宝くじ公式サイトおよび公式アプリへの不正ログイン（パスワードリスト攻撃の可能性）
公表日
宝くじ公式サイトと公式アプリで第三者による不正ログインが発生し、一部会員のパスワードが無断で変更され会員情報が閲覧された可能性があるとしてサービスが全面停止しました。
対象者は？
宝くじ公式サイトおよび公式アプリの一部の会員（対象人数や閲覧された具体的な項目はまだ発表されていません。なお、サーバーやデータベース自体の侵入痕跡や会員データの一括流出は確認されていません）。
詳細が確認でき次第、対象となる利用者に個別に案内が行われる予定です。また、宝くじコールセンターで問い合わせを受け付けています。
いますぐできること
- 宝くじ公式サイト・アプリと同じメールアドレスやパスワードを他社サービスでも使っている場合は、すぐに別のパスワードへ変更する。
- 宝くじ運営を装った不審なメールや偽サイトに個人情報や決済情報を入力しないよう注意する。
何が起きたのか
2026年11月5日昼前、宝くじ公式サイトで利用者のパスワードが意図せず変更される事象が確認されたため、公式サイトと公式アプリの利用が緊急停止されました。翌11月6日の調査発表により、一部のアカウントに第三者が不正ログインし、パスワードを勝手に変更したほか、会員情報を閲覧した可能性があることが判明しました。実店舗の売り場は通常通り営業していますが、ネットでの宝くじ購入やアプリの利用は停止が続いています。
なぜ起きたのか・なぜ広がったのか
宝くじ公式サイトのサーバーやデータベースが直接ハッキングされた痕跡はなく、外部で不正に入手されたメールアドレスとパスワードの一覧を用いた「パスワードリスト攻撃」によって不正ログインが行われた可能性が高いと説明されています。
いまの状況2026-11-06 時点続報待ち
公式サイトおよび公式アプリの利用停止が続いており、復旧時期は未定となっています。運営側は詳細な影響範囲の調査を進めており、週末のコールセンター臨時営業などを実施して対応にあたっています。
企業として考えたいこと
自社の会員向けサービスでは、外部から流出したパスワードを使った不正ログインを防ぐ多要素認証や、パスワード変更時の再確認の仕組みが導入されていますか？
技術的な要約
全国自治宝くじ事務協議会（全国都道府県及び全指定都市）が運営する宝くじ公式サイトおよび公式アプリにおいて、2026年11月5日昼前、利用者のパスワードが意図せず変更される事象が確認された。運営側は被害拡大防止のためサイトおよびアプリのサービス利用を全面的に一時停止した。その後の調査により、一部の会員アカウントに対して第三者による不正ログインが行われ、パスワードの変更に加えて会員情報が閲覧された可能性があることが判明した。サーバーやデータベースへの侵入痕跡や会員データの一括流出は確認されておらず、外部で不正に入手された認証情報リストを用いた攻撃の可能性が説明されている。実店舗の宝くじ売場は通常通り営業を継続しているが、オンラインでの購入機能などの復旧時期は未定となっている。
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者外部で入手されたメールアドレスとパスワードの一覧を用いた不正ログイン（クレデンシャルスタッフィング/パスワードリスト攻撃）の可能性があると公式は推定として記載。
- 脆弱性
- CVE 非公表不明システムの脆弱性や製品に関する公表はなく、外部流出リストを悪用した不正ログインの可能性が示されている。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 宝くじ公式サイトおよび公式アプリの利用停止により、ネットでの宝くじ購入、マイページ閲覧、継続購入キャンペーンへの申し込みが停止。店頭の宝くじ売場は通常通り営業。期間：2026-11-05から継続中（復旧時期未定）
- データ
- おそれ上限 —確定 —アカウント氏名その他一部の利用者アカウントでパスワード変更および会員情報が閲覧された可能性があるが、対象人数や具体的な項目は公表されていない。サーバーやデータベースへの侵入痕跡および会員データの流出は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
事案の発生と公表の推移 事実
2026年11月5日昼前、宝くじ公式サイトにおいて利用者のパスワードが意図せず変更される事象が確認され、全国自治宝くじ事務協議会はサイトの利用を一時停止しました。公式アプリでも同様の事象が確認されたため利用停止となりました。11月5日の第1報時点では、パスワードが意図せず変更される事象が確認されたことと影響範囲の調査中である旨が公表され、原因が不正アクセスか不具合かは明らかにされていませんでした。翌11月6日の発表において、一部の会員アカウントに対する第三者による不正ログインが確認され、パスワード変更に加えて会員情報が閲覧された可能性があることが明らかにされました。一方で、サーバーやデータベースへの侵入形跡や会員データの一括流出は確認されておらず、外部で不正に入手された認証情報リストを用いた攻撃の可能性があると説明されています。サービスの復旧時期は未定と発表されています。
攻撃手法と認証の構造に関する分析 解釈
本件ではサーバーやデータベースへの直接侵入が確認されていないことから、他サービスから漏洩した認証情報リストを機械的に試行するパスワードリスト攻撃（クレデンシャルスタッフィング）が行われた可能性が極めて高いと考えられます。攻撃者はログインに成功したアカウントに対し、利用者の操作を装ってパスワード変更を実施したとみられます。この変更により正規利用者がログイン不能となるか、変更通知によって異変が表面化し、運営側が事象を把握する契機となりました。単一要素認証（IDとパスワードのみ）に依存していた場合、外部で流出した組み合わせを用いればログインが成立してしまいます。さらに、会員情報の閲覧だけでなくパスワードの変更処理において、既存パスワードの再入力や二要素認証（ワンタイムパスワード等）による本人再確認のステップが不十分であった場合、乗っ取りや設定変更が容易に進んでしまう構造的弱点が存在した可能性があります。
サービス全面停止と初動対応の評価 解釈
運営主体は、パスワードが不正に変更される異常を検知した直後に、原因の詳細が確定する前段階で公式サイトおよび公式アプリのサービスを全面的に停止する措置を取りました。宝くじのネット購入やキャンペーン申し込みが停止し事業上の影響は生じたものの、リスト型攻撃による更なるアカウント侵害や会員情報の網羅的な閲覧を防ぐ観点からは、迅速かつ適切な封じ込め判断であったと評価できます。また、週末の土日にコールセンターの臨時特別営業を実施し、他社サービスでのパスワード使い回しに対する注意喚起を速やかに行った点も利用者保護に寄与しています。一方で、初報から現在に至るまで、被害を受けたアカウント数や閲覧された具体的な会員情報の項目が明らかにされておらず、利用者が自身への影響度を個別に把握しにくい状態が続いている点は課題といえます。
対応
- 封じ込め
- 宝くじ公式サイトおよび公式アプリのサービス利用を全面的に一時停止し、不正ログインの拡大を防止。
- 公表の仕方
- 2026年11月5日に公式サイトおよび公式Xで一時停止を公表。11月6日には調査経過として一部会員アカウントへの不正ログインと会員情報閲覧の可能性を公表し、パスワード使い回しへの注意喚起を実施。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| パスワードリスト攻撃に対する多層防御の整備 | 多要素認証（MFA/2FA）の導入や、IPアドレス・端末指紋・ログイン試行頻度に基づくレートリミットおよびCAPTCHAの導入を行い、機械的なログイン試行を遮断する。 |
| 重要操作時の再認証プロセスの徹底 | パスワード変更、登録メールアドレス変更、決済情報変更などの重要操作時には、現行パスワードの再入力や登録済み連絡先へのワンタイムパスワード送信による再認証を必須化する。 |
| 不審なログインおよびアカウント操作の早期検知 | 短時間での大量のログイン失敗や通常と異なるアクセス元からの成功ログイン、直後のパスワード変更といった挙動をSIEMや監視ツールで検知し、自動でのアカウントロックやアラート発報を実装する。 |
| サービス全面停止と影響範囲特定の初動手順の確立 | 認証侵害が疑われた際に被害拡大を防ぐための機能別遮断（購入機能のみ停止、ログイン機能のみ停止など）や全面停止の判断基準を定義し、インシデント発生時のログ保全・影響アカウント特定手順をあらかじめ策定しておく。 |
自組織などでの確認項目
- 自社の公開Webサービスやアプリにおいて、ID・パスワードのみに依存せず、多要素認証やリスクベース認証を導入できているか。
- パスワード変更や会員情報の更新処理を行う際、現行パスワードの再確認や追加の認証ステップを要求する設計になっているか。
- 外部からのブルートフォースやリスト型攻撃を想定したレートリミット、不審なログイン試行をリアルタイムで検知・遮断する仕組みが存在するか。
未解明点
- 不正ログインが行われパスワード変更や会員情報閲覧の被害を受けた対象アカウントの総件数は何件か。
- 第三者に閲覧された可能性がある会員情報の具体的な項目（氏名、生年月日、住所、決済情報等）は何であったか。
出典
- 1shiritomo2026-11-05報道本文確認済
- 2IT Post2026-11-08報道本文確認済
- 3スポニチアネックス報道本文確認済
- 4セキュリティ対策Lab2026-11-05報道本文確認済
- 5全国都道府県及び全指定都市2026-11-06公式本文確認済
- 6東京報道新聞2026-11-07報道本文確認済
- 7福井新聞ONLINE2026-11-07報道本文確認済