日本サッカー協会（JFA）は10月18日、公式アプリ「JFA Passport」が第三者による不正アクセスを受けたと発表した。不正アクセスは10月17日の午前3時25分ごろから午後7時ごろまで続いたという。JFAは不正アクセスの経路を遮断するため、アプリの機能の一部を一時停止しており、個人情報を含む利用者情報への影響を調べている。
事案の詳細
JFA Passportは、JFAが2022年11月に公開した初の公式アプリである。JFAによると、10月17日の未明から夜にかけて半日以上にわたり、このアプリに対する第三者の不正アクセスがあった。
JFAは不正アクセスの経路を遮断し、それに伴ってアプリの機能の一部を一時的に停止した。このため、現在は一部のサービスが使えない状態となっている。
- 利用者情報への影響：個人情報を含め、現在調査中
- ほかのシステムへの影響：JFAが利用するほかのシステムへの影響は、現時点の調査では確認されていない
- 利用者へのお願い：当面の間、アプリからのログアウト、再ログイン、再インストールなどの操作を控える
侵入の手口や、不正アクセスを受けたのがアプリ本体か、アプリと連携するサーバー側かといった詳細は公表されていない。JFAは、調査と復旧の状況をJFA.jpで知らせるとしている。
影響と背景
スポーツ団体やエンターテインメント関連の公式アプリは、チケット購入や会員登録のために、氏名、連絡先、生年月日、支払いに関する情報などを預かっていることが多い。熱心なファンほど長く使い続けるため、登録情報が蓄積しやすいという特徴もある。
2026年秋は、スマートフォンアプリと連携する会員システムを狙った不正アクセスの公表が相次いでいる。NICTは、公開アプリを解析してその裏側のサーバーを狙う手口を「A2B攻撃」と名付けて注意を呼びかけている（解説コラム）。ただし、今回の事案がこれに当たるかどうかは明らかになっていない。
なお、JFAでは2026年4月にも、JFAクラウドファンディングで利用していたサービス「CAMPFIRE」の運営元への不正アクセスにより、登録ユーザーの情報が漏えいした可能性があると案内していた（JFAのお知らせ）。今回のJFA Passportとは別の仕組みで、関連は示されていない。
対策・今後の展望（利用者向け）
- JFAの案内に従う：当面はログアウト、再ログイン、再インストールを控え、調査結果と復旧の案内をJFA.jpで確認する。
- 同じパスワードを使い回していないか確認する：JFA Passportと同じメールアドレス・パスワードの組み合わせを他のサービスでも使っている場合は、他のサービス側のパスワード変更を検討したい。
- JFAや代表戦チケットを装う連絡に注意する：「チケットの再発行」「本人確認」などを口実にしたメールやSMSのリンクから、ログイン情報やカード情報を入力しない。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが行う脆弱性診断でも、会員向けアプリの裏側にあるAPIで、本来は本人しか見られないはずの情報を他人が取得できてしまう不備が見つかることがあります。アプリの画面には問題がなくても、サーバー側の権限確認が不十分なまま運用されているケースです。
【平易な解説】アプリはお店の「受付窓口」で、会員情報はその奥の「書類倉庫」に保管されています。今回は、窓口の一部を閉めて、倉庫に誰がどこまで入ったのかを調べている段階です。調査の結果が出るまでは、案内に従って余計な操作をせずに待つことが大切です。
【今週中にできること】会員アプリや会員サイトを運営する団体・企業は、アプリが利用しているAPIの一覧と、それぞれの認証・権限確認の仕組みを確認してください。あわせて、短時間の大量アクセスや会員情報の大量取得を検知するアラートがあるか、深夜・早朝の異常にも気付ける体制があるかを点検しましょう。今回の不正アクセスも、深夜3時台に始まっています。
参照: 日本サッカー協会「JFA公式アプリ『JFA Passport』への不正アクセスについて」（2026年10月18日）