日本経済新聞社 約183万件の情報漏えい、漏れた氏名・メールアドレス・電話番号で何をされるのかまとめました

2026年10月16日、株式会社日本経済新聞社は、システム開発に使っているクラウドサービスが不正アクセスを受け、約183万件の個人情報が漏えいしたと公表しました[1]。このうち、氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件で、メールアドレスを含むものは約12万件としています。残りの約168万件は、単体では個人を特定できない識別子のみとのことです。クレジットカード情報は含まれていないとしています。

カード情報が含まれていない点は、不幸中の幸いです。ただ、それで安心とは言い切れません。日経のサービスでは、メールアドレスがそのままログインIDとして使われているからです[2]。

「自分のメールアドレスや電話番号で、これから何をされるのか」。「会社として、どこから手を打てばよいのか」。この記事では、その2つに答えるために、漏れた情報が悪用されうる場面と、日経IDで認証が使われる場所を、公開情報から整理しました。事故の経緯は多くの報道が扱っているため、短くとどめます。

この記事の要点

• 日経を名乗る、本物らしいメールやSMSが届くおそれがあります。漏えいが確認された人には、同社から個別に知らせるとしています[1]。
• 日経IDのパスワードを他のサービスと同じにしている人は、変えておくと安心です。2要素認証やパスキーも用意されています[2]。
• 会社側がまず見直したいのは、今回の入口になった、社内からクラウドサービスへのログインの守り方です。

なお、本記事は公表文や公式のヘルプなど、公開情報だけをもとにしています。ログイン画面を実際に試すような調査はしていません。確認できなかった点は「確認できず」と書いています。

何が起きたか（要約）

公表文[1]によると、概要は次のとおりです。

同社は、侵害を受けた範囲と漏えいした情報を精査しているとしています[1]。件数や対象は、今後の続報で変わる可能性があります。

漏れた情報で、何ができてしまうか

漏れた約15万件は、5つの項目の「いずれか」を含むものです。全員の全項目がそろって漏れたわけではありません。そのうえで、組み合わせによって次のような使い道が考えられます。

識別子のみの約168万件は、単体では個人を特定できないとされています[1]。ほかの情報と結びつくかどうかは、公表文からはわかりませんでした。

大事なのは、どれも「知っていれば本人らしく見える情報」だという点です。知っていることだけで本人と見なす仕組みは、その情報が漏れた時点で弱くなります。

日経IDで認証が使われる場所

公表文は対象のサービスを示していません。ここでは、日本経済新聞 電子版をはじめ日経グループの多くのサービスで共通に使われる「日経ID」[2]について、公式ヘルプで確認できた範囲で並べました。あわせて、今回の入口になった会社側のログインも載せています。

※「狙われやすさ」は、公開情報をもとにした当社の見立てです。実際のしくみを確かめたものではありません。

会社がまず見直すとよい所（優先順）

公表文では、被害状況の把握と原因究明を急ぎ、必要なセキュリティー強化策を講じるとしています[1]。一方で、クラウドへのログインや、利用者のログイン・再設定の確認方法を変えるといった具体的な記載はありませんでした。認証の観点からは、次の順で見直すことが考えられます。

1. 社内からクラウドサービスへのログインを、「盗まれても使えない」形に近づける。今回は認証情報が盗まれたことが入口でした。IDとパスワードや鍵だけで入れる経路が残っていないかを洗い出し、持ち物での確認を足すことが考えられます。
2. パスワードの再設定と登録情報の変更に、メール以外の確認をもう一つ足す。メールアドレスがIDを兼ねるため、メールだけで完結する手続きは、偽メールやメールの乗っ取りに弱くなります。
3. 利用者に、本物の連絡の見分け方を先に伝える。個別の通知がどの手段で、どんな文面で届くのかを示しておくと、便乗した偽の連絡と区別しやすくなります。

認証の観点から：「知っている」と「持っている」は違う

今回の事故は、二つの「知っている」が重なっています。一つは、クラウドに入るための認証情報を攻撃者が知ってしまったこと。もう一つは、ログインIDであるメールアドレスや電話番号を、多くの第三者が知りうる状態になったことです。

知られた情報は、取り消せません。一方で、「その端末や電話回線を実際に持っていること」は、情報が漏れても変わりません。本人かどうかを確かめる場面ほど、「知っているか」から「持っているか」へ土台を移すことが効いてきます。

SMSで届くワンタイムパスワードも、「持っているか」を確かめる方式の一つです。ただし米国NISTのガイドラインは、SMSなど電話網を使う確認方法を『制限付き（restricted）』の手段と位置づけています[3]。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

当社Infront Securityの電話番号認証は、利用者がワンタップで指定の番号に発信し、その発信者番号と端末の情報をサーバー側で照合して本人を確かめます。電話番号を知っていても、その回線から発信できなければ認証は通りません。偽サイトは利用者の電話回線を持っていないため、フィッシングに耐性のある方式です。

今のログインを壊さずに「持っているか」の確認を足す方法については、お気軽にご相談ください。

お問い合わせはこちら