務省へ報告する方針を示し、原因究明のうえ再発防止に努めるとした。1
- 2025-12-25
- 2025-12-25
- 2025-12-31セキュリティ対策Labが、不審なログイン通知時のパスワード再設定やWOWOWを装うメール・SMSへの注意喚起を伝える記事を掲載した。2
- 2026-01-15ScanNetSecurityが、WOWOW WEBアカウントへの不正ログインに関する注意呼びかけを報じた。3
技術解説
公表された経緯と件数 事実
2025年12月10日、WOWOWに顧客から「身に覚えのないログイン通知があった」との問い合わせがあった。調査の結果、第三者がWOWOW WEBアカウントへ不正にログインを試みた可能性が確認された。同社は12月12日から、WOWOWカスタマーセンターを通じて対象1,493件の顧客へメールと電話で通知を始め、パスワード変更などを依頼した。同じ日に、WOWOWオンライン等へ「身に覚えのないログイン通知にご注意ください～第三者による不正ログイン対策に関するお願い」を掲出している。公式のお知らせでは、1,493件は「第三者がWOWOW WEBアカウントへ不正にログインを試みた可能性のある事象の件数」と説明されており、情報の流出が確定した件数としては示されていない。同社は個人情報保護委員会と総務省に報告し、原因を究明したうえで再発防止に努めるとしている。
原因に関する公式説明と、その後の報道 事実
公式の説明は「お客さま以外の第三者が、外部でID・パスワードを不正に取得した可能性」があるというものである。ただし、現時点の調査では自社システム内部からのID・パスワードの漏洩は確認していないとしている。あわせて、他のサービスと同じID（メールアドレス）・パスワードをWOWOWでも使っている場合は不正ログインのリスクが高まるとして、異なるパスワードへの変更を強く推奨している。報道（セキュリティ対策Lab、ScanNetSecurity）は、WOWOWが12月25日に注意を呼びかけたと伝えた。詳細な調査の結果、一部の顧客アカウントでMy WOWOWへのアクセスや登録情報の変更履歴が確認されたとも報じている。セキュリティ対策Labによれば、本人による手続きの可能性も否定できないが、身に覚えがなければ不正ログインの恐れがあるとされる。該当するアカウント数や変更された項目は、出典には記載がない。
ログイン後に参照・操作できる情報 事実
公式によると、ログイン後に参照できる情報は、氏名、住所、電話番号、契約情報（プランの種類、直接契約か他社経由か等）、端末名称、支払い履歴、支払い方法（クレジットカード情報等）などである。クレジットカード番号は下3〜4桁以外が非表示で、セキュリティコードや有効期限なども表示されない。報道（セキュリティ対策Lab）によると、My WOWOWではこれらに加えて加入・解約状況やプログラムガイドの発送設定も参照・手続きでき、アカウントの削除や契約アカウントとの紐づけといった手続きもできるとされる。同記事は、WOWOWが不正ログインの可能性が高いと判断した利用者には登録済みのメールアドレス宛てに個別に連絡しているとも伝えている。そのうえで、WOWOWを装った不審なメールやSMSのリンクを押さず、公式サイトやカスタマーセンターで確認するよう呼びかけている。
攻撃の構造と影響が広がりうる経路 解釈
公式の説明と報道を合わせると、本件はWOWOWのシステムへの侵入ではなく、他所で漏れたID・パスワードの組を使ったログイン試行（クレデンシャルスタッフィング）である可能性が考えられる。ただし、公式は手口を特定していない。セキュリティ対策Labは、フィッシングやメールアカウントの乗っ取りを起点としたパスワード再設定の悪用も候補に挙げており、これは媒体の推測である点に注意が必要だ。正しいID・パスワードによるログインは通常の利用と区別しにくいため、件数が「可能性のある事象」という幅を持った表現になるのは不自然ではない。また、ログイン後に登録情報を変更できる場合、連絡先を書き換えられると本人に通知が届かなくなるなど、閲覧だけでは済まない影響につながるおそれがある。報道された変更履歴がどの項目のものかは公表されておらず、影響を評価するには続報が必要である。
検知と公表対応の評価 解釈
検知のきっかけは、顧客からの「身に覚えのないログイン通知」に関する問い合わせだった。ログイン時に利用者へ通知する仕組みが、早い段階での発見につながったとみられる。問い合わせから2日後の12月12日には対象者への個別通知と注意喚起を始めており、利用者が自分で取れる対策（パスワードの再設定、使い回しの回避、なりすましメールへの注意）を早めに届けた点は評価できる。一方、確認した出典の範囲では、1,493件の数え方（試行の回数なのかアカウント数なのか）、ログインが成功した件数、変更された情報の種類、多要素認証などの追加対策を入れるかどうかは示されていない。また、報道は12月25日の発表としているが、公式お知らせの日付は12月15日とされている。続報の有無と内容は改めて整理する必要がある。
対応
- 封じ込め
- 対象1,493件の顧客へメールおよび電話で通知しパスワード変更等を依頼（2025-12-12開始）。WOWOWオンライン等で注意喚起を掲出。不正ログインの可能性が高いと判断した利用者には登録メールアドレス宛に個別連絡。他サービスとのパスワード使い回しを避け、異なるパスワードへ変更するよう強く推奨している。
- 公表の仕方
- 2025-12-12にWOWOWオンライン等で注意喚起を掲出し、公式サイトのお知らせ（2025-12-15付）で件数や参照可能な情報を公表。報道ベースでは2025-12-25にも注意喚起が行われたとされる。
- 当局対応
- 個人情報保護委員会（報告する方針）
- 総務省（報告する方針）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 他所で漏れたID・パスワードを使ったログインは正規の利用と見分けにくく、パスワードが正しいかどうかの確認だけでは防げない。 | ログインAPIで、IP・アカウント・端末フィンガープリントごとの試行回数に上限を設ける。失敗率の急上昇や、1つのIPから多数のアカウントへ試行がある状態を検知するアラートも用意する。さらに、漏洩パスワードのデータベース（例: HIBP Pwned Passwordsのk-anonymity API）と照合して、該当するパスワードは登録や変更のときに拒否する。 |
| 本件は利用者へのログイン通知がきっかけで発覚しており、利用者への通知は検知の手段としても役に立つ。 | 新しい端末や地域からのログインがあったとき、登録メールアドレスへ日時・端末・おおよその場所を記載した通知を送る。通知の中に「身に覚えがない場合」の手順（パスワード再設定、全セッションの強制ログアウト）へのリンクと窓口を入れる。 |
| ログイン後に登録情報を変更できると、閲覧だけでなく連絡先の書き換えなどにより被害が広がるおそれがある。 | メールアドレス・電話番号・住所・支払い方法の変更や、アカウントの削除・紐づけといった操作では、パスワードの再入力かワンタイムコードによる再認証を必須にする。メールアドレスを変更した場合は、変更前のアドレスにも通知する。 |
| カード番号を下3〜4桁以外伏せる設計は、不正ログインされたときの被害を抑える。表示する情報の範囲が影響の大きさを左右する。 | マイページに表示する個人情報を棚卸しし、業務上必要な範囲に絞る。電話番号や住所の一部も伏せて表示し、全体の表示は再認証の後に限るなど、段階的な表示を検討する。 |
| 件数の単位が「試行の可能性のある事象」のままだと、利用者や関係者が実際の影響を判断しにくい。 | 認証ログに成功・失敗、アカウントID、送信元IP、ログイン後の操作（閲覧・変更）を残し、事後に「試行」「ログイン成功」「情報変更」をアカウント単位で集計できるようにしておく。ログの保存期間も、調査に必要な長さを確保する。 |
| 不正ログインが報じられた後は、そのサービスを装ったフィッシングで二次被害が起きやすい。 | 利用者への通知に、本物のメールを見分ける方法（送信ドメイン、本文にリンクを入れない方針など）を明記する。送信ドメインにはSPF・DKIM・DMARC（p=reject）を設定し、なりすましメールが届きにくいようにする。 |
自組織などでの確認項目
- 自社の会員サイトで、1つのIPから多数のアカウントへのログイン試行や、成功率が普段と違うログインを検知・遮断する仕組みはありますか。そのログは何日分残っていますか。
- 新しい端末からのログインや、登録情報（メールアドレス・電話番号・支払い方法）の変更があったとき、利用者に通知していますか。変更前の連絡先にも通知が届きますか。
- ログイン後の画面に表示している個人情報・支払い情報の範囲は必要最小限で、重要な情報の変更には再認証や多要素認証を求めていますか。
- 不正ログインが起きたとき、「試行」「ログイン成功」「情報変更」を区別した件数をすぐ集計し、公表や個別通知に使えますか。
未解明点
- 1,493件は試行の回数なのか、対象アカウント数なのか。そのうち実際にログインに成功した件数はいくつか。
- My WOWOWへのアクセスや登録情報の変更が確認されたアカウントは何件で、どの項目が変更されたのか。
- 不正ログイン試行が始まった時期と続いた期間、使われた手口（クレデンシャルスタッフィングかどうか）は特定されたのか。
- 多要素認証の導入やログイン試行の制限など、具体的な再発防止策は実施・予定されているのか。
- 報道が伝える2025年12月25日の発表は、公式の12月15日付お知らせとどういう関係にあり、内容がどう更新されたのか。
- 個人情報保護委員会・総務省への報告の結果や、二次被害（不正な契約変更・フィッシングなど）の有無は公表されるのか。
出典
- 1株式会社WOWOW2025-12-15公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-31報道本文確認済
- 3ScanNetSecurity2026-01-15報道本文確認済