資生堂オンラインストアへのなりすまし不正ログイン（金銭的被害は未確認、件数は非公表）
公表日
資生堂オンラインストアで、第三者による「なりすまし不正ログイン」が疑われるという問い合わせが増え、2026年1月29日に注意喚起が出されました。影響を受けた人数は公表されておらず、第1報の時点で金銭的な被害は確認されていません。
対象者は？
資生堂オンラインストア（資生堂 Beauty Key）の会員のうち、「普段と違う端末からログインがありました」という通知メールを受け取った人には、不正ログインの疑いがあるとして案内が送られています。この通知は本人がスマホとPCを使い分けただけでも届くことがあります。不正ログインがあった場合に見られた可能性がある情報は、氏名、住所、電話番号、メールアドレス、生年月日、購入履歴、ポイント履歴です。クレジットカード番号などの決済情報は、外から見られない仕組みと説明されています。対象となる人数は発表されていません。
資生堂からログイン通知メールや「不正ログインの疑い」の案内メールが届いていないか確認してください。届いた場合は、マイページで注文履歴と登録情報に覚えのない変更がないかを確かめてください。わからないことは、Beauty Keyお客さま窓口（0120-77-4710、9:00〜17:00、年末年始・法定点検日を除く）に問い合わせできます。
いますぐできること
- マイページで、ほかのサービスでは使っていない、このサイト専用のパスワードに変えましょう。
- 注文履歴と登録情報（住所やメールアドレス）に覚えのない変更がないか確認しましょう。
- 資生堂からの正規のお知らせは info@sw.shiseido.co.jp から届きます。これ以外のアドレスから届いたメールやSMSのリンクは開かないようにしましょう。資生堂がメールや電話でパスワードやカード番号を尋ねることはありません。
何が起きたのか
資生堂オンラインストアには、普段と違う端末からログインがあると登録メールアドレスに通知が届く仕組みがあります。この通知などをきっかけに、「自分ではないのにログインされたかもしれない」という問い合わせが増えました。資生堂は1月29日に注意喚起を出し、一部のアカウントで不正ログインの可能性がある動きを確認したと説明しました。そのうえで、怪しい接続元を遮断しました。2月2日には、ログイン時の本人確認を強める多要素認証を2月5日から始めると発表しました。
なぜ起きたのか・なぜ広がったのか
なぜ不正ログインが起きたのかは調査中で、原因はまだ発表されていません。資生堂は利用者に、ほかのサービスと同じパスワードを使い回さないよう呼びかけています。
いまの状況2026-03-04 時点続報待ち
2月5日から、ログインのたびに登録メールアドレスに届く「認証コード」の入力が必要になりました。3月4日には多要素認証の導入についてのお知らせが出ています。第1報の時点で金銭的な被害は確認されていません。影響を受けた人数、原因、補償については、まだ発表されていません。
企業として考えたいこと
自社の会員サイトで、他社から漏れたIDとパスワードを使ってログインを試みる攻撃が急に増えたとき、それにすぐ気付き、数日のうちに追加の本人確認を始められる準備ができているでしょうか。
技術的な要約
資生堂オンラインストアで、第三者によるなりすまし不正ログインが疑われるとの問い合わせが一部の利用者から増加し、2026年1月29日に緊急の注意喚起が公開された（公式の第1報は1月31日付表示）。普段と異なる端末からのログイン時に登録メール宛へ送る通知の仕組みが、利用者が気付く契機になった。資生堂は不正アクセスが疑われる複数のIPアドレスを遮断し、多要素認証の導入を進めると説明した。第1報時点で金銭的被害は確認されておらず、原因の特定を急いでいるとしている。多要素認証は2月5日から「認証コード」方式で導入された。影響件数や侵入経路は、渡された出典では公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用不明公式は「第三者によるなりすまし不正ログインの疑い」「一部のアカウントにおいて第三者による不正ログインの可能性を示す事象を確認」と説明している。原因は特定中とされ、認証情報の入手経路は公表されていない。パスワードの使い回しを避けるよう求めている点などから、他所で入手された認証情報の流用を想定した対応とみられるが、原因は未確定。
- 脆弱性
- CVE 非公表不明脆弱性に関する公表はない。原因は特定中とされている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する公表はない。
- データ
- 調査中上限 —確定 —氏名住所電話メール生年月日購入履歴その他件数は非公表。「万が一不正ログインがあった場合」に閲覧される可能性がある情報として、氏名・住所・電話番号・メールアドレス・生年月日・購入履歴・ポイント履歴が挙げられている。クレジットカード番号などの決済情報は外部から閲覧できない仕組みとされる。ログイン通知メールは本人のログインでも届く場合があり、通知メールが届いた方全員に不正ログインの疑いとして案内が送られている。
- 波及先
- —
- 金銭影響
- 金銭的被害は第1報時点で確認されていない。
- サプライチェーン
- 認証情報の入手経路は公表されていない。他所で入手された認証情報の流用を想定した対応とみられるが、原因は特定中で未確定。他組織経由・他組織への波及に関する公表はない。
時系列
- 2026-01-29
- 2026-01-29株式会社資生堂が、資生堂オンラインストアへのなりすまし不正ログインについて発表した。2
- 2026-01-31
- 2026-01-31
- 2026-02-02 11:00第2報（2月2日11時更新）が公表された。2
- 2026-02-02多要素認証を2月5日から導入すると発表した。2
- 2026-02-05 09:00Beauty Keyのお知らせが第2報（2月5日9時更新）に更新された。3
- 2026-02-05「認証コード」を用いた多要素認証を導入した。ログイン時に登録メールへ届く認証コードの入力が必要となる。3
- 2026-02-05多要素認証導入に便乗したフィッシング詐欺への注意が呼びかけられた。3
- 2026-03-04資生堂オンラインストアが「多要素認証の導入について」の重要なお知らせを公表した。5
技術解説
公表内容と対応の経過 事実
資生堂オンラインストアは2026年1月29日、第三者によるなりすまし不正ログインが疑われるとの問い合わせが一部の利用者から増えているとして、緊急の注意喚起（第1報）を公開した。公式のお知らせは1月31日付で掲載されている。同ストアには、普段使っていない端末からログインがあると登録メールアドレスへ通知を送る仕組みがあり、この通知などをきっかけに問い合わせが増えた。資生堂は一部のアカウントで不正ログインの可能性を示す事象を確認したと説明している。対応として、不正アクセスが疑われる複数のIPアドレスを遮断し、多要素認証の導入を進めた。2月2日11時更新の第2報で、多要素認証を2月5日から導入すると発表した。2月5日からは、ログインのたびに登録メールアドレスへ届く「認証コード」の入力が必要になった。3月4日付では「多要素認証の導入について」の重要なお知らせが掲載された。第1報の時点で金銭的被害は確認されておらず、原因の特定を急いでいるとしている。
ログイン通知が検知の起点になった点 解釈
今回の事案は、事業者側の監視ではなく、利用者に届く新しい端末からのログイン通知と、その後の問い合わせの増加が表に出るきっかけになったと読める。通知は不正に気付く手段として働いた一方、FAQでは、スマホとPCの違いなど普段と異なる環境から本人がログインした場合にも届くと説明されている。そのため、通知が届いた全員に「不正ログインの疑い」として案内が送られた。この形は取りこぼしを防ぐ点では慎重な対応だが、本当に被害を受けた人と誤検知の人を区別しにくくなる。影響件数が公表されていない理由の一つとして、本人によるログインと第三者によるログインを分けて数えることの難しさが考えられる。ただし、これは推測で、資生堂から説明は出ていない。利用者からの通知・申告に頼る検知に加え、事業者側でログイン失敗率や送信元の偏りを監視しておくと、より早く範囲を絞り込めた可能性がある。
認証情報の流用を想定した対策と残る課題 解釈
資生堂は原因を特定中としている。一方で、本サービス専用のパスワードへの再設定や他社と同じパスワードの使い回しを避けるよう求めており、IPアドレスの遮断や多要素認証の導入も行った。これらの対策は、他所で漏れたIDとパスワードを使うリスト型攻撃を想定したものと受け取れる。ただし、侵入経路は公表されておらず、確定した原因ではない。案内されたパスワードの条件は「6〜12文字の半角英数字」で、上限が12文字のため長いパスフレーズは使えない。また、多要素認証は登録メールアドレスに届く認証コード方式である。メールアカウント自体が同じパスワードで乗っ取られている場合は効果が弱まる。資生堂自身も、多要素認証の導入に便乗したフィッシングに注意するよう呼びかけている。認証コードを偽のサイトへ入力させる中継型のフィッシングへの備えが、次の課題になるとみられる。
公表の速さと開示されていない事項 解釈
問い合わせの増加を受けて第1報を出し、数日後には多要素認証の導入日を示し、2月5日には実際に導入した。報道は、この流れを「超迅速対応」と評している。資生堂は、正規の差出人アドレスや専用窓口を示し、メールや電話でパスワードやカード番号を尋ねないことも明記した。いずれも二次被害を防ぐうえで具体的な案内といえる。一方で、渡された出典の範囲では、不正ログインが確認された件数、攻撃が始まった時期、遮断したIPアドレスの数、注文の改ざんやポイントの不正利用があったかどうかは公表されていない。これらの情報がないと、利用者が自分に被害があったかを判断する材料が限られる。また、オンラインストアとBeauty Keyの二つのページに続報が分かれて掲載されたため、経緯を追いにくい面もある。続報が出れば評価は変わり得る。
対応
- 封じ込め
- 不正アクセスが疑われる複数のIPアドレスを遮断した。2026年2月5日から「認証コード」を用いた多要素認証を導入した。利用者にはマイページでの専用パスワード再設定（6〜12文字の半角英数字、英字・数字各1文字以上、大文字小文字区別）と登録メールアドレスの確認を依頼している。
- 公表の仕方
- 2026年1月29日に注意喚起（第1報）を公開し、2月2日に第2報、2月5日に更新を行った。専用窓口（Beauty Keyお客さま窓口 0120-77-4710）を設置し、正規の差出人アドレス info@sw.shiseido.co.jp を案内した。調査・対策の進展により案内が必要と判断した場合は改めて知らせるとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 利用者に届くログイン通知が不正の発見につながったが、本人のログインでも通知が届くため、被害の範囲を絞り込みにくかった。 | 新しい端末からのログイン通知に加え、IPアドレスやASN単位のログイン失敗率、短時間に多数のアカウントへ試行する送信元を監視し、しきい値を超えたらアラートを出す。ログには端末指紋とリスク判定の結果を残し、本人によるログインと第三者によるログインを後から区別できるようにする。 |
| 他社と同じパスワードを使い回したアカウントは、パスワードの流用によって乗っ取られやすい。 | ログイン時とパスワード設定時に、漏洩したパスワードのリスト（k-匿名性APIなど）と照合し、一致したものは拒否する。ログインにはレート制限と段階的なCAPTCHAを入れ、ボットによる大量試行を抑える。 |
| パスワードの文字数上限が短いと、長くて推測されにくいパスフレーズを使えない。 | パスワードの上限を64文字以上に広げ、記号を含むすべての印字可能文字を使えるようにする。保存には、ソルト付きの低速ハッシュ（bcryptやArgon2idなど）を使う。 |
| メールで届くワンタイムコードは、メールアカウントの乗っ取りや中継型フィッシングに弱い。 | パスキー（WebAuthn）を選べるようにし、メールOTPは代替手段として残す。認証コードには短い有効期限と試行回数の上限を設け、コードを入力したときのIPアドレスと端末がログイン要求と一致するかを確認する。 |
| 対策の告知をきっかけに、それに便乗したフィッシングが予想される。 | 送信ドメインにSPF・DKIMを設定し、DMARCをp=rejectで運用する。正規の差出人アドレスを1つに統一して事前に告知し、通知メールにはログイン用のリンクを入れない設計にする。 |
自組織などでの確認項目
- 自社のECや会員サイトで、新しい端末からのログイン通知を出したあと、本人によるログインと第三者によるログインを後から区別できるだけのログ（IPアドレス、端末情報、リスク判定）を残しているか。
- パスワード設定で文字数の上限や使える文字の制限があり、パスフレーズや漏洩パスワードとの照合を妨げていないか。
- 多要素認証がメールOTPだけの場合、メールアカウントの乗っ取りや中継型フィッシングを受けたときにどこまで守れるかを評価しているか。
- リスト型攻撃が疑われたときに、IPアドレスの遮断、利用者への一斉案内、専用窓口の設置を何日以内に実施できる手順と体制があるか。
未解明点
- 不正ログインが確認されたアカウントの数と、ログイン通知メールを送った人の数
- 攻撃が始まった時期と、認証情報の入手経路（リスト型攻撃かどうかを含む）を含む原因の調査結果
- 注文の改ざん、ポイントの不正利用、登録情報の書き換えなど、実際に起きた被害の有無
- 遮断したIPアドレスの数と、遮断後も試行が続いたかどうか
- 個人情報保護委員会など当局への報告の有無
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-01-30報道本文確認済
- 2ScanNetSecurity2026-02-05報道本文確認済
- 3資生堂 Beauty Key2026-01-31公式本文確認済
- 4
- 5資生堂公式本文確認済
- 6資生堂オンラインストア2026-01-31公式本文確認済