ヤマダデンキへの不正アクセス（ヤマダビデオ・スマホゴールド会員サービス停止）
公表日
ヤマダデンキは2026年10月23日、「ヤマダビデオ」と「スマホゴールド会員」の手続き画面で外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を確認し、両サービスを一時停止したと発表しました。
対象者は？
「ヤマダビデオ」および「スマホゴールド会員」の利用者（個人情報の流出有無は調査中であり、漏えいが確定した情報は発表されていません）
ヤマダデンキ公式ウェブサイトの案内や今後の続報をご確認ください。
何が起きたのか
2026年10月22日午後4時13分頃、ヤマダデンキは提供する動画配信サービス「ヤマダビデオ」と月額会員サービス「スマホゴールド会員」の各種手続き画面で外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を確認し、サービスを一時停止しました。翌10月23日に事態を公表し、詳しい影響の調査を進めています。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の侵入経路や具体的な手口については公表されていません。
いまの状況2026-10-26 時点続報待ち
「ヤマダビデオ」および「スマホゴールド会員」のサービス停止が継続しています。個人情報への影響や漏えいの有無については調査中とされており、調査結果や復旧の見通しはまだ発表されていません。
企業として考えたいこと
会員向けの手続き画面で不正なアクセスが確認された際、さらなる被害を防ぐために該当機能だけを即座に安全停止できる仕組みは準備されていますか？
技術的な要約
家電量販大手の株式会社ヤマダデンキは2026年10月23日、動画配信サービス「ヤマダビデオ」と会員サービス「スマホゴールド会員」の各種手続き画面で外部からの不正アクセスを確認したと発表した。同社は被害拡大を防ぐため、2026年10月22日午後4時13分頃から両サービスを一時停止している。不正アクセスの侵入経路や手口、発生時期、閲覧・取得された情報の有無や件数は公表されていない。個人情報への影響については引き続き調査中であり、情報漏えいの有無は確定していない。同社は調査結果およびサービスの復旧見通しについて、今後改めて公表するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明「ヤマダビデオ」および「スマホゴールド会員」の各種手続き画面において外部からの不正アクセスが確認されたが、侵入経路や手口は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 「ヤマダビデオ」および「スマホゴールド会員」の各種手続き画面を含むサービスが一時停止。期間：2026-10-22T16:13+09:00から継続中
- データ
- 調査中上限 —確定 —侵入経路や手口、閲覧・取得された情報の有無や件数は明らかにされておらず、個人情報への影響は調査中。
- 波及先
- —
- ヤマダビデオと連携するU-NEXT
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
手続き画面への不正アクセス確認と2サービスの緊急停止 事実
ヤマダデンキは2026年10月23日、同社が提供する動画配信サービス「ヤマダビデオ」および月額会員サービス「スマホゴールド会員」の各種手続き画面において、外部からの不正アクセスを確認したことを公表した。同社は公表に先立つ2026年10月22日午後4時13分頃から、これら2サービスの提供を一時停止する措置を実施した。停止対象となった「スマホゴールド会員」は月額330円で家電購入時のポイント還元率が高まるサービスであり、「ヤマダビデオ」は動画配信サービス「U-NEXT」と連携して提供されているサービスである。公表資料において、侵入の具体的な経路や攻撃の手口、不正アクセスが開始された時期は明らかにされていない。
個人情報への影響と被害規模に関する調査状況 事実
本事案において、不正アクセスによって閲覧または取得された情報の有無や、影響を受けた件数などは公表されていない。ヤマダデンキは個人情報への影響について引き続き調査を継続している段階であるとし、情報漏えいの有無についても確定していない旨を説明している。同社は、今後の調査によって判明した事実関係や、一時停止している「ヤマダビデオ」および「スマホゴールド会員」のサービス復旧の見通しについて、判明次第改めて公表・案内する方針を示している。
各種手続き画面を起点とした侵害リスクと一次対応の評価 解釈
本件では、会員向けサービスの「各種手続き画面」が外部からの不正アクセスの標的となったと公表されている。各種手続き画面には会員の登録情報閲覧や契約内容変更、認証機能などが集約されていることが多く、リスト型攻撃（クレデンシャルスタッフィング）や認可・認証制御の不備、Webアプリケーションの脆弱性などを狙われるリスクが一般に存在する。ヤマダデンキは不正アクセスを確認した翌日に公表を行うとともに、発生確認当日の午後4時13分時点で即座にサービス全体を一時停止する措置をとっており、調査完了前であってもさらなる被害拡大や情報流出の防止を最優先した迅速な封じ込め対応を実施したものと評価できる。
対応
- 封じ込め
- 2026年10月22日午後4時13分頃から、不正アクセスが確認された「ヤマダビデオ」および「スマホゴールド会員」のサービスを一時停止した。
- 公表の仕方
- 2026年10月23日に公式ウェブサイト上で不正アクセスの確認とサービス停止を公表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 各種手続き画面や認証・認可エンドポイントに対する異常アクセスの検知 | 会員情報や契約内容を変更するWebフォームに対してIP単位・アカウント単位のリクエストレートリミットを設定し、急激なアクセス集中や不正リクエストパターンを検知して自動遮断するWAFルールを導入する。 |
| 不正アクセス検知時における迅速なサービス停止・機能遮断手順の事前確立 | 侵害の兆候を確認した際、ロードバランサやCDNでのメンテナンス画面切り替え、またはフィーチャーフラグによる機能単位の非公開化によって、数十分以内に該当サービスのみを安全に遮断できる緊急手順を整備・訓練しておく。 |
| 外部連携サービスとの境界におけるトークンおよびデータ保護 | 動画配信等の提携サービスとアカウント連携を行う場合、外部連携用のAPIトークンや顧客識別子のスコープを必要最小限に限定し、手続き画面側から提携先システムへの権限昇格や不正アクセスを防ぐセッション設計を行う。 |
| 初動段階でのアクセスログ保全と影響範囲の特定体制 | Webサーバ、リバースプロキシ、WAFのアクセスログを改ざん不可能な中央ログ基盤（S3オブジェクトロックや専用SIEM）へ常時転送・保管し、侵害発生時に速やかに閲覧対象となったアカウントやリクエストURIを追跡・特定できる体制を構築する。 |
自組織などでの確認項目
- 自社の会員向け手続きや登録変更画面において、レートリミットやWAFによる異常アクセスの自動検知・遮断が設定されているか。
- 外部からの不正アクセスを検知した際、影響を受けるサービスや画面のみを迅速に切り離して一時停止できる運用手順や体制が整っているか。
- 提携先や外部プラットフォームと連携するサービスにおいて、認証連携やデータ受け渡しにおける権限スコープが最小限に制御されているか。
未解明点
- 各種手続き画面に対する不正アクセスの具体的な侵入経路や手口（認証情報の悪用、Webアプリケーション脆弱性、認可不備など）は何であったか。
- 不正アクセスによって閲覧または取得された個人情報や決済情報等の漏えいは発生したのか、またその対象件数はどれだけか。
出典
- 1株式会社アクト2026-10-26報道本文確認済
- 2激流オンライン2026-10-26報道本文確認済
- 3日本経済新聞2026-10-24報道本文確認済
- 4日本経済新聞2026-10-25報道本文確認済
- 5株式会社ヤマダデンキ2026-10-23公式本文確認済