ハイホーのマイページ 38,509件の情報漏えいの可能性、漏れた氏名・住所・電話番号・契約情報で何をされるのかまとめました

2026年10月8日、株式会社ハイホーは、同社が提供する光回線やインターネット接続サービスのお客様専用サイト（マイページ）で、第三者がお客様になりすましてログインし、お客様情報を閲覧した、または閲覧した可能性があると公表しました[1]。不正ログインは38,509件（契約単位）で、氏名、住所、電話番号、メールアドレス、契約情報、請求情報などが見られた可能性があるとしています。クレジットカード情報・口座情報はマイページで扱っていないため対象外とし、システムへの侵入や脆弱性の悪用も確認されていないとしていますが、それで安心とは言い切れません。

「契約の中身まで見られて、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、見られた情報が悪用されうる場面と、このサービスで認証が使われる場所を、公開情報から整理しました。事故の経緯は報道が扱っているため、短くとどめます。

この記事の要点

• 今回は、システムが破られたのではなく、電話で聞き出された情報でそのまま「本人として」ログインされた事故です。見られた情報には、乗り換えの手続きに使う情報が含まれていた可能性があります。
• ハイホーを名乗る電話や、「倒産する」「自動で切り替わる」といった説明を受けたら、その場で答えずに電話を切り、パスワードの変更と登録メールアドレスの確認をしましょう。
• 会社側がまず見直したいのは、「知っていること」で本人と見なす入口が、ログイン以外にも残っていないかです。

なお、本記事は公表文と公式サイトなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

公表文は「電話番号・郵便番号・生年月日によるログイン方式を廃止」したとしています[1]。つまり事故の時点では、この3つを答えられればマイページに入れる入り方があったことになります。

漏れた情報で、何ができてしまうか

今回の第三者は、データをまとめて盗み出したのではなく、1件ずつ「本人として」ログインしています。そのため、見られた情報の使い道は、一覧の流出とは少し違う形で考える必要があります。

同社は、「ハイホーが倒産する」「自動的に他社へ切り替わる」「手続きのためログイン情報を教えてほしい」といった説明を受けたら、その場で答えず電話を切るよう呼びかけています[1]。あわせて、パスワードの変更と、登録メールアドレスが身に覚えのない物に変えられていないかの確認を勧めています。

乗り換えを勧める第三者が、乗り換えに使う番号を見られる画面に入っていた。この組み合わせが、今回の事故の一番の怖さだというのが当社の見立てです。

このサービスで認証が使われる場所

公式のログイン画面とサポートページで確認できた範囲で並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文には、電話番号・郵便番号・生年月日によるログイン方式を廃止し、「より安全性の高い認証方式への移行を進めて」いるという認証の記載があります[1]。どの方式に移すかは書かれていません。認証の観点からは、次の順で見直すことが考えられます。

1. マイページのログインを、「聞き出せる情報」だけで通さない形にする。IDとパスワードも、電話で聞き出されれば今回と同じことが起きます。本人が持っている物で確かめる段を足すことが、今回の手口に直接効く対策です。
2. 解約、支払い方法の変更、登録メールアドレスの変更、事業者変更承諾番号の表示など、契約に手を出せる操作の前に、もう一度本人を確かめる。ログインが通っても、大事な操作の前で止まれば被害は小さくできます。
3. ID・パスワードが分からない時の窓口と、サポートページの古い案内をそろえる。窓口が「知っている情報」で本人と見なす運用のままだと、ログインを固めても裏口が残ります。

認証の観点から：「答えられる」と「その電話を持っている」は違う

今回の第三者は、パスワードを破ったわけではありません。本人から聞き出した情報を、本人と同じように入力しただけです。電話番号・郵便番号・生年月日も、IDとパスワードも、「知っていること」で本人を確かめる方式は、相手に話してしまえばそこで終わります。

ここで分けて考えたいのは、「答えられること」と「その電話回線を実際に持っていること」は別物だという点です。前者は、電話一本で第三者に移る可能性があります。後者は、どれだけ話を聞き出されても、相手の手元には移りません。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただ、送り主を偽ったSMSが、本物と同じ画面（スレッド）に並んで表示される手口も知られています[4]。届いたコードを電話口で読み上げさせれば、今回と同じ形で聞き出せてしまう点にも注意が要ります。また米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[5]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

マイページのログインや、解約・登録情報の変更の前に「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら