日本郵政株式会社は2026年10月19日、共通会員ID「ゆうID」を用いる「ゆうゆうポイント」公式サイトで第三者による不正ログインが発生し、249アカウントで会員情報が閲覧された可能性があると公表しました。外部で漏えいしたID・パスワードのリストを使う、いわゆるリスト型攻撃によるなりすましログインが確認されています。
対象情報には氏名、住所、生年月日、電話番号、メールアドレスのほか、登録されている場合は勤務先や家族状況も含まれます。249アカウントのうち1アカウントについては、住所録に登録された住所情報83件が不正取得された可能性があります。日本郵政は、9月29日に発表した郵便局アプリへの不正アクセスで取得されたゆうIDとの重複はなく、自社システムから新たに情報が流出した事実も確認していないと説明しています。
ゆうID・ゆうゆうポイント不正ログインのサマリー
- 発表主体は日本郵政株式会社。公表日は2026年10月19日です。
- 10月15日、「ゆうゆうポイント」公式サイトへの不審なアクセスを検知しました。
- 調査で、外部で漏えいしたID・パスワードを悪用した第三者によるなりすましログインが判明しました。
- 不正ログインされた可能性があるのは249アカウントです。249人分の漏えい確定件数という意味ではありません。
- 会員情報の閲覧が疑われるほか、1アカウントが保有する住所録の住所情報83件が不正取得された可能性があります。
- 日本郵政は10月16日から「ゆうゆうポイント」公式サイトを停止し、不審なIPアドレスからのアクセスを遮断しました。
- 影響が疑われる利用者には電話などで順次連絡しています。
- 9月29日公表の郵便局アプリの事案で不正取得されたゆうIDと、今回の249アカウントは重複しません。
- 10月19日の発表時点では、対応完了後の新たな不正アクセスは確認されていません。
| 項目 | 内容 |
|---|---|
| 公表日 | 2026年10月19日 |
| 運営・公表主体 | 日本郵政株式会社 |
| 対象サービス | ゆうIDを利用する「ゆうゆうポイント」公式サイト |
| 不審アクセス検知 | 2026年10月15日 |
| 攻撃手口 | 外部で漏えいしたID・パスワードを用いたなりすましログイン |
| 不正ログインの可能性 | 249アカウント |
| 情報閲覧の可能性 | 氏名、住所、生年月日、性別、電話番号、メールアドレス、勤務先、家族状況、住所録情報（登録状況により異なる） |
| 住所録情報の不正取得の可能性 | 1アカウントに登録されていた住所情報83件 |
| サービス対応 | 10月16日からゆうゆうポイントサイトを停止。不審IPを遮断し監視を継続 |
| 既存の9月事案との関係 | 対象のゆうIDは重複なし |
10月15日に不審アクセスを検知、外部流出の認証情報でなりすまし
日本郵政によると、10月15日に「ゆうゆうポイント」公式サイトで不審アクセスを検知しました。調査を進めた結果、第三者が一部のゆうID会員になりすましてログインし、サイトを利用していたことが判明。翌16日から、顧客保護のため同サイトの利用を停止しました。
今回の攻撃では、別の場所で流出したID・パスワードの組み合わせを使って他のサービスへログインを試みる「リスト型攻撃」の手口が使われています。IDとパスワードを複数のサービスで使い回している場合、流出元とは無関係なサービスでもアカウントを乗っ取られる危険があります。
一方、今回の公式発表は、ゆうIDの認証情報が日本郵政のシステムから流出したとするものではありません。攻撃者が利用した認証情報の流出元や、ポイントの不正交換など個別の被害件数についても、今回の公表文からは確定できません。
勤務先・家族状況も閲覧された可能性、住所録83件は不正取得のおそれ
第三者に閲覧された可能性のあるゆうID会員情報は、氏名、住所、生年月日、性別、電話番号、メールアドレスです。さらに、利用者が登録していた場合は勤務先情報、家族状況、住所録登録情報も対象となります。ただし、249アカウントすべてに同じ情報が登録されていたわけではありません。
日本郵政は、249アカウントのうち1アカウントの住所録に含まれる住所情報83件について、不正取得された可能性を明示しました。「83件」は住所情報の件数であり、83アカウントが追加で乗っ取られたことや、83人の情報漏えいが確定したことを意味しません。
住所録には、アカウントの保有者本人だけでなく、家族や知人などの宛先情報が含まれる場合があります。情報が悪用された場合、郵便の再配達や住所確認を装う連絡、勤務先・家族関係を踏まえたフィッシングなどにつながる懸念があります。これらは今回確認された二次被害ではなく、情報の性質から想定されるリスクです。
9月29日の「郵便局アプリ」不正アクセスとは別の事案
日本郵政と日本郵便は9月29日、郵便局アプリへの不正アクセスで、ゆうID・郵便局アプリに関する顧客情報69件（19名分）が不正に取得されたと発表していました。詳しくは、当サイトの郵便局アプリへの不正アクセスに関する9月29日公表事案で取り上げています。
今回の10月19日公表分について、日本郵政は9月の事案で不正取得されたゆうIDとの重複がないと明記しました。また、9月の公表では69件（19名分）の情報の不正取得が確認されたのに対し、今回の249件は不正ログインされた可能性のあるアカウント数です。両者は件数の意味と確認状況が異なるため、単純に合算して被害人数とはできません。
日本郵政が利用者へパスワード再設定・パスキー設定を案内
日本郵政は、不審なIPアドレスからのアクセスを遮断し、継続監視を実施。10月19日の公表時点で、対処後に新たな不正アクセスは確認されていないとしています。
利用者には、パスワードや登録メールアドレスの再設定、パスキーの設定、二段階認証の必須化に関する案内を順次送る方針です。影響が疑われるアカウントの利用者へは、電話などによる連絡も進めています。二段階認証は今後の案内・必須化方針であり、発表時点ですべてのアカウントに適用済みとするものではありません。
ゆうIDの利用者は、他のサービスで同じパスワードを使用していないか確認し、使い回しがあればそれぞれ固有のパスワードへ変更する必要があります。再設定を促すメールやSMSが届いても、リンクをそのまま開かず、ブックマークや公式アプリなど普段利用している経路から案内を確認する方法が安全です。認証情報の再利用とアカウント乗っ取りの関係については、メールアドレス流出とリスト型攻撃の解説でも整理しています。
日本郵政は、同社およびグループ各社が電話やメールでパスワードやクレジットカード番号を尋ねることはないとして、不審なメール・SMSへの注意を呼びかけています。
情報システム部門が確認したいリスト型攻撃対策
企業や自治体の会員サービスでも、外部サービスで流出した認証情報を使ったログイン試行は発生し得ます。利用者が同じパスワードを使い回している場合、サービス自体に脆弱性がなくても不正ログインにつながります。
運営者側では、ログイン失敗の集中、複数アカウントへの連続試行、通常と異なる地域・端末からの認証成功を検知できるか確認することが実務上の課題です。パスキーや多要素認証の導入に加え、異常な認証成功後の住所録閲覧・一括取得といった操作も監視対象に含めると、ログイン成功後の不正利用を検知しやすくなります。
住所録や配送先など、会員以外の個人情報を保存するサービスでは、アカウント単位の影響範囲だけでなく、そのアカウントに紐づく第三者データの件数も調査・通知の対象として整理しておく必要があります。
出典
- 第三者による不正利用および会員情報漏えいの可能性について（2026年10月19日） – 日本郵政株式会社
- 郵便局アプリへの不正アクセスについて（9月29日公表事案の当サイト既報） – セキュリティ対策Lab
