2026年10月17日朝から、ソフトバンクの会員向けウェブサイト「My SoftBank」などが停止し、2026年10月19日時点でも終了日時は未定とされています。この記事では、この出来事をきっかけに「会員サイトへの不正アクセスとは何か」「事業者側はどう守っているのか」「利用者は今日から何をすればよいのか」を整理します。
参考: ソフトバンク「My SoftBank」メンテナンス実施、終了日時未定（https://news.yahoo.co.jp/articles/17fa6c570ff386de5d1544bf8e01ad3b230bd25f）
なお、本記事は報道で公表されている範囲の情報と、一般的なセキュリティの知識にもとづく解説です。原因や被害の有無など、公表されていない点については推測で断定しません。
今回の件でわかっていること
報道によると、確認できる事実は次のとおりです。
| 項目 | 内容 |
|---|---|
| 開始 | 2026年10月17日 8時 |
| 終了 | 未定 |
| 停止対象 | ウェブ版の「My SoftBank」「My Y!mobile」「My Menu」 |
| 対象外 | アプリ版（引き続き利用可能と説明） |
| きっかけ | 監視システムが異常を検知し、第三者による不正アクセスの試みがあったとされる |
| 対応 | 関連システムの一部停止、疑わしい通信経路の遮断、セキュリティ強化のメンテナンス |
一方で、次の点は公表されていません。
- 不正アクセスが成功したのかどうか
- 個人情報が流出したのかどうか
- 影響を受けた利用者の数
- サイトの再開時期
つまり現時点では「試みを検知して先回りで止めた」段階と読めますが、被害の有無は今後の発表を待つ必要があります。
「不正アクセスの試み」とは何か
会員サイトに対する典型的な攻撃には、次のようなものがあります。
パスワードリスト攻撃（クレデンシャルスタッフィング）
他のサービスから漏えいしたIDとパスワードの組み合わせを、別のサービスに大量に試す手法です。多くの人が同じパスワードを使い回しているため、一定の割合でログインに成功してしまいます。
ブルートフォース攻撃
パスワードの候補を機械的に総当たりで試す手法です。短い・単純なパスワードほど突破されやすくなります。
ボットによる自動化
上記の攻撃は人手ではなくボット（自動プログラム）で実行されます。短時間に大量のログイン試行が発生するため、事業者の監視で「異常な動き」として検知されやすい特徴があります。
今回どの手法だったかは公表されていません。ただ、通信キャリアの会員サイトは契約情報や支払い情報、本人確認に使われる情報を扱うため、攻撃者にとって狙う価値の高い場所です。
なぜサイトを止めるのか
「止めると利用者が不便になるのに、なぜ？」と感じるかもしれません。それでも停止する理由は主に3つあります。
- 被害の拡大防止: 攻撃が続く間に侵入を許すと、被害が広がります。
- 調査の確保: 通信ログを保全し、侵入の有無や範囲を正確に調べる時間が必要です。
- 対策の適用: 通信の遮断ルール追加や認証の強化などを、安全な状態で行えます。
今回「アプリ版は利用可能」とされている点も興味深いところです。ウェブとアプリでは認証や通信の経路が異なることが多く、攻撃を受けた経路だけを切り離したと考えられます（あくまで一般論としての推測です）。
事業者側の主な防御策
会員サイトを守る一般的な仕組みを紹介します。
- レート制限: 同一のIPアドレスや端末からのログイン試行回数を制限する
- ボット対策: CAPTCHAや挙動分析で自動化された操作を弾く
- 多要素認証・パスキー: パスワードだけに頼らない
- 異常検知: 普段と違う地域・端末からのログインを監視する
- WAF: Webアプリケーションファイアウォールで不審な通信を遮断する
これらを組み合わせる「多層防御」が基本です。どれか1つが破られても被害が出ない設計が理想です。
利用者が今できること
サイトが止まっていても、利用者側でできる対策があります。
- パスワードの使い回しをやめる: サービスごとに別のパスワードにします。パスワードマネージャーの利用がおすすめです。
- 二要素認証・パスキーを有効にする: 設定できるサービスでは必ず有効化します。
- ログイン履歴や請求内容を確認する: 身に覚えのない契約変更や請求がないか、再開後に確認します。
- フィッシングに注意する: 事件に便乗し「アカウント確認」「パスワード再設定」を装うSMSやメールが増える傾向があります。リンクは踏まず、公式アプリやブックマークした公式サイトからアクセスします。
- 公式の発表を確認する: 情報は公式サイトや公式アプリのお知らせで確認します。
特に4が重要です。SMSやメール内のリンクからログインを促されても、すぐには応じないようにしましょう。
まとめ
- My SoftBankのウェブ版などが、不正アクセスの試みの検知を受けて2026年10月17日から停止している
- 侵入の成否や情報漏えいの有無、再開時期は現時点で公表されていない
- パスワードの使い回しを狙う攻撃は、事業者の対策だけでなく利用者の習慣でも防げる
- 利用者は、パスワードの使い回し廃止・二要素認証・フィッシング警戒の3点を押さえておく
管理人
最後までお読みいただき、ありがとうございました！
