全国都道府県および全指定都市は、宝くじ公式サイトで第三者による不正ログインを確認したと発表した。
会員の個人情報や宝くじの当落情報が閲覧された可能性があり、公式サイトとアプリの利用を一時停止している。
宝くじの当落情報や当せん金受取口座が閲覧された可能性
2026年11月11日、全国都道府県および全指定都市は、宝くじ公式サイトにおける不正ログインの調査状況を公表した。
今回の問題は、利用者のパスワードが意図せず変更される事象が確認されたことに端を発する。調査の結果、一部の会員アカウントに第三者が不正ログインし、会員情報を閲覧した可能性が判明した。
閲覧された可能性がある情報には、氏名、生年月日、性別、住所、電話番号、メールアドレスが含まれる。
さらに、当せん金受取口座の金融機関名や口座番号の上4桁、口座名義、クレジットカード番号の下4桁に加え、購入したくじの種類や金額、当落情報、登録済みのプロフィール画像も対象となる。
一方、11月11日時点では、不正ログインに伴う宝くじの購入や、口座情報の変更などによる当せん金の受け取りは確認されていない。
また、サーバーやデータベースへの侵入の形跡はなく、会員データの流出も確認されていない。
攻撃手法については、外部で入手した認証情報を悪用する「リスト型攻撃（※）」の可能性があるという。対象となる会員には今後、個別にメールが届く予定だ。
運営側は、同じ認証情報を使用している他社サービスのパスワード変更を呼びかけるとともに、不審なメールやサイトへの注意を促している。
また、公式サイトの早期再開に向けた対応を進めているとのことだが、具体的な再開時期は明らかにされていない。
なお、全国の宝くじ売場は通常どおり営業しているという。
※リスト型攻撃：外部で入手したメールアドレスやパスワードの組み合わせを用いて、別のサービスへの不正ログインを試みる攻撃手法。複数のサービスで同じ認証情報を使い回している場合、被害が連鎖する危険性がある。
当落情報の悪用による二次被害を懸念 認証強化が課題に
今回の事案で懸念されるのは、一般的な個人情報にとどまらず、宝くじの購入履歴や当落情報まで第三者に把握された可能性がある点だ。
仮に当せん情報と連絡先が悪意のある第三者に渡れば、当せん金の受取手続きを装った詐欺などに悪用される恐れがある。
実際の購入履歴に基づく連絡は、利用者に正規の案内だと誤認させる要因にもなりうる。
公式サイトとアプリの一時停止は、新たな不正ログインを防ぐうえで有効な措置と考えられる。
しかし、停止が長期化すれば、オンライン販売の機会損失や利用者の利便性低下につながる可能性も否定できない。
再開に向けては、多要素認証の強化や不審なログインの検知、パスワード変更時の本人確認の厳格化などが重要になるだろう。
こうした対策は利用者の操作負担を増やす一方、不正アクセスの抑止やサービスへの信頼回復に寄与すると考えられる。
利用者側も認証情報の管理を見直す必要がありそうだ。
オンラインで金銭や機密性の高い情報を扱うサービスでは、運営側の防御だけでなく、利用者を含めた多層的なセキュリティ対策が一層重要になるだろう。
宝くじ公式サイト 宝くじ公式サイトおよび公式アプリの一時停止について
関連記事：
無印良品がネットストア再開延期 リスト型攻撃と情報流出懸念が拡大
不正アクセスによる個人情報流出 消費者庁、パスキー・多要素認証の活用呼びかけ
カプコン「CAPCOM ID」に不正アクセス 約1177万件の情報漏えい、196件でパスワード不正変更
