Signal
📡 Signal｜日本郵政のゆう ID、不正ログイン249件で二段階認証を必須化へ
日本郵政のゆう ID で、外部で漏れたパスワードを使った不正ログインが 249 件。自社からの漏えいはないが、郵便と保険につながる ID の入口が開き、二段階認証の必須化へ進む。
日本郵政は 10 月 19 日、グループ共通の会員 ID「ゆう ID」で、第三者による不正ログインが 249 件あったと公表した。外部で漏れた ID とパスワードの組み合わせを使ったなりすましで、ログインされた会員の氏名・住所・生年月日・電話番号などが閲覧された可能性がある。同社はパスワードの再設定とパスキーの設定を案内し、二段階認証を必須にする。
日本郵政のシステムから情報が漏れたことは確認されていない。それでも、よそで漏れたパスワードの使い回しが、郵便・保険の手続きまでつながる ID の入口を開けた。事業者が、使い回しをやめるよう求めるお願いから、認証の必須化へ踏み込んだ事例だ。
15 日に検知、16 日にサイト停止
公表資料によると、経緯は次の通りだ。
- 10 月 15 日: 「ゆうゆうポイント」の公式サイトで不審なアクセスを検知
- 調査の結果: 第三者が一部のゆう ID になりすまし、ポイントサイトにログインして利用していたことが判明
- 10 月 16 日: ゆうゆうポイントのサイトを停止
- 10 月 19 日: 不正ログインの可能性があるアカウントを 249 件と確定し公表
閲覧された可能性がある情報は、氏名・住所・生年月日・性別・電話番号・メールアドレスに加え、登録している人については勤め先・家族の状況・住所録まで含む。249 件のうち 1 件のアカウントは、住所録に 83 件の住所を登録しており、これも取得された可能性がある。本人だけでなく、その人の住所録に載った第三者の情報まで広がる形だ。
「当社からの漏えいではない」が意味すること
日本郵政は、今回の ID が 9 月 29 日に公表した郵便局アプリへの不正アクセスで取られたものとは重ならず、自社システムからの漏えいは確認されていないとしている。攻撃に使われたのは、別のサービスから漏れた ID とパスワードの一覧で、これを片端から試す手口はリスト型攻撃と呼ばれる。
利用者が複数のサービスで同じパスワードを使っているかぎり、事業者が自社のシステムを守り切っても入口は開く。だからこそ対策は、利用者へのお願いではなく、ログインの仕組みそのものを変える方向に向かう。パスワードが漏れていても、手元の端末での確認がなければ入れない二段階認証やパスキーは、この手口に対する直接の答えになる。
ゆう ID は郵便と保険の共通の入口
ゆう ID は、日本郵便の Web 集荷や配達依頼などで使う ID で、かんぽ生命も 2026 年 3 月 23 日から、マイページのログインをゆう ID に切り替えた。今回の不正ログインはポイントサイト経由だったが、同じ ID が保険の契約情報の画面にもつながっている。
グループの ID を一本にまとめるほど利用者の手間は減る一方、1 つの ID が破られたときに届く範囲は広がる。二段階認証の必須化は、その広がりに見合う鍵へ付け替える作業でもある。
次に見るもの
確認先は日本郵政のお知らせのページで、二段階認証の必須化をいつから・どのサービスで始めるかの告知が出る。あわせて、停止しているゆうゆうポイントのサイトの再開時期と、新たに公表すべき事実が判明した場合の続報を見る。利用者の側でできる確認は、ゆう ID と同じパスワードを他のサービスで使っていないかだ。
ことば
- リスト型攻撃 — 別のサービスから漏れた ID とパスワードの組み合わせを、他のサイトで次々に試す不正ログインの手口。利用者がパスワードを使い回していると、攻撃を受けたサイト自身に落ち度がなくても入られてしまう。
- パスキー — パスワードの代わりに、スマートフォンやパソコンの指紋・顔認証などで本人確認をするログインの仕組み。サイトごとに別の鍵がつくられ、使い回しや偽サイトでの入力が起きにくい。
🔗 一次ソース