ゆうID 不正ログイン｜外部で取得されたパスワードで249件、2段階認証の必須化と利用者・開発者がやること

セキュリティの柱となる記事はサプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説です。本記事は、ゆうIDの利用者がこの件で何をするかと、ログインを持つ側が同じ形の攻撃をどう見つけるかに絞ります。

ゆうID 不正ログインの時系列（公表の範囲）

日付と出来事は、日本郵政と日本郵便の発表の文言に沿って並べています。

10月16日の停止のお知らせでは、サイトの復旧はゆうIDのマイページで知らせるとしていました。再開の時期やポイントの扱いは、ゆうゆうポイントサイトとマイページのお知らせで確かめてください。

何が起きたか：外部で取得されたID・パスワードでゆうIDになりすました

発表の文言は「第三者が外部で不正に取得したID・パスワードを利用して」ログインした、です。どこで取得されたか（他のサービスからの漏えいか、偽サイトでの入力か）は書かれていません。他所で手に入れたID・パスワードの組を別のサービスで試す攻撃は、一般にパスワードリスト攻撃（リスト型攻撃）と呼ばれます。日本郵便がお知らせで「他のサービスと同一のパスワード」の変更を求めているのは、この形に備えるためです。

閲覧された可能性のある会員情報

ゆうIDの会員情報のうち、登録されていたものが閲覧された可能性があります。

住所録に入っているのは、本人が荷物や郵便を送る相手、つまり家族や知人の住所です。ログインされたのが1つのアカウントでも、見られうるのは本人以外の住所まで広がります。

発表から言えること、言えないこと

9月の郵便局アプリの件とは別の事案

「日本郵便 不正アクセス」「日本郵便 情報漏洩」で調べると、9月29日公表の郵便局アプリの件も出てきます。こちらは郵便局アプリへの外部からの不正アクセスで、ゆうIDの会員情報、住所録に登録された連絡先、送り状の追跡番号・品名・配達予定などが不正に取得されました。侵入の経路と手法は公表されていません。日本郵政はそこで取得されたゆうIDと今回の249件は重複していないとしています。

ゆうIDの利用者がやること：パスワード変更・2段階認証・パスキー

パスワードを他のサービスと分ける

日本郵便は他のサービスと同じパスワードを設定している場合に、異なるパスワードへの変更を検討するよう求めています。外部で取得されたパスワードが使われた件なので、ゆうIDだけを変えても、同じパスワードを使っている他のサービスは同じ形で狙われえます。使い回しているサービスがあれば、そちらも変えてください。パスワードマネージャーを使えば、サービスごとに別のパスワードを持てます。

2段階認証（10月20日から必須）とパスキー

10月20日から、ゆうIDへのログイン時に2段階認証が必須になりました。ゆうIDのよくある質問では、次の方式が案内されています。

・認証アプリ（設定画面のQRコードかセットアップキーで登録し、アプリに表示される6桁のコードを入力）
・SMS またはメールで届く6桁の認証コード
・設定時に表示されるリカバリーコード（端末や電話番号が使えなくなったときのログイン用。安全な場所に保管）

必須化で、これまで設定していなかった人に何が求められるかは、ログイン画面と公式の案内に従ってください。日本郵便はパスキーの設定も勧めています。

SMS やアプリのコードが偽サイトで中継される仕組みと、パスキーがそれを止める理由はパスキーと多要素認証｜SMSやTOTPでも中継されるフィッシングの穴と、WebAuthnが塞ぐ理由を実測で扱っています。

日本郵便を装うメール・SMS に気をつける

日本郵便は日本郵便や日本郵政グループ各社を装って偽サイトへ誘導し、個人情報を入力させようとするメールやSMSが送られる可能性があるとしています。日本郵便と日本郵政グループ各社は、電話やメール等でパスワードやクレジットカード番号を尋ねません。届いたメッセージのURLや添付ファイルは開かず、ゆうIDのマイページは自分でブックマークした公式のページから開いてください。

パスワードリスト攻撃の不正ログイン対策：ログインを持つ事業者がやること

ここからはログイン機能を持つサービス一般の対策です。日本郵政がこの件で何を入れていたか、入れていなかったかの説明ではありません。

リスト型攻撃は、成功するログインが正しいID・パスワードの組で行われるため、1件ずつ見ると正規のログインと区別できません。見分ける手がかりは、1つの接続元が多数のアカウントに試すこと、成功率が低いこと、普段と違う時間帯や地域から来ることです。照合と検知の実装は連載第10回リスト型攻撃の対策｜他社で漏れたパスワードで自社が破られる仕組みと、パスワード漏洩確認の実装・ログでの検知、回数で止める設計は第9回APIレート制限の設計｜正しい認証のまま会員情報を大量に引かれるAPIを、鍵・重さ・業務の流れで止めるで詳しく書いています。

自システムの確認コマンド：認証ログに試行の山が無いか

自社のログイン機能を持つ側の確認です。ゆうIDの件を調べるものではありません。どれも読み取りだけです。

認証ログは1行に「時刻 接続元IP アカウント 結果（OK か FAIL）」を空白で区切って出す形を想定しています。列の位置が違えば $2・$3・$4 を自分の形式に合わせます。しきい値の 20（1つのIPが試したアカウントの数）は、自社の通常のログインの量を見て決めてください。

1. 1つの接続元が多数のアカウントに試していないか

awk '$4=="OK" || $4=="FAIL" {
  tries[$2]++
  if (!seen[$2 " " $3]++) accounts[$2]++
  if ($4=="OK") ok[$2]++
}
END {
  for (ip in tries)
    if (accounts[ip] >= 20)
      printf "%s\taccounts=%d\ttries=%d\tsuccess=%.1f%%\n", ip, accounts[ip], tries[ip], 100*ok[ip]/tries[ip]
}' auth.log

20以上のアカウントに試した接続元を、試したアカウント数・試行回数・成功率とともに出します。成功率が低く、アカウント数が多い行がリスト型攻撃の形です。

2. その接続元からログインに成功したアカウント

awk 'NR==FNR { if (!seen[$2 " " $3]++) accounts[$2]++; next }
     accounts[$2] >= 20 && $4=="OK" { print $1, $2, $3 }' auth.log auth.log

同じファイルを2回読み、1回目で接続元ごとのアカウント数を数え、2回目でしきい値を超えた接続元からの成功だけを出します。ここに出たアカウントはパスワードの再設定と本人への連絡を検討する対象です。

3. 漏えい済みパスワードの照合（k-匿名の range 検索）

Have I Been Pwned の Pwned Passwords API は、パスワードの SHA-1 の先頭5文字だけを受け取り、その5文字で始まるハッシュの残り35文字と出現回数の一覧を返します。一致するかは手元で比べるので、パスワードもハッシュ全体も外に出ません。例の password123 は既知の弱いパスワードです。実在のパスワードをシェルに打つと履歴に残るので、本番ではサービスのコードの中で同じ処理をします。

h=$(printf 'password123' | sha1sum | awk '{print toupper($1)}')
curl -s "https://api.pwnedpasswords.com/range/${h:0:5}" | grep -i "^${h:5}:" || echo "一致なし"

一致すれば「残り35文字:出現回数」の行が出ます。

結果の読み方と、このコマンドの限界

ダミーの認証ログで、掲載したままのコマンドを走らせました。1つのIPが25アカウントに試して2件成功したログでは、1は 203.0.113.7 accounts=25 tries=25 success=8.0% を出し、2は成功した2アカウントを出しました。そのIPの行を除いたログでは、1も2も何も出しませんでした。3はハッシュを先頭5文字と残り35文字に分ける処理と、返ってきた一覧から一致する行を拾う処理を、API の応答の形に合わせた手元のファイルで確かめました。API への実際の問い合わせは未検証です。

影響範囲と、続報で見るべき点

続報で確かめたい点は次のとおりです。

・ゆうゆうポイントサイトの再開と、ポイントの付与・交換の扱い
・249件のうち、実際に閲覧が確認された件数
・2段階認証の必須化で、設定していなかった人のログインがどう変わるか

ほかの事案と入口・対策を並べた一覧はセキュリティ事案の一覧にあります。

参照ソース

・日本郵政「第三者による不正利用および会員情報漏えいの可能性について」（2026-10-19） — 経緯・件数・閲覧された可能性のある項目・住所録の注記・郵便局アプリの件との関係
・日本郵便「ゆうIDを安全にご利用いただくための大切なお知らせ」（2026-10-19） — 2段階認証の必須化・パスワードの見直し・パスキー・不審なメールやSMSへの注意
・日本郵政「ゆうゆうポイントサイトの緊急サービス停止」（2026-10-16） — サイトの停止と、復旧をマイページで知らせるという案内
・日本郵政・日本郵便「郵便局アプリへの不正アクセスについて」（2026-09-29） — 別事案。69件（19名分）の不正取得
・ゆうID よくあるご質問「2段階認証の設定方法を教えてください」 — 認証アプリ・SMS・メールの方式とリカバリーコード
・Have I Been Pwned「Pwned Passwords」API — range 検索（SHA-1 の先頭5文字だけを送る方式）