日本サッカー協会（JFA）は18日、公式アプリ「JFA Passport」に第三者による不正アクセスがあったと発表しました。 協会の告知によると、発生は2026年10月17日午前3時25分ごろから午後7時ごろまでです。検出後、アプリのサービス提供会社と連携し、経路の遮断など被害拡大を防ぐ対策を取ったため、一部の機能が止まり、使えないサービスがあります。個人情報を含む利用者情報への影響は調査中で、新たに公表すべき事実が分かれば速やかに知らせる、としています。読売新聞は、登録が約70万人で、選手登録やサポーターのイベント申し込み、日本代表の動画視聴などに使われている、と伝えています。

利用者への当面の依頼は、ログアウト、再ログイン、再インストールを控えることです。安定したサービスに戻す確認の途中だから、です。普段なら「パスワードを変えてログアウトせよ」が定石に見える事案でも、協会は逆の操作を求めています。指示と逆の操作をすると、調査や復旧の邪魔になる可能性があります。不安でも、JFA.jpの案内が更新されるまで、アプリをいじらないでください。

協会は、現時点の調査ではJFAが使う他のシステムへの影響は確認されていない、としています。アプリの外、協会の別のデータベースまで被害が及んだ、とはまだ言えない状態です。言えないことと、及んでいないことの証明は違います。証明は調査の結果が出てからです。情報漏えいが確認された場合は、関係法令に沿って対応する、とも書いています。個人情報保護委員会への報告や、本人への通知が必要になるかは、漏えいの有無と件数で決まります。

70万人は、日本代表の試合を見る人、少年サッカーの登録に関わる家族、イベントに申し込んだサポーターが混ざった母数です。全員の氏名や住所が流出した、とは発表されていません。流出したかどうかが調査中です。調査中の段階で「70万人分が漏れた」と書くのは、発表を超えます。News.comは、登録規模と、影響は未確認、をセットで残します。

利用者が今日できることは限られます。アプリを開いて無理に再ログインしない。JFA.jp以外の「補償金」「パスワード確認」を名乗るメッセージのリンクを踏まない。自分のメールアドレスが、このアプリに登録したアドレスと同じかを思い出す。漏えいが確認されるまでは、銀行や行政に「サッカー協会から漏れた」と連絡する根拠はありません。確認されたあとで、協会が示す手順に従います。

スポーツ団体の公式アプリは、チケットや動画の便利さと、氏名・連絡先が集まる場所が同じです。便利さのために登録した情報が、攻撃の対象になる構造は、サッカーに限りません。今回の告知で特徴的なのは、操作を控えるよう明示した点です。一般的なパスワード変更の助言を、この事案に機械的に当てはめないでください。当てはめると、協会の復旧作業と矛盾します。

機能の一部停止は、試合中継やイベント申込が今日できない不便を生みます。不便は、被害の有無とは別です。使えないから漏れた、使えるから安全、のどちらでもありません。復旧の時刻は、協会がJFA.jpで出すまで未定です。未定の時刻を、この記事で予想しません。

NHKも19日未明、機能の一部を停止し影響を調査中だと伝えています。発表日は18日、攻撃の時間帯は17日です。記事の日付と、事案の日付を混ぜないでください。続報は、漏えいの有無、件数、項目（氏名、住所、生年月日、決済情報のどれか）が協会の文書に出た時点で更新します。項目が特定されるまでは、クレジットカードを急いで止める必要まであるとは書きません。

不正アクセスの時間帯が17日の午前3時25分から午後7時まで、と長い点は、短時間の乗っ取りとは様子が違います。長い時間、経路が開いていた可能性があります。可能性がある、までです。その間に何件の閲覧や取得があったかは、協会が「調査中」としている項目そのものです。時間の長さから件数を逆算する計算式は、外からは作れません。作れない計算を、70万人分の漏えいのように見せる投稿は無視してください。

ログアウトを控える指示は、セッションを切ると攻撃者側の痕跡や、正規ユーザーの状態確認が難しくなる、という技術上の理由があり得ます。あり得る理由であって、協会がそう説明したわけではありません。協会の文章は「安定したサービス提供に向けた確認」です。理由の推測を、公式の説明の代わりにしないでください。公式に従うのが、今の利用者の最善です。

選手登録に関わるデータが含まれるアプリである以上、漏えいが確認されたときの影響は、試合の動画が見られなくなる不便より重いです。重い可能性があるからこそ、確認前に名前を晒す二次被害を避けます。保護者は、子どもの名前で登録していないかを思い出す程度でよく、思い出しても今日中に協会へ電話する必要は、案内があるまでありません。案内の電話番号は、JFA.jpに出たものを使います。検索広告の「相談窓口」は使いません。

他システムへの影響が現時点でない、という一文は、チケットの別システムや代表戦の入場まで安全だという意味には自動的になりません。自動的にしないために、「現時点の調査では確認されていない」という協会の限定を残します。限定が外れて影響があった、と更新されれば、そのシステム名を追記します。

復旧後に利用者がやることは、協会が示すパスワード変更の要否に従うことです。要否が「不要」なら、むやみに変えて使い回しの別サービスまで崩さない方が混乱が少ない場合もあります。要否が「必要」なら、そのときに変えます。今日の判断は、操作を止める、です。

アプリの一部停止は、日本代表の試合そのものを中止する話ではありません。試合の開催と、アプリのログインは別の運営です。別であることを、サポーターの不安が試合中止にすり替わらないように書きます。すり替わった投稿は、協会の発表と違います。

17日の未明に始まり夜まで続いた、という時間は、平日の業務時間の外から始まっています。外から始まっていることは、自動的な攻撃の可能性を考えさせますが、手法の特定は協会もまだ書いていません。書いていない手法を、ランサムや内部不正と命名しません。命名は、警察への相談の有無と合わせて、協会が説明する語を使います。警察に相談したかどうかも、現時点の告知にはありません。ないものは、ない、と書きます。

70万人の登録は、アクティブに毎日開いている人数とは限りません。限りませんが、攻撃者から見れば登録情報の母数です。母数が大きいことだけでも、調査が終わるまで利用者を不安にさせるのに十分です。不安への答えは、漏れていないという証明か、漏れた範囲の通知です。どちらも今日は未了です。未了の日に、協会を擁護も断罪も最終的にはしません。最終は、影響範囲の公表のあとです。

動画視聴やイベント申込ができない不便は、週末の代表戦の予定と重なると苦情が増えます。苦情は、被害の規模の指標にはなりません。指標にするのは、協会が認めた漏えい件数です。件数がゼロと発表される可能性も、一部と発表される可能性も残しています。残しているあいだ、ゼロと一部のどちらにも見出しを倒しません。

再インストールを控える、という依頼は、端末に古い版を残す指示でもあります。古い版を残すことが脆弱性の放置に見える人もいます。見える人と、協会の復旧手順のあいだで、利用者は協会を優先してください。優先したあとに、公式が「いま更新せよ」と変えたら、その新しい指示に乗り換えるのが順序です。

決済情報をアプリが持っていたかは、告知に書かれていません。書かれていないものを、カード番号が漏れた前提で銀行に連絡する必要はありません。必要になるのは、協会が決済情報を影響範囲に含めたときです。含めるまでは、不審な請求が自分のカードにないかの普段の確認で足ります。普段の確認を、この事件の特別対応とは呼びません。

News.comは、この稿の数字を公式や通信社の原文と突き合わせ、1ポイントでも違えば原文に戻します。戻すまで、速報の丸めた見出しと、本文の小数を混ぜません。読者は、自分の生活に関係する日付（施行、公判、試合、演習の終了）だけをカレンダーに写してください。

協会の告知日は18日、NHKが夜に伝えたのは19日未明です。日付が一日ずれて見えるのは、発表と放送の差です。差を、別の攻撃が二度あったという意味に取らないでください。攻撃の時間帯は17日の3時25分から19時ごろ、という一つの事案です。一つの事案として、影響調査の結果を待ちます。

選手や保護者が登録するアプリである以上、漏えいが確認されたときの通知は、成人の利用者だけでなく未成年の保護者にも届く設計が要ります。要る設計かどうかは、協会の次の告知で分かります。今日の告知は、お詫びと、調査中と、操作を控える依頼までです。依頼の範囲を超えて、協会が補償金を出すとは書いていません。書いていない補償を期待して、問い合わせの電話を急がないでください。急ぐ連絡先は、JFA.jpに載ったものだけです。

一部機能の停止は、不正アクセスの経路を遮断した副作用です。副作用の不便と、情報の流出は、同時に起きるとは限りません。限りませんが、利用者からはどちらも「アプリがおかしい」に見えます。見える不便を、流出の確定報道にしないでください。確定は、協会の次の文書です。

まとめ

JFA Passportは17日に不正アクセスを受け、登録約70万人の情報への影響は調査中です。当面はログアウトや再インストールを控えてください。案内はJFA.jpが正です。