ハイホー、営業電話で顧客からログイン情報を聞き出されなりすましログイン 38,509件

事案の概要データ

図解：この事故の構造

何が起きたのか

ハイホーは2026年10月8日、「BiZiMo光」などのマイページに対する不正ログインが38,509件（契約単位）確認されたことを公表しました。

特徴的なのは手口です。第三者が営業電話をかけ、顧客からログイン情報を聞き出したうえで、本人になりすましてマイページにログインしていたとされています。別の経路で認証情報を得た可能性についても調査が続いています。

同社のシステムそのものへの侵入は確認されていません。

技術ではなく「人」を狙う攻撃

この事案には、脆弱性もマルウェアも登場しません。電話で聞き出す——それだけです。こうした手口を「ソーシャルエンジニアリング」と呼びます。

どれだけファイアウォールを固めても、利用者本人が自らIDとパスワードを教えてしまえば、攻撃は成立します。しかも、本人が正しい情報を入力しているため、システムから見れば完全に正常なログインです。不正ログインとして検知することが極めて困難になります。

通信回線の契約は、乗り換え勧誘の電話が日常的にかかってくる分野です。「乗り換えの手続きに必要です」「現在の契約内容を確認します」と言われれば、応じてしまう人がいても不思議ではありません。

伝えるべきことは1つだけ

この種の被害を防ぐために、事業者が顧客に伝えるべきことはシンプルです。

「当社から電話でID・パスワードをお聞きすることは一切ありません」

これを契約時、請求書、マイページ、公式サイトのわかりやすい場所に繰り返し書いておく。それだけで、顧客が「おかしい」と気づける確率が大きく上がります。

中小企業でも、取引先や顧客に対して同じ宣言をしておく価値があります。「当社が電話で口座番号やパスワードを聞くことはありません」と明示しておけば、自社をかたる詐欺の成功率を下げられます。

そして従業員向けには、逆の訓練も必要です。「取引先を名乗る電話で、パスワードやシステムの情報を聞かれたら答えない」というルールを、具体的な想定問答つきで共有しておくことが有効です。

時系列で見る経過

• （時期不明）第三者が営業電話で顧客からログイン情報を聞き出す
• （時期不明）聞き出した情報で、本人になりすましてマイページへログイン
• 2026年10月不正ログインを検知し、調査を開始
• 2026年10月8日38,509件（契約単位）の不正ログインを公表。別経路の可能性も調査中と説明

中小企業が学ぶべきポイント

1. 「当社から電話でID・パスワードをお聞きすることはありません」と繰り返し明示する。
2. ソーシャルエンジニアリングは技術では防げない。周知と教育が唯一の対策。
3. 本人が正しく入力したログインは、システムからは正常に見える。検知は困難。
4. 従業員にも「電話でパスワードやシステム情報を聞かれても答えない」訓練をする。
5. 多要素認証があれば、パスワードを教えてしまってもログインを防げる可能性がある。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope