日本郵政の「ゆうID」に不正ログイン、249件の氏名や住所が見られたおそれ ほかで漏れたパスワードを使われる 2段階認証を必須に

日本郵政は2026年10月19日、郵便局のサービスで共通に使う「ゆうID」で、第三者による不正なログインがあったと発表した。ほかで漏れたIDとパスワードの組み合わせを使って会員になりすまし、ポイントの「ゆうゆうポイント」のサイトにログインしていたという。249件のアカウントで、氏名や住所などが見られたおそれがある。

何が起きたのか

日本郵政によると、10月15日(木)、ゆうゆうポイントのサイトで不審なアクセスを見つけた。調べたところ、第三者が一部のゆうIDのアカウントになりすまし、サイトにログインして使っていたことが分かった。日本郵政は、お客さまを守るため、10月16日(金)の10時20分ごろからゆうゆうポイントのサイトを止めている。

手口は、外部で漏れたIDとパスワードの一覧を使ったなりすましだった。どこかのサービスで漏れたIDとパスワードの組み合わせを、ほかのサービスのログインで次々に試すやり方で、「パスワードリスト攻撃」とも呼ばれる。ほかのサービスと同じパスワードを使っている人ほど狙われやすい。

日本郵政は、9月29日に発表した郵便局アプリへの不正アクセスで取られたゆうIDとは重なっていないとしている。また、今のところ、同社のシステムから情報が漏れたことは確かめられていないという。

見られたおそれのある情報

ゆうIDの住所録は、荷物の送り先などの住所を登録しておける機能だ。自分がゆうIDを使っていなくても、知り合いの住所録に載っていれば、その住所が見られることもありうる(TECHNOVAの見方)。

対象の人には、電話などで順に連絡しているという。

日本郵政の対応

• 済んだこと: 不審なIPアドレスからのアクセスを遮断し、今も見張りを続けている。対応を終えてから、新しい不正なアクセスは確かめられていない
• 利用者への案内: パスワードや登録したメールアドレスの再設定、パスキーの設定のお願いと、2段階認証を必須にする案内を、メールで順に送る

ITmediaによると、日本郵政は10月20日から、ゆうIDへのログインに2段階認証を必須にする。2段階認証は、パスワードに加えて、もう一つの確認を求める仕組みだ。パスワードが漏れても、それだけではログインできなくなる。パスキーは、パスワードの代わりに、スマホの顔や指紋の認証などでログインする仕組みだ。

ゆうゆうポイントのサイトが止まっている間

10月16日の日本郵政の案内によると、サイトが止まっている間は次のことができない。

• ゆうゆうポイントのサイトを使うこと、ポイントの残高や履歴を見ること
• 郵便局のネットショップでポイントを使うこと(買い物でポイントはたまるが、つくまで時間がかかることがある)
• かんぽアプリやアンケートの回答でポイントを受け取ること、郵便局でQRコードを読み込んで来局のポイントを受け取ること

サイトの再開は、ゆうIDマイページで知らせるとしている。

今からできること

• パスワードを変える: 日本郵政は、ほかのサービスと同じパスワードを使っている場合は、別のパスワードに変えることを考えてほしいとしている。案内のメールが届いたら、早めに決め直したい
• 不審なメールやSMSに注意する: 日本郵政やグループの会社を装って、偽のサイトに誘う連絡が届くおそれがある。日本郵政とグループの会社は、電話やメールでパスワードやクレジットカードの番号を聞くことはないという。身に覚えのないメールやSMSのURLや添付のファイルは開かない
• 問い合わせ: 日本郵便のお客様サービス相談センター(0120-23-28-86、平日9時〜18時)で受け付けている

ほかのサービスでも、同じ手口の不正なログインの発表が続いている(関連記事: 「FFXIV」のスクエニ、ほかで漏れたパスワードでの不正ログインに注意喚起)。

かんたんに言うと

ほかのサービスで漏れたIDとパスワードを使って、日本郵政の「ゆうID」に不正にログインされ、249件のアカウントで名前や住所などが見られたおそれがある。日本郵政は、2段階認証を必須にする。ゆうIDでほかと同じパスワードを使っている人は、すぐに変えたい。

まとめ

日本郵政は、ほかで漏れたIDとパスワードを使った「ゆうID」への不正なログインで、249件のアカウントの氏名や住所などが見られたおそれがあると発表した。ゆうゆうポイントのサイトを止め、パスワードの再設定や2段階認証の必須化を案内している。パスワードの使い回しをやめ、2段階認証やパスキーを使うことが、自分の情報を守る近道になる。