時事通信フォト、一部利用者アカウントで不正ログイン発生——脆弱なパスワード設定が要因、パスワードリスト攻撃の可能性

項目	内容
発生日	2026年4月14日（検知）／2026年4月17日（公表）
対象組織・業界	時事通信フォト（写真配信サービス）
攻撃手法	不正アクセス（第三者による不正ログイン試行、パスワードリスト攻撃の可能性）
情報源	Security NEXT（2026年4月17日）

概要

写真配信サービスを提供する時事通信フォトは、一部利用者アカウントで第三者による不正ログインが確認されたと公表しました。同社のシステム侵害やパスワード流出は否定しており、脆弱なパスワードが設定されていた一部アカウントがログインを許した可能性があるとの説明です。

不正ログインが確認されたアカウントは特定・対応済みで、監視体制の強化と再発防止策の実施も完了しています。利用者に対しては、他サービスとのパスワード使い回しを避け、第三者に推測されにくいパスワードへ変更するよう呼びかけています。

経緯

• 2026年4月14日: 一部利用者アカウントで不正ログインを検知
• 2026年4月17日: 事案公表、対策の完了状況を説明

原因

同社は自社のシステム侵害・パスワード流出を否定し、脆弱なパスワードが設定されていた一部アカウントがログインを許した可能性を挙げています。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同社が公表したものではありません。

1. パスワードリスト型攻撃（クレデンシャルスタッフィング）: 他サービスから流出したID・パスワードの組み合わせを自動で試行する手口で、被害者自身は「自社のパスワードは漏れていない」と説明できても、利用者が他サービスと同じパスワードを使い回している場合に成立します
2. ブルートフォース／辞書攻撃: 単純・短いパスワードや推測しやすい文字列に対する総当たり試行の可能性
3. 多要素認証（MFA）の未導入または任意設定: 写真配信サービスのような業務系SaaSでもMFAが必須化されていない場合、パスワード単一防御では現代の自動化攻撃を止めきれません

対策

組織が学ぶべきこと

1. パスワードの複雑性要件を「登録時に強制」する: 利用者側の意識に頼らず、一定長・複数文字種・パスワード辞書との照合で弱いパスワードを登録段階で拒否する仕組みが必要です。「利用者が弱いパスワードを設定していた」を組織側の対策不足と捉える視点への転換が求められます。

2. 多要素認証を標準機能として提供する: BtoBの配信サービスでも、業務用アカウントほど攻撃者にとって価値が高い（記事素材へのアクセス・購入権限等）ため、MFAを標準化する方向性が主流です。

3. 異常ログインの検知——地理・時間・端末フィンガープリント: 通常と異なるIP地域や短時間の連続失敗・成功が発生した際に、利用者に確認プッシュを送る仕組みが二次被害を防ぎます。今回のケースでも早期検知（4月14日→4月17日公表）ができた背景に、何らかの異常検知の仕組みが機能していた可能性があります。

ヤグラの視点 — 訓練で防げた分岐点：利用者のパスワード使い回しは「知っていれば」で止まる

本件は攻撃者のシステム侵入ではなく、利用者が他サービスから流出したパスワードを使い回していた「かもしれない」というシナリオで説明されています。パスワードリスト攻撃は技術的には自動化されていますが、成立するかどうかは利用者一人ひとりの習慣で決まります。「サービスごとに違うパスワード」「MFAをオンにする」——この2つは知識としては誰でも知っていますが、実務での定着率は低い分野です。マルチチャネル型の訓練は、フィッシングメールだけでなく「パスワード使い回しの実演」「MFA未設定時の乗っ取り再現」といったシナリオを含めることで、知識を体験に変えます。運用側だけで防ぎ切れない部分は、利用者の行動変容を訓練で埋めるという発想が有効です。→ ヤグラ アウェアネス

今後の対応

追加の被害情報や、影響を受けた利用者数の公表があれば本記事に追記します。

更新履歴

日時	内容
2026-04-17	第一報を掲載