スポーツ用品大手のヨネックスは、同社が運営する「ヨネックス公式オンラインショップ」において第三者による不正ログインが発生したと発表し、利用者にパスワードの再設定（変更）を呼び掛けている。不正ログインは3件確認され、そのうち1件で氏名や住所、購入履歴などの個人情報が閲覧された可能性があるとしている。
事案の詳細
今回の発表は、ヨネックス公式オンラインショップの利用者アカウントに対し、第三者による不正ログインが確認された事案について説明したものだ。不正ログインが発生したことで、アカウントに登録された情報が第三者に見られた可能性があるという。
同社によれば、不正ログインは2026年8月5日に検知された。第三者が外部で不正に取得したIDとパスワードを流用する「リスト型アカウントハッキング（リスト型攻撃）」の手法によるもので、不正ログインが確認されたアカウントは3件、そのうち1件で個人情報が閲覧された可能性があると説明している。
閲覧された可能性がある情報としては、氏名、フリガナ、住所、電話番号、性別、生年月日、購入履歴のほか、配送先の氏名・住所・電話番号など、公式オンラインショップのマイページ等で扱われる情報が挙げられている。現時点で同社が公表した範囲では、「閲覧された恐れがある」として注意喚起しており、利用者側に対してはパスワードの再設定の実施を促している。
また、同社は不正ログインを確認したアカウントを無効化し、該当の利用者へ個別に連絡を行ったとしている。さらに、個人情報保護委員会への報告と警察庁への相談も済ませたとし、今後も状況を注視しながら対応を継続するとしている。
同社は利用者に向けて、公式オンラインショップのアカウント情報の管理を見直すよう呼び掛けている。少なくとも、アカウントにアクセスできる状態が第三者に渡った可能性がある以上、同じパスワードを使い続けることはリスクになり得るとして、早期の変更を求めた格好だ。加えて、他社サービスと同じパスワードや推測されやすいパスワードを設定しないよう注意喚起している。
影響と背景
ECサイトのアカウントが不正にログインされると、登録情報の閲覧だけでなく、利用者の購買行動に関する情報まで把握され得る。今回ヨネックスが示したのは、氏名・住所・電話番号・性別・生年月日・購入履歴・配送先情報などが閲覧された恐れであり、利用者のプライバシーに関わる情報が含まれる点が影響として大きい。同社がパスワード変更（再設定）を呼び掛けたのは、利用者のアカウント保護を優先する対応といえる。
今回用いられたリスト型攻撃は、他社サービスなどで流出したID・パスワードの組み合わせを悪用し、別サービスに対して大量にログインを試行する手口である。利用者が複数のサービスで同じID・パスワードを使い回している場合、1つのサービスから情報が漏えいするだけで、他のサービスのアカウントまで不正ログインされる危険性が高まる。
ヨネックスは、不正ログイン元の通信を遮断するとともに、ログインに関する監視を強化した上で、該当アカウントの無効化や利用者への個別連絡、パスワード再設定のお願いなどの措置を講じている。こうした対応は、被害拡大の抑止と、類似攻撃の再発防止に向けた初動対応として位置付けられる。
対策・今後の展望
- 利用者の対応：公式オンラインショップのパスワードを速やかに変更（再設定）し、他サービスと同じパスワードを使っている場合はあわせて見直す。推測されやすいパスワードの使用を避け、他社サービスと異なるパスワードを設定することが望ましい。
- 事業者側の対応：不正ログインの発生を前提に、利用者への周知、ログイン監視、再発防止策の整理を進めるとともに、状況に応じて追加の案内を行う。不正ログインを確認したアカウントの無効化や、個人情報保護委員会への報告、警察への相談など、法令・ガイドラインに沿った対応を継続することが求められる。
- 継続的な注意：アカウント情報が第三者に知られた可能性がある場合、利用者が取れる対策の中心はパスワード変更・使い回しの防止になるため、周知の徹底が重要となる。事業者側も、ログイン試行の監視や、異常なログイン試行があった際の遮断・追加認証など、多層的な防御策の検討が必要だ。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、最も多いアラートの一つが「いつもと違う場所・時間帯からのログイン試行の集中」だ。診断でも、ログイン監視や失敗回数の制限が未整備のまま公開されているケースが目立つ。
【観点②：平易な解説】例えるなら、合鍵を誰かに作られて家の中をのぞかれたようなものだ。つまり、本人の名前でサイトに入れる状態になると、登録してある住所や購入の記録が見えてしまい、本人確認の手掛かりにもなり得る。今回のようにリスト型攻撃で第三者がログインできてしまうと、利用者のプライバシーや本人確認に使われる情報が一度に見られてしまう危険がある。
【観点③：今週中にできること】まず自社のECや会員サイトで、ログイン失敗が続いたときに止める設定があるかを確認する。次に、従業員・運用担当へ「パスワードの使い回し禁止」を改めて伝え、顧客向けのパスワード変更案内文もすぐ出せる形で準備する。加えて、ログイン試行の監視体制を点検し、異常な試行が集中した場合に自動的に遮断・警告できる仕組みを整えることが望ましい。