DIRECT GAMESへの不正アクセス（会員情報・暗号化パスワード等の漏えい）
公表日
PCゲーム販売サイト「DIRECT GAMES」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、会員ID（メールアドレス）や暗号化されたパスワード、注文履歴などの会員情報が漏えいしました。
対象者は？
「DIRECT GAMES」に登録していた会員。クレジットカード番号は社内で保持していないため対象外です。また、氏名と生年月日は登録時の任意入力項目のため実在の情報と一致しない場合があります。なお、漏えい件数や対象人数は公表されていません。
運営元からの個別メール案内、または公式サイトに掲載されたお詫びとお知らせを確認してください。
いますぐできること
- DIRECT GAMESのログインパスワードを再設定する。
- DIRECT GAMESと同じパスワードやメールアドレスの組み合わせを他のWebサービスでも使っている場合は、直ちに他サービスのパスワードも変更する。
- 登録メールアドレス宛てに届く不審なメールや、心当たりのないフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺に注意する。
何が起きたのか
2026年10月17日から18日にかけて、PCゲームキーを販売するストア「DIRECT GAMES」に対して第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が行われ、10月18日に会員情報が外部に漏えいしたことが判明しました。漏えいした情報には、会員ID（メールアドレス）、暗号化されたパスワード、注文履歴などが含まれます。運営会社は不正な通信元を直ちに遮断し、全会員へのパスワード再設定を案内しました。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が可能となった経緯や詳細な原因については、外部の専門機関と連携して調査を進めている段階であり、現時点では公表されていません。
いまの状況2026-10-29 時点続報待ち
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。元の通信は遮断され、対策本部によるシステムの改善と全会員に対するパスワード再設定の案内が実施されました。また、個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。が行われ、外部専門機関と連携した原因調査と恒久対策、対象顧客への個別メール案内が順次進められています。なお、発表時点で二次被害は確認されていません。
企業として考えたいこと
自社の顧客アカウント情報が万一外部へ漏えいした場合に備え、パスワードを強固にハッシュ化して保管する対策や、全ユーザーへの一括再設定を迅速に実施できる仕組みが整っていますか？
技術的な要約
株式会社H2INTは2026年10月28日、同社が運営するPCゲームキー販売ストア「DIRECT GAMES」が第三者による不正アクセスを受け、会員情報が外部に漏えいしたと公表した。不正アクセスは2026年10月17日から18日にかけて発生し、10月18日に漏えいの事実が判明した。漏えいした情報には、会員ID（メールアドレス）、暗号化されたログインパスワード、任意入力の氏名や生年月日、注文履歴が含まれるが、クレジットカード番号は自社で保持しておらず対象外である。同社は不正アクセス把握後に当該通信元を直ちに遮断し、対策本部の設置、全会員へのパスワード再設定案内、個人情報保護委員会への報告を実施した。漏えい件数は公表されておらず、詳細な侵入原因については外部専門機関と連携して調査を進めている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不正アクセスが可能となった経緯および詳細な原因について外部専門機関と連携して調査を実施する予定としており、公式発表では侵入口の詳細は公表されていない。
- 脆弱性
- CVE 非公表不明侵入に至った詳細な原因や悪用された脆弱性は外部専門機関と連携した調査中のため非公表
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス全面停止の有無は明記されていないが、セキュリティ強化に関するメンテナンスが実施された。
- データ
- 確定上限 —確定 —件会員IDメールハッシュ化PW生年月日氏名購入履歴会員ID（メールアドレス）、暗号化された状態のログインパスワード、生年月日、氏名（漢字・カナ）、注文履歴の外部漏えいが確定。漏えい件数および対象人数は公表されていない。生年月日と氏名は会員登録時の任意入力項目。クレジットカード番号は社内非保持のため対象外。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-17
- 2026-10-18
- 2026-10-18
- 2026-10-18
- 2026-10-28
- 2026-10-28
- 2026-10-28
- 2026-10-28
- 2026-10-29複数のゲーム・IT系メディアにより本インシデントに関する報道が行われる3
技術解説
不正アクセスの発生と漏えいした情報の範囲 事実
2026年10月17日から18日にかけて、株式会社H2INTが運営するPCゲームキー販売ストア「DIRECT GAMES」が第三者による不正アクセスを受け、10月18日に会員情報の外部漏えいが判明した。漏えいが確認されたデータは、会員ID（メールアドレス）、暗号化された状態のログインパスワード、生年月日、氏名（漢字・カナ）、および注文履歴である。なお、氏名と生年月日は登録時の任意入力項目であったため、実在する情報と一致しない場合があると説明されている。また、クレジットカード番号については同社で保持しておらず、漏えい対象外とされている。公表時点において漏えい件数や対象となった会員数は明らかにされていないが、発表時点で本件に起因する不正利用などの二次被害は確認されていない。
初動対応と公表までの対応経緯 事実
H2INTは2026年10月18日に会員情報の漏えいを把握した後、直ちに当該通信元からのアクセスを遮断した。その後、対策本部を設置してシステムの改善および暫定対策を進め、セキュリティ強化に関するメンテナンスの実施と併せて、全登録ユーザーに対してパスワードの再設定が必要である旨を案内した。また、個人情報保護委員会への報告を実施した上で、事案覚知から10日後の10月28日に公式サイト上でお詫びとお知らせを公表した。同社は公表時、不正アクセスが可能となった経緯および詳細な原因については外部専門機関と連携して調査を実施する予定とし、恒久対策の実施や対象顧客へのメール案内を順次進める方針を示している。
暗号化パスワード漏えいによる二次被害リスクと対策 解釈
本件ではログインパスワードが「暗号化された状態」で漏えいしたと公表されているが、暗号化方式（一方向ハッシュ関数やソルト・ストレッチングの有無など）や鍵の管理状況は明らかにされていない。脆弱なハッシュアルゴリズムが用いられていた場合、総当たり攻撃や辞書攻撃によって平文が復元される恐れがある。特にメールアドレスとパスワードの組み合わせが窃取された場合、他サービスでの認証情報の使い回しを狙ったリスト型アカウントハッキングに悪用される危険性が高まる。運営元が公表と同時に全会員へのパスワード再設定を案内した初動は、漏えいした資格情報の悪用を低減させる観点から妥当な対応と考えられるが、利用者側でも同一パスワードの他サイトでの変更が強く求められる。
原因調査と情報開示における評価と課題 解釈
本インシデントでは、発生把握から公式発表まで約10日間を要しており、その間に通信遮断や全会員へのパスワード再設定案内などの暫定措置が講じられている。一方で、侵入口となった経路や悪用された脆弱性の詳細、漏えい件数の規模については調査中として公表されていない。Webアプリケーションの脆弱性（SQLインジェクション等）によるデータベース侵害や、公開サーバー・管理用インターフェースの不備など複数の可能性が考えられるが、確定的な原因の特定にはフォレンジック調査の完了を待つ必要がある。漏えい件数や対象者の特定が進まない段階であっても、二次被害の拡大を防ぐために迅速に全会員へパスワード変更を促した点は、被害最小化を優先した判断と評価できる。
対応
- 封じ込め
- 不正アクセスを把握後、直ちに当該通信元からのアクセスを遮断。対策本部を設置してシステムの改善と暫定対策を実施し、全会員へのパスワード再設定案内を行った。
- 公表の仕方
- 2026年10月28日に公式サイトでお詫びとお知らせを公表。対象顧客へのメール案内を順次実施。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パスワード保存における強固なハッシュ化アルゴリズムの適用 | パスワード保存にはArgon2id、bcrypt、PBKDF2等の安全なストレッチング対応アルゴリズムを採用し、十分な計算コストとソルトを設定して万一漏えいした際の平文復元を極小化する。 |
| クレジットカード情報の非保持化の徹底 | 決済機能にトークン決済や外部決済代行サービスの画面遷移型を導入し、ECサイトのサーバーにカード番号を一切通過・保存させない構成を維持する。 |
| データベースおよびWebアプリケーションの侵入検知・防御 | WAF（Web Application Firewall）を導入してSQLインジェクション等の攻撃通信をリアルタイムに検知・遮断するとともに、DB監査ログで大量データ抽出を検知・アラート発報する仕組みを整える。 |
| 認証情報漏えい時における迅速な資格情報無効化手順 | パスワードや認証トークンの漏えいが疑われる際、全ユーザーのアクティブセッションを即時無効化し、次回アクセス時に強制的にパスワード再設定を要求するワークフローをシステムに実装しておく。 |
自組織などでの確認項目
- 自社サービスで保管しているユーザーのログインパスワードは、最新の推奨アルゴリズム（Argon2やbcrypt等）および適切なソルト・ストレッチングを用いてハッシュ化されているか。
- 決済を扱うWebサービスにおいて、クレジットカード情報などの高機微データが自社環境を通過・保存されない非保持化の仕組みが徹底されているか。
- 万一の不正アクセスやデータ漏えい兆候を検知した際、攻撃元通信の即時遮断や全セッションの強制無効化・パスワードリセットを迅速に実行できる運用手順が整備されているか。
未解明点
- 不正アクセスに利用された侵入口や悪用された脆弱性（Webアプリケーションの不備、管理画面の認証突破、公開サーバーの欠陥など）の具体的な原因は何であったか。
- 外部に漏えいした会員情報（アカウント数・対象人数）の正確な総件数は何件であったか。
- 「暗号化された状態」と公表されたログインパスワードの具体的な暗号化・ハッシュ化方式（アルゴリズムの種類、ソルトやストレッチングの有無など）はどうなっていたか。
出典
- 1Game*Spark2026-10-28報道本文確認済
- 2セキュリティ対策Lab2026-10-28報道本文確認済
- 3GameBusiness.jp2026-10-29報道本文確認済
- 4Game*Spark2026-10-28報道本文確認済
- 5株式会社H2INT2026-10-28公式本文確認済