ポイントサイトの不正アクセス対策｜自分でできる自衛5つと、今日の点検4ステップ

ポイントサイトの不正アクセスが続きました。9月下旬にGポイント、10月上旬にinfoQ。「自分のサイトは大丈夫か」「何をしておけばいいのか」と気になっていませんか。

この記事では、ポイ活歴15年以上の目線で、IPA（情報処理推進機構）やフィッシング対策協議会の公開情報、各社の公式発表をもとに、利用者が自分で打てる手を整理します。サイトごとの二段階認証の対応状況は変わるので、「あるかどうかの確かめ方」を中心に書きます。個別の事案はGポイントの速報とinfoQの速報で更新しています。

結論：運営が破られても、被害を広げない準備はできる

結論から言うと、運営側からの流出は防げなくても、その後の被害は自分で小さくできます。やることは「パスワードを使い回さない」「通知を受け取る」「溜めすぎない」の3つです。偽の「補填」「お詫び」連絡に反応しないことも欠かせません。

この記事では、まず最近の事案を整理し、被害の経路を3つに分けます。そのうえで自衛5つと、今日できる点検をまとめます。

最近何が起きた？3つの事案を整理

2026年の2件と、過去のポイントインカムの事案を並べます。内容はすべて各社の公式発表や報道にもとづきます。

3件を並べると、被害の入り口はサイト側とは限らないとわかります。infoQは運営側のサーバーへの侵入、ポイントインカムの2020年の件は利用者のアカウントへの不正ログインが中心でした。なお、infoQで漏れた暗号化済みパスワードが実際に悪用されたかは、公表では触れられていません。

被害が起きる3つの経路：防げるものと防げないもの

被害の経路は、大きく3つに分けられます。自分で防げるのは②と③です。

①は防げませんが、②の対策をしていれば、漏れた情報があってもほかのサイトへ広がりません。被害の大きさを決めるのは、漏れたあとに何が連鎖するかです。

利用者ができる自衛5つ

公的機関の案内にあるのは、特別な技術ではありません。ポイントサイトに当てはめると、次の5つになります。

ポイントサイトでの具体例として、ワラウは「ログイン通知」を案内しています。普段と異なる回線やIPアドレスからログインがあったとき、登録メールに日時・IPアドレス・端末名が届く仕組みで、心当たりがなければパスワード変更・登録情報の確認・サポートへの問い合わせの順に動くよう案内されています。ほかのサイトにも似た機能があるかは、設定画面やヘルプで確認してください。

5つのうち、すぐ効くのは「使い回さない」と「メールを守る」の2つです。ここから始めてください。

今日10分でできる点検【4ステップ】

使っているポイントサイトの数だけ、同じ手順を繰り返します。まず、いちばんポイントが溜まっているサイトから始めてください。

STEP 1と2だけでも、被害の連鎖はかなり止まります。時間がない日は、この2つを先に済ませてください。

ポイントを溜めすぎない：交換先と運用を決めておく

自衛の最後は、被害が出ても小さくなる運用です。infoQのように不正に交換された分は補填される例もありますが、補填の対応は運営会社ごとに違います。残高がそのまま被害額の上限になるので、溜めたままにしないのが基本です。

交換の履歴は、月に1度は見る習慣にすると安心です。身に覚えのない交換があれば、すぐに運営へ連絡します。

被害に気づいたら：最初の30分でやること

身に覚えのないログイン通知や交換があったときの動き方です。慌てて「補填」の連絡先を検索せず、公式サイトのお問い合わせから連絡してください。

連絡の際は、運営から「パスワードや口座番号を電話やメールで尋ねることはない」と案内されている場合があります。電話やメールで聞かれたら、まず疑ってください。infoQの件の見分け方はinfoQの速報の「疑う連絡」の表が参考になります。

よくある質問

まとめ：漏れたあとの連鎖を断つ準備をしておく

ポイントサイトの不正アクセスは、運営側の流出も、利用者のアカウントへの不正ログインも起こります。運営側の対策は止められませんが、使い回さない・メールを守る・通知を受け取る・溜めすぎないの4つで、被害はかなり小さくできます。

まずは、いちばんポイントが溜まっているサイトのパスワードを、専用のものに変える。これが今日の最初の一手です。

※この記事は一般的な情報提供です。各サイトの機能や対応は変更されることがあります。設定の有無や手順は、各サービスの公式ヘルプで確認してください。