NEXCO東日本「ドラとら」に不正アクセス、登録情報が閲覧された可能性 メールアドレスとパスワードが対象

事案の概要データ

図解：この事故の構造

何が起きたのか

NEXCO東日本は2026年10月23日、高速道路情報サイト「ドラとら」（ドライブトラフィック）への不正アクセスにより、一部の利用者の登録情報が閲覧された可能性があると公表しました。

「ドラとら」は、リアルタイムの渋滞・規制情報を提供するサイトです。登録すると「マイルートメール」など、自分が使う区間の情報を受け取れます。

閲覧された可能性があるのは、「「ドラとら」に登録されている一部のお客さまのメールアドレス、パスワード、性別、都道府県及び生年」です。

件数、不正アクセスの時期、発覚のきっかけ、原因、侵入経路——いずれも公表文には書かれていません。 公表文は「第三者による不正アクセスを受け、一部のお客さまの登録情報が閲覧された可能性があることが判明いたしました」とのみ記しています。

同社は、対象者へ登録メールアドレス宛に個別にお詫びとお知らせを送るとしています。なお本記事の時点（2026年11月5日）で、ドラとらのサイトは「ただいまメンテナンス中です」と表示され、利用できない状態です。

「パスワード」が漏えい項目に入っていることの重さ

この公表文で最も重いのは、項目にパスワードが入っていることです。

そして同社は、その意味を正確に書いています。

「閲覧された可能性のあるメールアドレスとパスワードを用いて、第三者が他のサイト等へのログインを試みる可能性がありますので、他のサイト等で当社サイトと同様のメールアドレスとパスワードの組み合わせを設定されている場合は、パスワードを変更いただきますようお願い申し上げます」

これが「パスワードリスト攻撃」と呼ばれる手口です。どこか1つのサイトから盗んだメールアドレスとパスワードの組み合わせを、他の有名サイトで片っ端から試す。同じ組み合わせを使い回している人は、一発で入られます。

被害は、漏えい元とまったく関係ないところで起きます。「ドラとら」から漏れた組み合わせで、通販サイトやSNSや、場合によってはネットバンキングにログインされる。だから「大した情報じゃない」サイトの漏えいが、重大な被害につながります。

ここは中小企業の経営者にとって、自社の話でもあり、自分の話でもあります。

自社の話として： 自社のサイトで会員登録を受け付けているなら、パスワードをそのまま保存していないかを確認してください。本来は「ハッシュ化」という、元に戻せない形に変換して保存します。今回「パスワード」が閲覧された可能性のある項目として挙がっているということは、何らかの形で読める状態だった可能性があります（公表文に保存方式の記載はありません）。制作会社に「パスワードはハッシュ化して保存していますか」と聞いてください。

自分の話として： 同じパスワードを複数のサイトで使っていませんか。経営者のメールアカウントやクラウド会計のパスワードが、どこかのニュースサイトの登録と同じだったら、そこが突破口になります。

対策の優先順位は明確です。①お金と仕事に関わるサービス（銀行、会計、メール、クラウドストレージ）だけは、他と違うパスワードにする。②それらに多要素認証をかける。③パスワード管理ソフトを使う。

全部のサイトで違うパスワードを覚えるのは不可能です。だから守るものを絞る。①だけでも、被害の大きさはまったく変わります。

件数も時期も書かれていない公表文を、どう受け止めるか

この公表文は、書かれていないことが多いタイプです。件数、時期、発覚のきっかけ、原因、再発防止策。どれもありません。

本サイトでは最近、対照的な例をいくつか扱いました。佐川急便は5報にわたって経緯と件数と調査状況を書きました。アララは影響を3区分の表にして件数と注記を付けました。クラブツーリズムは検知時刻を分単位で書きました。

一方で、書かないことにも理由はありえます。 調査中で件数が確定していない。侵入経路を書くと他社が狙われる。対象者が特定できておらず、個別連絡を優先している。

ただ、この公表文には1つだけ、はっきり優れている点があります。 利用者が今すぐ取るべき行動が書かれていることです。

「他のサイト等で当社サイトと同様のメールアドレスとパスワードの組み合わせを設定されている場合は、パスワードを変更いただきますようお願い申し上げます」

件数が分からなくても、原因が分からなくても、「パスワードを変えてください」は言えます。 そして、利用者にとって最も価値があるのは、まさにこの一文です。

中小企業が事故の第一報を書くときに、これは使える考え方です。分かっていることが少なくても、「読んだ人が今日やるべきこと」は書ける。

パスワードの変更、カード明細の確認、不審な連絡への注意、問い合わせ先。この4つは、調査の進み具合に関係なく書けます。

逆に言えば、「調査中です」だけの公表文は、読む人にとって何の役にも立ちません。 読んだ人が本を閉じて何もできないなら、その公表は半分しか仕事をしていないことになります。

時系列で見る経過

• （時期の記載なし）「ドラとら」（ドライブトラフィック）が第三者による不正アクセスを受ける
• （時期の記載なし）一部の利用者の登録情報が閲覧された可能性があることが判明
• 2026年10月23日「【お詫びとお知らせ】「ドラとら」（ドライブトラフィック）への不正アクセスに伴う登録情報の閲覧の可能性に関するお詫びとお知らせ」を公表
• （公表後）登録情報を閲覧された可能性のある利用者へ、登録メールアドレス宛に個別にお詫びとお知らせを送付
• 2026年11月4日報道（ScanNetSecurity）が事案を取り上げる
• 2026年11月5日 本サイト確認ドラとらのトップページは「ただいまメンテナンス中です」と表示され、サービスを利用できない状態（公表文にメンテナンスと本件の関係の記載はない）

中小企業が学ぶべきポイント

1. 漏えい項目に「パスワード」が入ると、被害は漏えい元と無関係なサイトで起きる。
2. パスワードリスト攻撃は、盗んだ組み合わせを他の有名サイトで片っ端から試す手口。
3. 「大した情報じゃない」サイトの漏えいが、使い回しによって重大な被害につながる。
4. 自社サイトで会員登録を受けているなら、パスワードをハッシュ化して保存しているか制作会社に確認する。
5. 全サイトで違うパスワードは無理。銀行・会計・メール・クラウドストレージだけは必ず別にする。
6. それらに多要素認証をかける。できればパスワード管理ソフトを使う。
7. 件数も原因も分からなくても「読んだ人が今日やるべきこと」は書ける。
8. パスワード変更、カード明細の確認、不審な連絡への注意、問い合わせ先の4つは常に書ける。
9. 「調査中です」だけの公表文は、読む人にとって役に立たない。

出典・参考

• 【お詫びとお知らせ】「ドラとら」（ドライブトラフィック）への不正アクセスに伴う登録情報の閲覧の可能性に関するお詫びとお知らせ（NEXCO東日本・2026年10月23日）
• 高速道路情報サイト「ドラとら」に不正アクセス、登録情報が閲覧された可能性（ScanNetSecurity）