要点
発表された事実
- シグナルトークは、運営するオンライン麻雀「Maru-Jan」への外部からの不正アクセスにより、全会員185万5,578人分のメールアドレスおよびパスワードが流出したと発表した（シグナルトーク ニュースリリース）。
- 管理システムの機能を悪用した不正アクセスがあり、2026年11月4日15時頃までに会員情報を含むデータが外部へダウンロードされた（同）。
- 侵入経路は特定済みで、悪用された箇所への対策を実施し、2026年11月7日16時にサービスを再開した（同）。
- クレジットカード番号は保有していないため、流出対象には含まれない（同）。
- これまでのパスワードでもログインできるため、公式サイトの会員ページからパスワードを変更するよう求めている（同）。
わかっていないこと
- 不正アクセスを検知した日時、および侵入が始まった時期。
- パスワードの保存形式（ハッシュ化の有無・方式）。
- 流出した情報の不正利用・二次被害の有無。
- 個人情報保護委員会など関係当局への報告状況。
関係しそうな既知の手口
- （考察）管理機能から会員データをまとめて取得できる状態だと、その機能への到達が漏えい規模を決める。再開後も旧パスワードで入れるため、流出した組み合わせを使ったログイン試行への耐性は、利用者が先にパスワードを変えるかどうかに依存する。
概要
- 対象はMaru-Janの全会員。メールアドレスは登録している場合に対象となる（シグナルトーク ニュースリリース）。
- 緊急メンテナンスとして、ゲームへのログインとWebの会員ページを停止していた（同）。
- サービス再開後も、サーバー・管理システム・業務用PCの点検、監視強化、情報管理体制の見直し、今回確認された問題以外の弱点の調査を続けるとしている（同）。
- お詫びとして会員1人につき3,000ポイントを用意し、受け取り期限を2026年11月20日24時とした（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-11-04 15時頃まで | 会員情報を含むデータが外部へダウンロードされたことを確認 | シグナルトーク |
| 2026-11-07 16時 | 悪用箇所への対策を実施し、サービスを再開。全会員185万5,578人分の流出を公表 | 同 |
発表内容の整理
事実（シグナルトークの発表による）
| 項目 | 内容 |
|---|---|
| 対象サービス | オンライン麻雀「Maru-Jan」 |
| 対象 | 全会員（185万5,578人） |
| 流出が確認された情報 | メールアドレス（登録している場合）、パスワード |
| 含まれない | クレジットカード番号（保有していない） |
| 手口（公表範囲） | 管理システムの機能を悪用した不正アクセス |
| 現況 | 侵入経路を特定し対策済み。11月7日16時に再開。点検と追加調査は継続 |
| 利用者への案内 | 旧パスワードでもログインできるため、公式サイトから変更する。同じパスワードを使う他サービスも変更する |
考察
- 全会員分のパスワードが対象である以上、保存形式が不明な現時点では、平文または解析しやすい形で渡った可能性を排除できない。同社が旧パスワードでのログインを止めず「変更してください」と案内していることも、少なくとも認証基盤側では古い値がまだ有効であることを示している。
- 流出したメールアドレス宛てに、パスワード変更を装った不審メールが届くおそれがある。同社も、操作はメール内のリンクではなく普段使う公式サイトから行うよう求めている。
関係しそうな既知の手口
事実
- 同社は「管理システムの機能を悪用した」と説明し、侵入経路は特定したとしている。悪用された機能の種類や、認証をどう突破されたかは公表していない（シグナルトーク）。
考察
- 会員データの一括取得・エクスポートや、管理画面の検索・ダウンロードが、権限のある操作として残っていた可能性はある。どの機能だったかは分からない。
- 大規模なメールアドレスとパスワードの組み合わせは、他サービスへのリスト型攻撃の材料になりやすい。二次被害が確認されたとは発表されていない。
利用者・運用者がいまできること
- Maru-Jan利用者：公式サイトの会員ページから、他サービスで使っていないパスワードへ変更する。同じパスワードをメールや通販などで使っている場合は、そちらも変更する。
- パスワード変更は、不審なメール内のリンクではなく、普段使っている公式サイトから行う。
- サービス運営者：管理機能からの大量データ取得を権限・監査・ダウンロード制限で縛る。認証情報の漏えいが分かったら、旧パスワードでのログインを無効化する。