JFA Passport ― 不正アクセスで一部機能を停止

要点

発表された事実

公益財団法人日本サッカー協会（JFA）は2026年10月18日、公式アプリ「JFA Passport」で第三者による不正アクセスが発生したと公表した（JFA公式アプリ「JFA Passport」への不正アクセスについて）。
不正アクセスは2026年10月17日3時25分頃から19時頃まで。検出後、アプリのサービス提供会社と連携して不正アクセス経路の遮断などを行い、そのためにアプリの一部サービスが使えなくなっている（同）。
個人情報を含む利用者情報への影響は調査中。現時点の調査では、JFAが使うほかのシステムへの影響は確認されていない（同）。
利用者には、当面、アプリからのログアウト、再ログイン、再インストールなどの操作を控えるよう求めている（同）。
【2026-10-22追記】JFAは10月21日の第2報で、調査の結果、本件に起因する個人情報の漏えいは確認されなかったと公表した。JFAが使う関連システムでも、本件に起因する情報漏えいや不正利用などの影響は確認されなかった。システムと運用面のセキュリティ対策を強化し、必要な改修と安全性の確認をしたうえでサービスを順次再開するとしており、再開の詳細は準備が整い次第知らせる。第2報の表題では、本件を「不正なアクセスを試みる攻撃」と表現している（JFA 第2報）。
【2026-10-24追記】JFAは10月22日の第3報で、一部のシステム連携の停止と安全性の確認・必要な対策の作業が完了したため、アプリの全ての機能でサービスを再開したと発表した。本件に起因する情報漏えいや不正利用などの影響は確認されなかったと改めて説明している。利用には App Store または Google Play で最新版へのアップデートが必要（JFA 第3報）。

わかっていないこと

個人情報の流出の有無と、対象の件数・項目（【2026-10-22追記】第2報で、個人情報の漏えいは確認されなかったとされた）
侵入経路と原因（アプリ側か、サーバー・APIか、サービス提供会社の基盤か）
停止している機能がどれか（【2026-10-24追記】第3報では「一部のシステム連携を停止」と説明。具体的な機能名は公表されていない）
アプリのサービス提供会社の名前と、同じ会社のほかの顧客への影響
ログアウトや再ログインを控えるよう求める理由
機能の再開時期（第2報でも「準備が整い次第お知らせ」としている。【2026-10-24追記】10月22日の第3報で全機能の再開が発表された）

わかったこと

【2026-10-24】10月22日、アプリの全機能でサービスを再開。利用には最新版へのアップデートが必要（JFA 第3報）
【2026-10-24】本件に起因する情報漏えいや不正利用などの影響は確認されなかった（第2報・第3報。JFA 第3報）
【2026-10-24】侵入経路・原因、サービス提供会社名は第3報でも公表されていない。JFAは再開をもって一連の対応を終えた形のため、本記事は「終了」とする

関係しそうな既知の手口

（考察）10月の国内では、公開されているスマートフォンアプリを解析して裏側のAPIを特定し、認可の不備を突く手口が相次いで報告されている（NICT、JPCERT/CC）。JFA Passportの経路は公表されていないが、会員アプリで同じ種類の被害が続いている点は押さえておきたい。

概要

JFAの公式アプリ「JFA Passport」に、10月17日の未明から夕方まで約15時間半にわたって第三者による不正アクセスがあった。
JFAはアプリのサービス提供会社と経路を遮断し、一部の機能を止めた。個人情報への影響はまだわかっていない。
利用者には、当面ログアウト・再ログイン・再インストールをしないよう呼びかけている。

この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。

何が起きたか（時系列）

時期	出来事
2026-10-17（土）3:25頃	JFA Passportへの第三者による不正アクセスが始まる（JFA）
2026-10-17（土）19:00頃	不正アクセスが続いたのはこの頃まで（JFA）
2026-10-17以降	検出後、サービス提供会社と連携して不正アクセス経路の遮断などを行い、一部サービスを停止（JFA。停止の日時は非公表）
2026-10-18（日）	不正アクセスの発生と一部機能の停止を公表。利用者情報への影響は調査中（JFA）
2026-10-21（水）	第2報。個人情報の漏えいは確認されず、関連システムへの影響も確認されなかったと公表。改修と安全性の確認のうえサービスを順次再開する方針（JFA 第2報）
2026-10-22（木）	第3報。一部システム連携の停止と安全性確認・対策が完了し、全機能でサービスを再開。最新版へのアップデートが必要（JFA 第3報）

発表内容の整理

事実（JFAの発表）

項目	内容
対象	JFA公式アプリ「JFA Passport」
不正アクセスの期間	2026年10月17日3時25分頃〜19時頃
対応	アプリのサービス提供会社と連携し、不正アクセス経路の遮断など被害拡大防止の対策。それに伴い一部サービスが使用できない
被害状況	影響範囲などを調査中で、詳細は確認中
個人情報	個人情報を含む利用者情報への影響は調査中。漏えいが確認された場合は関係法令などを踏まえて対応する
ほかのシステム	現時点の調査では、JFAが利用するその他のシステムへの影響は確認されていない
利用者へのお願い	当面、アプリからのログアウト、再ログイン、再インストールなどを控える
今後の案内	調査・復旧の状況は公式サイト「JFA.jp」で知らせる

事実（報道）

ITmediaは、JFA PassportはJFA IDとパスワードでログインして使うアプリで、JFA IDの取得には氏名、生年月日などの登録が必要だと伝えた。どの機能を停止したかは明らかにしていないとしている（ITmedia NEWS）。
読売新聞は見出しで、アプリの登録者を約70万人と報じた（読売新聞）。

考察

発表には「不正アクセスがあった時間帯」がはっきり書かれている一方、いつ検出したのかは書かれていない。19時頃で終わっているのが、検出して経路を塞いだ時刻なのか、攻撃者側が止めた時刻なのかで、検出までにかかった時間の意味が変わる（考察）。

「ログアウト・再ログイン・再インストールを控えて」というお願いは珍しい。ログインやアカウント情報を扱う機能を止めているか、サーバー側の作業中にログインし直すと使えなくなる状態があるため、と考えられる（考察）。裏を返すと、パスワードの変更を促す案内はまだ出ていない。

関係しそうな既知の手口

事実（既知の知見・同種事例）

NICTは10月13日、公開アプリを解析してサーバーの仕様を調べ、APIの認可の不備などを突く「A2B攻撃」を、国内の情報漏えい事案の原因の一つとして特定したと注意喚起した（NICT CYNEX）。
JPCERT/CCは10月15日、相次ぐ国内の不正アクセスに関連する攻撃元サーバーの調査で、攻撃者がAndroidアプリの配布ファイルを解析してAPIを特定し、悪用しようとしていた痕跡を確認したと公表した（JPCERT/CC Eyes）。
会員アプリへの不正アクセスでは、バーガーキング公式アプリ（約1,118万件）などの事例がある（バーガーキングの記事）。

考察

「サービス提供会社」の存在：JFAはアプリを自前ではなくサービス提供会社と運営しているように読める。会員アプリの仕組みを複数の団体に提供している会社なら、原因がその基盤にある場合、ほかの顧客にも影響が広がりうる。10月にはノーコード制作基盤のStudioのように、提供会社側の侵害が多くの利用団体に及んだ例もある（Studioの記事）。現時点では提供会社名も原因も公表されていない。
約15時間半という長さ：未明から夕方まで続いたという点は、短時間の一回の侵入というより、一定の時間をかけてデータの取得や操作が繰り返された可能性を示す。ただし何が行われたかは発表されていない。

利用者・運用者がいまできること

事実（発表に基づく）

当面、アプリのログアウト、再ログイン、再インストールは控える（JFA）。
調査・復旧の状況はJFA.jpで確認する（JFA）。

考察（利用者向け）

JFA IDと同じパスワードをほかのサービスでも使っている場合は、ほかのサービスのパスワードを先に変えておく（JFA Passportへのログインは控えるよう求められているため）。
JFAや「JFA Passport」を名乗る、パスワード再設定や本人確認を求めるメール・SMSが届いても、リンクは開かず、JFA.jpの告知で確認する。

考察（運用者向け）

会員アプリを外部の会社に任せている場合、侵害時に「誰がログを持ち、誰が止める判断をするか」を契約の段階で決めておくと初動が早くなる。
公開アプリから読み取れるAPIは攻撃者にも見えている前提で、認可の確認と、1つのアカウントや端末からの大量取得の検知を点検しておきたい。

参考リンク

原文をGitHubで読む ↗