IIJmio 98万件の情報漏えい、漏れたメールアドレスで何をされるのかまとめました

2026年11月4日、株式会社インターネットイニシアティブ（IIJ）は、IIJmioのメール配信に利用していたアララ株式会社のメール配信サービスが第三者の不正アクセスを受け、契約者のメールアドレス983,458件（解約済みを含む）が外部に漏えいしたと公表しました[1]。クレジットカード情報はアララ社に連携していないため対象外としていますが、それで安心とは言い切れません。

「自分のメールアドレスで、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れたメールアドレスが悪用されうる場面と、IIJmioで認証が使われる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• IIJmioの会員専用ページは、登録メールアドレスとパスワードでもログインできます。漏れたメールアドレスは、ログインの「片方の鍵」にあたります。
• 二段階認証をまだ設定していない人は、設定しておくと安心です。届いたメールのリンクからは、ログインもパスワード再設定もしないようにしましょう。
• 会社側がまず見直したいのは、eSIMの再発行のように「電話番号が別の端末に移る手続き」の確認方法です。

なお、本記事は公表文や公式のヘルプページなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2][3]によると、概要は次のとおりです。

IIJは、アララ社のサービスが第三者に不正利用され、10月28日から30日にかけて「news@arara.com」から「利用内容確認のご依頼」などの件名の不審なメールが送られたとアララ社が公表していることも紹介しています[2]。

漏れたメールアドレスで、何ができてしまうか

漏れたのはメールアドレスだけ、と受け止めた人も多いかもしれません。ただIIJmioの場合、そのアドレスは「IIJmioの契約者である」という情報とひも付いています。

大事なのは、IIJmioが「電話番号そのもの」を提供するサービスだという点です。会員専用ページの奥には、SIMやeSIMの手続きがあります。

IIJmioで認証が使われる場所

公開情報で確認できた範囲で、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、アララ社と連携した影響範囲の確認と、不審なメールへの注意の呼びかけが挙げられています[1][2][3]。ログインや再発行の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 電話番号が動く手続きに、メール以外の確認を足す。eSIMの再発行やMNP転出は、成功すれば番号そのものが別の端末や事業者に移ります。ログインとメールの両方が奪われた場合を前提に、ここだけは別の手段でも確かめる考え方です。
2. 既存の利用者の二段階認証を広げる。6月10日以降に作られたmioIDは初期設定で有効ですが、既存のmioIDは任意です[4]。今回の対象には解約済みを含む古い契約者も入っており、二段階認証が未設定の層と重なる可能性があります。
3. 確認の届け先を一か所に集めない。ログインの二段階目、変更の申し込み、パスワード再設定が、いずれも登録メールに届く形です[4][6][9]。そのメールアドレスが漏れた今、どこか一つは別の経路で確かめられると、メールを奪われた人も守りやすくなります。

認証の観点から：「番号を知っている」と「その電話を持っている」は違う

今回漏れたのはメールアドレスです。しかし狙われうるのは、その先にある電話番号の手続きだと考えられます。ここで分けて考えたいのは、「電話番号やアドレスを知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。

メールで届く認証コードは、メールアカウントを持っているかを確かめる方式です。メールが乗っ取られれば、コードも一緒に渡ってしまいます。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[11]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。携帯の回線を提供する会社にとって、SIMの変更や乗り換えは自社の手続きそのものです。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら