事案の概要データ
| 公表日 | 2026年10月20日 |
|---|---|
| 不正ログインの時期 | 2026年9月4日〜7日 |
| 対象 | 公式アプリ、CLUB フジQ |
| 被害 | 159名の会員アカウントに不正ログイン |
| 手口 | リスト型攻撃（パスワードリスト攻撃） |
| 内容 | 閲覧された可能性のある項目あり |
図解：この事故の構造
何が起きたのか
富士急ハイランドは2026年10月20日、公式アプリと「CLUB フジQ」において、2026年9月4日から7日にかけて159名の会員アカウントに不正ログインが行われたことを公表しました。
手口はリスト型攻撃（パスワードリスト攻撃）です。同社のシステムが破られたのではありません。
リスト型攻撃とは
リスト型攻撃は、他のWebサイトから漏えいしたIDとパスワードの組み合わせを、別のサイトのログイン画面で片っ端から試す攻撃です。
成立する前提は、利用者が複数のサービスで同じIDとパスワードを使い回していることです。どこか1つのサイトから漏れれば、他のすべてのサービスが危険にさらされます。
2025年の証券会社10社の事案（不正取引 約5,240億円）も、この手口によるものでした。
2026年10月は、パスワードのハッシュ値が流出する事案が続きました。ブックオフ、スカイチケット、NTTソルマーレ、リンクステーション、Globee——これらから割り出されたパスワードが、次の攻撃に使われます。
本件の159名も、どこか別のサービスから漏れたパスワードを使い回していた方々だと考えられます。
企業側にできること
リスト型攻撃は、利用者のパスワード使い回しが原因です。しかし「利用者が悪い」で終わらせるべきではありません。企業側にもできることがあります。
1つ目は、多要素認証を用意すること。パスワードが正しくても、もう一つの要素がなければログインできません。
2つ目は、短時間に大量のログイン試行があれば自動で遮断すること。リスト型攻撃は機械的に何千回も試すため、回数制限が効きます。
3つ目は、普段と違う端末・地域からのログインを検知して通知すること。利用者が自分で気づけます。
本件では9月4日から7日の4日間にわたって試行が続いています。回数制限や異常検知があれば、もっと早く止められた可能性があります。
利用者ができること
最も確実な対策は、パスワードを使い回さないことです。
「覚えられない」という問題は、パスワード管理ツールで解決できます。ブラウザに標準で備わっているものでも十分です。1つのマスターパスワードだけ覚えれば、各サービスには長くランダムなパスワードを設定できます。
そして、設定できるサービスでは多要素認証を有効にしてください。これだけで、パスワードが漏れてもログインを防げます。
時系列で見る経過
- 2026年9月4日〜7日公式アプリと「CLUB フジQ」に対してリスト型攻撃が行われ、159名の会員アカウントに不正ログイン
- 2026年10月20日事案を公表
中小企業が学ぶべきポイント
- リスト型攻撃はパスワードの使い回しが前提。使い回しをやめることが最も効く。
- パスワード管理ツールを使えば、覚える必要はない。ブラウザ標準のものでも十分。
- 企業側は多要素認証を用意し、短時間の大量ログイン試行を自動で遮断する。
- 普段と違う端末・地域からのログインを検知して通知する。利用者が自分で気づける。
- 4日間にわたる試行。回数制限があれば、もっと早く止められた可能性がある。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。