D7/100
情報漏えい · 高
宝くじ公式サイトで不正ログイン 会員の当せん情報なども閲覧された可能性
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 宝くじ公式サイトの一部会員アカウント
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
悪用確認済み · 完全な乗っ取り · シークレットの流出
要点
- 宝くじの発売元である都道府県と指定都市が2026年11月11日、公式サイトで一部利用者のアカウントへの不正ログインを確認したと発表した
- 第三者に氏名、住所、購入・当せん情報などを閲覧された可能性があるという
- 不正な購入や当せん金の受け取りは確認されていない。サイトと公式アプリは停止中で、再開時期は示されていない
なぜ重要か
会員向けサービスへの不正ログインは、外部で流出した認証情報を使う手口が疑われており、アカウントを扱う開発者にとってログイン防御と異常検知の重要性を示す事例となる。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中3項目が「はい」
| いいえ | 開発者に影響 | 一般向けの宝くじ購入サイトであり、開発者や運用チームが使う基盤ソフトウェアではない |
| いいえ | 基幹インフラ | 影響は宝くじ公式サイトの会員アカウントに限られ、ほぼ全チームが運用するソフトウェアではない |
| いいえ | 人気ツール | 広く使われる開発技術やフレームワークではなく、特定の公営事業のサイトである |
| はい | 悪用確認済み | ITmedia NEWS: 都道府県と指定都市は11月11日、第三者による不正ログインを確認したと発表 |
| いいえ | 公開エクスプロイト | CNET、ITmedia NEWSとも攻撃手法の詳細や公開されたエクスプロイトには言及していない |
| いいえ | 認証不要のリモート攻撃 | ITmedia NEWS: リスト型攻撃とされ、認証情報を用いたログインが前提と読める。無認証での悪用は示されていない |
| はい | 完全な乗っ取り | CNET: 一部利用者のアカウントへの不正ログインを確認。アカウントを第三者が乗っ取った状態である |
| はい | シークレットの流出 | CNET: 氏名、住所、購入・当せん情報などを第三者に閲覧された可能性があると発表 |
| いいえ | サプライチェーン | 正規パッケージや公式アップデートへの悪意あるコード混入は報じられていない |
| いいえ | 修正なし | CNET: サイトと公式アプリは停止中だが、脆弱性の修正状況や未修正の説明は報じられていない |
タイムライン
都道府県と指定都市が不正ログインの確認と閲覧の可能性を発表
ITmedia NEWS セキュリティ 最新記事一覧
宝くじ公式サイト、会員の当落情報まで第三者が閲覧の可能性 リスト型攻撃か
feed.japan.cnet.com
宝くじ公式サイト、「当選金の受取口座名義」も不正に閲覧された可能性
すべての報道 · ソース2件
- 2時間前 ↗
feed.japan.cnet.com
宝くじ公式サイト、「当選金の受取口座名義」も不正に閲覧された可能性 - 2時間前 ↗
ITmedia NEWS セキュリティ 最新記事一覧
宝くじ公式サイト、会員の当落情報まで第三者が閲覧の可能性 リスト型攻撃か