ムラウチドットコム771万件の情報漏えい、漏れた住所・電話番号・生年月日で何をされるのかまとめました

2026年9月15日、家電・パソコン通販「ムラウチドットコム」などを運営する株式会社ムラウチドットコムは、同社システムへの不正アクセスについて第二報を公表し、7,716,811件の個人情報が外部へ持ち出されたことを確認したとしています[1][5]。漏れたのは、氏名・住所・電話番号・メールアドレス・生年月日・性別の6つです。クレジットカード情報とパスワードは含まれていないとされていますが、それで安心とは言い切れません。

「自分の住所や電話番号で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた6つの情報が悪用されうる場面と、通販サイトの中で特に狙われやすくなった場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• パスワードは漏れていないとされる一方、名前や住所まで正しく入った偽メール・偽SMS・電話が届きやすくなります。
• 他のサービスと同じパスワードを使っている人は変えておくと安心です。パスワード再設定用の「質問」の答えが、名前や住所から推測できるものになっていないかも確かめておきましょう。
• 会社側がまず見直したいのは、パスワード再設定のしかたと、社内システムへのログインの守りです。

なお、本記事は公表文や公式サイトの案内など、公開情報だけをもとにしています。ログイン画面などを実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1][2]とFAQ[3]によると、概要は次のとおりです。

同社は9月15日から、対象となる利用者へ個別の通知メールを順次送っているとしています[1]。なお、どのサービスの利用者が対象なのか（通販サイトの本店か、ほかに運営するサービスか）は、公表文では明記されておらず確認できませんでした。同社は利用者に対し、同社やECモール、カード会社などを装ったメール・SMS・電話への注意を呼びかけています[2][3]。

漏れた6つの情報で、何ができてしまうか

パスワードとカード情報が漏れていないとされている点は、不幸中の幸いです。ただ、今回漏れた項目には共通点があります――いずれも「本人らしさ」を示すために、さまざまな場面で使われている情報だということです。

大事なのは、どれも「知っていれば本人らしく見える情報」だという点です。知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。

この通販サイトで認証が使われる場所

公式サイトの案内で確認できた範囲から、認証が関わる場所を並べました。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文の再発防止策には、システムへのアクセス権限と認証情報の管理方法の見直し、監視と不正アクセスの検知体制の強化、定期的な脆弱性診断が挙げられています[1]。一方で、利用者のログインやパスワード再設定の確認方法を変えるといった記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. パスワード再設定を「質問の答え」だけに頼らない。父親の名前や出身地のように、氏名・住所・生年月日から推測されうる質問で再設定まで進める形は、今回の漏えいで弱くなった可能性があります。質問の答えに加えて、本人がその端末や回線を持っているかの確認をもう一つ足すことが考えられます。
2. 社内システムと管理画面のログインを固める。今回はWebシステムの脆弱性を起点に、複数のシステムへ広がったとされています。公表文が挙げる「認証情報の管理方法の見直し」とあわせて、管理者がログインする場面にパスワード以外の確認を入れておくと、仮に一か所へ入られても、次のシステムへ移りにくくなります。
3. 価値が動く場面に、追加の確認を入れる。届け先の変更、登録情報の変更、高額な注文などです。毎回のログインを重くせず、狙われる場面だけを固めるという考え方です。

認証の観点から：「知っている」と「持っている」は違う

今回漏れた氏名・住所・生年月日は、秘密の質問や窓口の本人確認で「本人しか知らないはず」とされてきた種類の情報です。電話番号も同じで、700万件を超える規模で漏れた以上、「番号を知っていること」はもう本人の証明になりにくくなりました。

ここで分けて考えたいのは、「電話番号を知っていること」と「その電話番号の回線を実際に持っていること」は別物だという点です。前者は多くの第三者に知られてしまったかもしれません。一方で後者は、情報が漏れても変わりません。認証の土台を「知っているか」から「持っているか」へ移すことが、漏えいの後にこそ効いてくる対策です。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています[8]。端末の入れ替えやSIMの変更といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインや再設定の流れを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら