DCM「マイボ」419人分の情報漏えい、漏れたメールアドレス・会員番号・ポイント情報で何をされるのかまとめました

2026年10月13日、DCMホールディングス株式会社は、子会社の株式会社マイボフェローズが運営する会員サービス「マイボ」で、会員情報を管理するシステムが不正アクセスを受け、一部の会員情報が漏えいしたと公表しました[1]。対象は419人分で、漏れたのは会員番号・メールアドレス・会員ステータス・会員ステージ・保有ポイント数・失効予定ポイント数と失効予定日としています。氏名・住所・電話番号・生年月日・パスワード・クレジットカード情報は含まれていないとのことです。

パスワードやカード情報が含まれていない点は、不幸中の幸いです。ただ、それで安心とは言い切れません。マイボのポイントは1ポイント＝1円として加盟店の買い物に使えます[5]。そして今回は「いくら持っていて、いつ失効するか」まで漏れているからです。

「自分のメールアドレスとポイントの情報で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、マイボで認証が使われる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 「ポイントがまもなく失効します」といった、マイボを名乗る本物らしいメールやSMSに注意が要ります。同社も、ポイントの失効などを理由にパスワードやカード番号を尋ねることはないとしています[1]。
• マイボのパスワードを他のサービスと同じにしている人は、変えておくと安心です。
• 会社側がまず見直したいのは、メールアドレスや電話番号とパスワードだけで入れるログインと、パスワードの再設定の確認方法です。

なお、本記事は公表文や公式サイトなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]と、その後のお知らせ[2]によると、概要は次のとおりです。

「ＤＣＭアプリ」には被害は確認されていないとしています[1]。同社は調査を続けており、件数などは今後の続報で変わる可能性があります。

漏れた情報で、何ができてしまうか

今回漏れた項目は、一つひとつは小さな情報に見えます。ただ、組み合わせると次のような使い道が考えられます。

電話番号は漏れていないとされていますが、送り主を偽ったSMSが、本物と同じ画面（スレッド）に並んで表示される手口も知られています[7]。メールだけでなくSMSにも気をつけたいところです。

大事なのは、今回漏れた情報が「本物の会員らしく見せる材料」だという点です。ポイントは1ポイント＝1円で使えるため[5]、狙う側にとってはお金に近い価値があります。

マイボで認証が使われる場所

マイボの会員は、マイボサイトとＤＣＭアプリでログインします[3][4]。公式サイトで確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、アクセス制御の強化などの再発防止策を講じているとしています[1]。一方で、会員のログインやパスワード再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. ポイントを使う場面と、メールアドレスなどの登録情報を変える場面に、「持っているか」の確認を足す。お金に近いポイントが動く所ほど、知っている情報だけで通れる形を減らすことが考えられます。
2. パスワードの再設定に、メール以外の確認をもう一つ足す。いまの受付はメールアドレスか電話番号と生年月日が入口です。メールのアカウントが乗っ取られた時にも守れる形が考えられます。
3. 利用者に、本物の連絡の見分け方を先に伝える。失効の案内がどの手段で、どんな文面で届くのかを示しておくと、本人の数字を入れた偽の連絡と区別しやすくなります。

認証の観点から：「知っている」と「持っている」は違う

今回漏れたのは、会員であることを「知っている」ための情報です。メールアドレス、会員番号、ポイントの残高。どれも、知っていれば本物の会員や本物の運営者らしく振る舞えます。

知られた情報は、取り消せません。一方で、「その端末や電話回線を実際に持っていること」は、情報が漏れても変わりません。ポイントを使う、登録情報を変えるといった場面ほど、「知っているか」から「持っているか」へ土台を移すことが効いてきます。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[6]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら