ファンくる、リスト型攻撃で5万9,389人に不正ログイン　506万回超の試行、2アカウントでポイント不正交換

株式会社ファンくるは2026年8月25日、覆面調査・モニターサービス「ファンくる」で発生した不正ログインについて、調査結果とサービス再開を公表しました。

同社によると、8月20日22時から8月24日13時までの間に、外部の第三者によるリスト型攻撃が行われ、5,060,270回の不正ログイン試行を確認しました。このうち59,389名の会員アカウントで不正ログインが成功し、2アカウントでは第三者による不正なポイント交換も確認されています。

不正ログインされたアカウントでは、氏名、生年月日、郵便番号、電話番号、メールアドレスなど、マイページに登録された会員情報が閲覧された可能性があります。ただし、同社は個人情報が実際に流出したかについては引き続き調査中としています。

また、ファンくる側からIDやパスワードが流出した事跡は確認されていません。パスワードは復号できないハッシュ形式で保存されており、同社は今回の攻撃を、他サービスなどから入手された認証情報を悪用するリスト型攻撃と説明しています。

ファンくる不正ログインのサマリー

• 【確認済み】不正ログインが確認された期間は2026年8月20日22時から8月24日13時までです。
• 【確認済み】不正ログイン試行回数は5,060,270回でした。
• 【確認済み】不正ログインが成功した会員数は59,389名です。
• 【確認済み】2アカウントで第三者による不正なポイント交換が確認されています。
• 【確認済み】不正ログインされたアカウントでは、氏名、生年月日、郵便番号、電話番号、メールアドレスが閲覧された可能性があります。
• 【未確定】会員情報が実際に外部へ取得・流出したかは調査中です。
• 【確認済み】ファンくる側からID・パスワードが流出した事跡は確認されていません。
• 【確認済み】パスワードは復号できないハッシュ形式で保存されています。
• 【確認済み】同社は他サービスなどから取得された認証情報を利用したリスト型攻撃と説明しています。
• 【確認済み】不正通信の遮断とログイン画面への不正アクセス対策機能の導入後、8月25日12時にサービスを再開しました。
• 【確認済み】個人情報保護委員会と警察へ報告済みです。
• 【確認済み】対象となった可能性のある会員へ個別に連絡し、パスワード再設定を案内しています。

項目	内容
公表日	2026年8月25日
発生日・確認期間	2026年8月20日22時～8月24日13時
対象組織	株式会社ファンくる
対象サービス	覆面調査・モニターサービス「ファンくる」
インシデント	リスト型攻撃による不正ログイン
不正ログイン試行	5,060,270回
不正ログイン成功	59,389名
金銭・ポイント被害	2アカウントで不正なポイント交換を確認
閲覧された可能性のある情報	氏名、生年月日、郵便番号、電話番号、メールアドレス
情報流出	実際の流出有無は調査中
ID・パスワードの自社流出	流出した事跡は確認されず
対応状況	不正通信遮断、不正アクセス対策機能導入、監視強化、パスワード再設定案内
サービス再開	2026年8月25日12時
個人情報保護委員会への報告	報告済み
警察への報告	報告済み

506万回超のログイン試行、5万9,389人で不正ログイン成功

ファンくるによると、外部の第三者は2026年8月20日22時から8月24日13時まで、同サービスに対してリスト型攻撃を実行しました。

確認された不正ログイン試行は5,060,270回に上り、59,389名の会員アカウントでログインに成功しています。

ここで注意が必要なのは、5,060,270回が「試行回数」、59,389が「成功会員数」であり、両者は同じ単位ではない点です。同一アカウントへの複数回の試行が含まれる可能性があるため、単純に割合を算出して攻撃成功率とみなすことはできません。

一方、今回の事案は大量のログイン試行を検知しただけではありません。実際に5万9千人を超えるアカウントで認証を突破され、さらに2アカウントではポイントの不正交換まで確認されています。

アカウント乗っ取りが個人情報の閲覧可能性だけでなく、サービス内資産の不正利用まで発展した事案です。

氏名や電話番号などが閲覧された可能性、流出の確定は調査中

不正ログインされたアカウントでは、マイページに登録されていた会員情報が第三者から閲覧された可能性があります。

第二報でファンくるが対象として挙げた情報は、氏名、生年月日、郵便番号、電話番号、メールアドレスです。対象人数は不正ログイン成功会員数と同じ59,389名です。

ただし、同社は「個人情報が流出した可能性については現在も調査中」としています。

このため、59,389名を「個人情報漏えい人数」と断定することは適切ではありません。現時点で確認されているのは、59,389名のアカウントで不正ログインが成功し、そのアカウント上の会員情報が閲覧可能な状態になったことです。

実際にどの情報が第三者によって取得されたのか、保存や外部持ち出しが行われたのかは今後の調査結果を待つ必要があります。

第一報から個人情報の記載を更新　ID・パスワード流出は確認されず

8月24日の第一報と、8月25日の第二報では、影響情報の記載に差があります。

第一報では、不正ログインされた一部会員について「姓名、性別、郵便番号、電話番号、メールアドレス、ID/パスワード」が閲覧できる状態だったと説明していました。

一方、第二報では対象情報を「氏名、生年月日、郵便番号、電話番号、メールアドレス」と整理し、パスワードについては復号できない形式のハッシュで保存していると説明しています。

さらに、社内からIDやパスワードが流出した事跡は確認されていないとしています。

調査の進展によって公表内容が更新されたため、現時点では第二報の内容を基準にする必要があります。

なお、ハッシュ形式で保存されていることは、パスワードそのものが平文で保存されていないことを意味します。ただし、今回の不正ログイン成功は、攻撃者が有効な認証情報を既に保有していたことを示しています。

他サービス由来の認証情報を使ったリスト型攻撃

ファンくるは今回の攻撃を「リスト攻撃」と説明しています。

リスト型攻撃は、他のサービスや過去の情報漏えい、フィッシングなどで取得されたID・パスワードの組み合わせを、別のサービスのログイン画面で試す攻撃です。

同一のメールアドレスとパスワードを複数サービスで使い回している利用者は、一つのサービスから認証情報が流出すると、直接侵害されていない別サービスでも不正ログインされる可能性があります。

IPAも、不正ログインの要因として、他サービスから漏えいしたID・パスワードを利用するリスト型攻撃を挙げています。利用者にはサービスごとに異なるパスワードを設定し、多要素認証が利用できる場合は有効化することを推奨しています。

セキュリティ対策Labでも、2025年に増加した不正ログインについて、リスト型攻撃やパスワード使い回しへの対策を整理しています。

2アカウントでポイントを不正交換

今回の事案では、2アカウントについて第三者による不正なポイント交換が確認されています。

ポイント交換の具体的な金額や交換先、被害額については、8月25日の公表では明らかにされていません。

リスト型攻撃では、攻撃者の目的が個人情報の閲覧だけとは限りません。ECサイトやポイントサービス、決済機能を持つサービスでは、アカウントに蓄積されたポイントや残高、クーポンなどを換金性のある資産として狙うケースがあります。

そのため、不正ログイン対策では「個人情報を守る」だけでなく、ログイン後に実行できるポイント交換や登録情報変更など、高リスク操作に追加認証を求める設計も重要です。

8月24日にサービス停止、対策後25日12時に再開

ファンくるは不正ログインの発覚を受け、8月24日13時からサービスを停止して緊急メンテナンスを実施しました。

第二報では、不正通信の遮断に加え、ログイン画面へ不正アクセス対策機能を導入し、監視体制を強化したとしています。

セキュリティ対策と安全性の検証後、8月25日12時にサービスを再開しました。

同社は、不正ログインの対象となった可能性がある会員へ順次メールなどで個別連絡し、パスワード再設定を案内しています。

また、個人情報保護委員会と警察へ本件を報告済みです。

二次被害としてフィッシングやなりすましに注意

今回、閲覧された可能性がある情報には氏名、電話番号、メールアドレス、生年月日などが含まれます。

これらの情報は単独で直ちにアカウントを乗っ取る認証情報ではありませんが、複数の情報を組み合わせることで、本人を装ったフィッシングメールやSMS、詐欺電話などに利用される可能性があります。

ファンくるも、フィッシング詐欺やなりすましなどの被害を受けた場合には警察へ相談するよう案内しています。

対象となった会員は、ファンくるを装ったメールやSMSでパスワード再設定、ポイント確認、本人確認などを求められても、記載されたリンクを安易に開かず、公式サイトや公式アプリから確認する必要があります。

また、ファンくると同じパスワードを他サービスでも利用している場合は、他サービス側も異なるパスワードへ変更する必要があります。

情報システム・サービス運営部門への示唆

今回の事案は、サービス事業者自身からパスワードが漏れていなくても、大規模なアカウント侵害が発生し得ることを示しています。

パスワードを適切にハッシュ化して保存することは必要ですが、それだけではリスト型攻撃を防げません。

サービス運営側では、短時間に大量のログインを繰り返すIPアドレスやネットワーク、同一認証情報を使った異常試行、通常と異なる地域・端末からのログインなどを検知し、レート制限やリスクベース認証、追加認証につなげる仕組みが重要です。

特にポイント交換、出金、登録メールアドレスや電話番号の変更など、アカウント乗っ取り後の被害に直結する操作については、ログイン済みであっても再認証や多要素認証を求める設計が有効です。

また、今回のように数百万回規模の試行が発生した場合、単純なログイン失敗数だけでなく「成功したアカウント数」「高リスク操作の発生数」「通常と異なるIPや端末からの成功ログイン」を継続監視する必要があります。

ファンくるでは不正通信遮断とログイン画面への対策機能追加を行いましたが、第二報では多要素認証の導入有無やポイント交換時の追加認証については明らかにされていません。今後の追加対策が確認ポイントとなります。

出典

• 【重要】不正ログインに関する調査結果、サービス再開および今後の対応について（第二報） – 株式会社ファンくる
• 【重要】不正ログインに伴うシステム一時停止と情報流出の可能性に関するお詫びとお知らせ（第一報） – 株式会社ファンくる
• インターネットサービスへの不正ログインによる被害が増加中 – IPA
• 不正ログイン対策特集ページ – IPA
• 不正ログイン、2025年で過去最多-IPA発表 – セキュリティ対策Lab