コミックシーモアの不正アクセス｜第3報までに分かったこととパスワードの変え方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓コミックシーモアの不正アクセスで
✓ハッシュ化されたパスワード
✓ニックネームの流出が公表されました

電子書籍ストア「コミックシーモア」を運営するNTTソルマーレ株式会社は、2026年10月16日の第2報で、会員情報を管理するシステムへの不正アクセスにより、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームが第三者へ流出したと発表しました。対象件数は10月18日の第3報でも「精査中」で、クレジットカード情報は対象のシステムで保有しておらず流出していない、と説明しています。会員がまずすることは、コミックシーモアと同じメールアドレスとパスワードの組み合わせを使っている他のサービスのパスワードを、今日のうちに変えることです。

この記事では、2026年10月20日時点で公式に発表されている内容だけをもとに、公表の経緯、流出した情報と流出していないとされた情報、原因について分かっていること、会社の対応、自分が対象かを確かめる方法、利用者が今日からすることを順に説明します。コミックシーモアは2026年10月20日時点でもサービスを停止しており、サイトを開くと「サービスをしばらく停止し復旧対応を行います」と表示されます。サービスが再開したときに慌てないための準備も、あわせて書いておきます。

2026年10月20日時点で分かっていることの要点

最初に、公式発表から分かっていることを短く整理します。細かい経緯は次の節で説明します。

2026年10月15日、外部からの不正なアクセスが行われた可能性が高いと判断し、午前11時35分にサービスを停止した
2026年10月16日、会員情報を管理するシステムに不正アクセスがあり、内部に保管していた会員情報が第三者へ流出したことを確認した
流出した情報は、メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム
対象件数は「精査中」で、2026年10月18日の第3報でも「引き続き精査中」
クレジットカード情報は対象のシステムで保有しておらず、流出していない。購入履歴の流出、MY本棚の流出・消失・欠損も現時点で確認されていない
第3報で、一部のシステムログファイルも閲覧・取得されたことが判明し、会員情報が含まれているかを精査している
原因は特定でき、同様の不正アクセスと被害拡大の防止措置を実施している。正確な再開日時は未定
再開時には、すべての会員にパスワードの再設定を求める予定

件数が分かっていないのは、会社が隠しているからではなく、調査が終わっていないためです。第3報では、ログファイルにも会員情報が含まれているかを確かめていると書かれており、対象の範囲が今後の発表で広がる可能性もあります。いまの時点で会員がすべきことは、件数の確定を待つことではありません。流出した情報の組み合わせから、悪用されやすい道筋を先回りして塞いでおくことです。

公表の経緯：初報・第2報・第3報

NTTソルマーレは、同社のニュースリリースの一覧で、2026年10月15日から10月18日までに3本の発表を出しています。日付と、それぞれで新しく分かったことを表にまとめます。

発表	日付	新しく分かったこと
初報（緊急メンテナンスについて）	2026年10月15日	外部から不正なアクセスが行われた可能性が高いと判断し、サービスを停止。影響範囲と原因を調査中
第2報（会員情報の流出に関するお詫びとお願い）	2026年10月16日	会員情報を管理するシステムへの不正アクセスと、会員情報の流出を確認。流出した項目を公表。件数は精査中
第3報（会員情報の流出に関するご報告）	2026年10月18日	原因を特定し防止措置を実施。一部のシステムログファイルも閲覧・取得されたことが判明。再開は購入済み書籍のWEBでの閲覧から順次の予定

初報の時点では「緊急メンテナンス」という題で、流出があったかどうかはまだ書かれていませんでした。翌日の第2報で流出が確認され、第2報の本文には次のように書かれています。

10月16日（金）・その後の調査・分析において、『コミックシーモア』の会員情報を管理するシステムに不正アクセスがあり、その内部に保管する会員情報が第三者へ流出したことを確認いたしました。出典: nttsolmare.com

第3報では、流出した会員情報の項目は第2報と同じまま、新たに「一部のシステムログファイルにつきましても閲覧・取得されたことが判明」したと書かれました。ログファイルとは、システムが動いた記録を残したファイルのことです。そこに会員情報が書き込まれていたかどうかを、会社が確かめている段階です。

初報はNTTソルマーレのニュースリリース（初報）、第3報はNTTソルマーレのニュースリリース（第3報）で読めます。URLの数字と発表日が一致していないので、ブックマークから開くときは題名で確かめてください。今後の発表も同じニュースリリースの一覧に出ると、各報の本文に書かれています。

流出した情報と、流出していないとされた情報

第2報と第3報に書かれている項目を、流出した情報と、会社が「流出していない」「確認されていない」と明記した情報に分けて整理します。

区分	項目	公式の表現
流出した情報	メールアドレス	流出を確認
流出した情報	ハッシュ化されたパスワード	流出を確認
流出した情報	生年月日	流出を確認
流出した情報	性別	流出を確認
流出した情報	ニックネーム	流出を確認
流出していない情報	クレジットカード情報	対象システムでは保有しておらず、流出していない
確認されていない情報	購入履歴	流出は現時点で確認されていない
確認されていない情報	MY本棚	流出・消失・欠損は現時点で確認されていない
精査中	一部のシステムログファイル	閲覧・取得が判明。会員情報の有無を精査中

氏名、住所、電話番号は、流出した項目として挙げられていません。ただし、会社は「流出していない」とも書いていません。挙げられていないことと、流出していないと明記されたことは別です。この記事では、会社が明記したものだけを「流出していない」の欄に入れています。

クレジットカード情報が対象外である点は、会員にとって大きな安心材料です。それでも、カードの明細を一度見ておくことは無駄になりません。流出したメールアドレスに偽のメールが届き、そこからカード番号を入力させられる被害は、カード情報が漏れていなくても起こるためです。この点は後の節で詳しく説明します。

購入した漫画がMY本棚から消えていないかを心配する声もあります。第3報の時点で、MY本棚の流出・消失・欠損は確認されていないと書かれています。サービスの再開も、購入済み書籍のWEBでの閲覧から順に始める準備を進めているとされています。

ハッシュ化されたパスワードとは何か

流出した項目の中で、会員が最も気にするのがパスワードです。会社は「ハッシュ化されたパスワード」と書いています。第3報では、この言葉を次のように説明しています。

ハッシュ化されたパスワードとは、元のパスワードをそのまま保存せず、元の内容を読み取れない形に変換したものです。出典: nttsolmare.com

ハッシュ化とは、パスワードを決まった計算で別の文字列に置き換えて保存する方法のことです。計算は一方向で、置き換えた後の文字列から元のパスワードを直接は戻せません。そのため、流出したデータを見ても、パスワードがそのまま読めるわけではありません。

それでも会社は、他のサービスのパスワード変更を求めています。理由は、ハッシュ化された値でも、総当たりで割り出される場合があるからです。総当たりとは、よく使われる言葉や短い文字列を片端から同じ計算にかけ、結果が一致するものを探す方法のことです。「誕生日の数字だけ」「名前と数字」「英単語1つ」のような短く単純なパスワードは、この方法で見つかりやすくなります。今回は生年月日も一緒に流出しているので、誕生日を含むパスワードは特に狙われやすいと考えてください。

割り出されたパスワードは、メールアドレスとの組み合わせで、別のサービスへのログインに試されます。これをパスワードリスト攻撃と呼びます。漏れたメールアドレスとパスワードの一覧を使って、通販サイト、SNS、メール、ネット銀行などに次々とログインを試す手口です。第2報と第3報は、この危険について次のように書いています。

今回流出した会員情報（メールアドレスとパスワード）の組み合わせを使い、第三者が他のWebサービスへ不正ログインを試みるおそれがございます。出典: nttsolmare.com

コミックシーモアにしか使っていない、長くて複雑なパスワードであれば、割り出される心配も、他のサービスに広がる心配も小さくなります。逆に、同じパスワードを複数のサービスで使い回している人は、コミックシーモアの再開を待たずに、使い回し先を今日のうちに変える必要があります。

原因について会社が発表していること

原因について、2026年10月20日時点で会社が公表している内容は次のとおりです。

第2報：『コミックシーモア』の会員情報を管理するシステムに不正アクセスがあった
第3報：原因については特定ができた。侵入経路と攻撃手法を特定し、対処を実施している

一方で、どのような弱点が使われたのか、いつから不正アクセスが続いていたのか、攻撃したのは誰かといった具体的な内容は、まだ公表されていません。第3報は「原因については特定ができ」と書きながら、その中身は明かしていない段階です。この記事でも、公表されていない原因を推測して書くことはしません。

原因の中身が公表されていない理由として、第3報は、サービスの再開に向けて「さらなる安全性の確保や関係機関との調整が必要」と書いています。ただし第2報と第3報には、関係機関がどこを指すのか、個人情報保護委員会や警察に報告や相談をしたのかは具体的に書かれていません。報告先が書かれていない点も、今後の発表で補われる可能性があります。

会員にとって大事なのは、原因の詳細よりも、自分の情報がどう悪用されうるかです。原因が何であっても、流出したメールアドレスとハッシュ化されたパスワードの組み合わせが使われる道筋は同じです。次の節から、会社の対応と、会員がすることを順に見ていきます。

会社の対応

第2報と第3報に書かれている会社の対応を、項目ごとに整理します。発表に書かれていないことは、ここには入れていません。

対応	内容	出典
サービスの停止	2026年10月15日午前11時35分に停止し、不正アクセスの遮断対応を実施	第2報
調査	外部の専門機関と連携し、原因の究明と影響範囲の調査を実施	第2報、第3報
防止措置	原因を特定し、同様の不正アクセスと被害拡大の防止措置を実施	第3報
本人への連絡	流出が確認された会員には、確認ができ次第連絡する	第3報
パスワード	再開時に、すべての会員にパスワードの再設定を求める予定	第2報、第3報
再開の順番	購入済み書籍のWEBでの閲覧から順次再開する準備	第3報
再開日時	現時点で正確な日時は未定。確定次第知らせる	第3報

補償やお詫びの品については、2026年10月20日時点の発表に記載がありません。停止期間中に使えなかったポイントやクーポン、月額コースの扱いについても書かれていません。これらは再開時の案内で示される可能性がありますが、この記事では推測しません。気になる場合は、再開時の公式の案内を待ってください。

「流出が確認されたお客様には、確認ができ次第速やかにご連絡いたします」という一文は、第3報で新しく入ったものです。つまり、会社から会員へ個別の連絡が届く可能性があります。ここで注意が要るのは、その連絡を装った偽のメールも届きうることです。本物の連絡が来る前に偽物が先に届くこともあります。見分け方は後の節で説明します。

自分が対象かを確かめる方法

2026年10月20日時点で、会員が自分の情報が流出したかどうかを確かめる手段は、公式には用意されていません。サイトとアプリはサービスを停止しており、マイページにもログインできない状態です。対象件数も精査中で、会社は流出が確認された人に連絡すると発表しています。

いま確かめられることは、次の3つです。

コミックシーモアに会員登録しているか、どのメールアドレスで登録したか
コミックシーモアのパスワードを、他のサービスでも使っていないか
コミックシーモアに登録した生年月日を、他のサービスのパスワードや秘密の質問に使っていないか

登録したメールアドレスが分からない場合は、手元のメールの受信箱で「コミックシーモア」や「cmoa」と検索すると、購入の確認メールや会員登録のメールが見つかることがあります。そのメールが届いたアドレスが、登録したアドレスである可能性が高いと考えられます。複数のアドレスを持っている人は、それぞれの受信箱で探してください。

自分が対象かどうかが確定していなくても、上の3つに当てはまるなら、対象である前提で動いておくのが安全です。会社から連絡が来たときに「もう対策してあった」となれば、それで十分です。

なお、海外の無料サイトでメールアドレスの漏えいを調べる方法もあります。ただし、国内の事案は登録されるまでに時間がかかったり、登録されなかったりします。調べ方と注意点はHave I Been Pwnedの使い方で説明しています。

利用者が今日からすること

流出した項目に合わせて、会員がすることを優先する順に並べます。クレジットカード情報と住所は流出した項目に含まれていないので、ここではメールアドレス、パスワード、生年月日に関係する対策を中心に書きます。

使い回しているパスワードを変える

最優先は、コミックシーモアと同じメールアドレスとパスワードの組み合わせを使っている他のサービスです。第2報と第3報は、該当するサービスのパスワード変更を会員に求めています。変える順番は、お金や連絡手段に直結するものからです。

メール（Gmail、Yahoo!メール、携帯会社のメールなど）
ネット銀行、証券、カード会社の会員サイト
通販サイト、フリマアプリ、決済アプリ
SNS、他の電子書籍ストア、動画配信サービス

メールを最初にするのは、メールのアカウントを乗っ取られると、他のサービスの「パスワードを忘れた」から再設定の手続きを次々に進められてしまうためです。新しいパスワードは、サービスごとに別のものにします。覚えきれない場合は、パスワード管理アプリや、ブラウザのパスワード保存の機能を使うと、長くて複雑なものを無理なく使い分けられます。

生年月日を使ったパスワードや秘密の質問を見直す

今回は生年月日も流出しています。パスワードに誕生日の数字を入れている場合や、「誕生日は？」のような秘密の質問を設定している場合は、それも変えます。生年月日とメールアドレスが一緒に知られると、なりすましの材料になりやすいためです。

二段階認証を設定する

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードや認証アプリの表示などを入力しないとログインできないようにする仕組みです。パスワードが知られても、手元のスマートフォンがなければログインされにくくなります。メール、ネット銀行、通販サイトなど、主要なサービスの多くで設定できます。

カードの明細を一度見ておく

カード情報は流出していないと発表されています。それでも、偽のメールからカード番号を入力させる手口に備えて、直近1か月から2か月の明細に覚えのない請求がないかを見ておきます。覚えのない請求があれば、カードの裏面にあるカード会社の電話番号へ連絡してください。

コミックシーモアを装う偽のメール・SMSの見分け方

第2報と第3報は、流出した会員情報が悪用され、会社や関係者を装った不審なメールが届く可能性があると注意を呼びかけています。会社は会員に次のことを求めています。

身に覚えのないメールに書かれたURLや添付ファイルは開かない
不審なWebサイトで、個人情報やパスワードを入力しない

警察庁も、フィッシングの文面には「個人情報の漏えい」「不正アクセス検知」のように、切迫感をあおってログインさせようとするものが多いと注意しています。

電子メール等の文面は、「個人情報の漏えい」、「不正アクセス検知」、「取引の停止」等、切迫感を煽り、ログインさせようとするものが多数確認されています。出典: npa.go.jp

今回の流出に便乗しそうな文面の例と、見分けるときのポイントを整理します。

届きそうな文面	見分けるポイント
「不正アクセスの影響確認のため、こちらからログインしてください」	公式発表では、再開時のパスワード再設定の詳細は「再開時にお知らせ」とされている。再開の発表より前にログインを求めるメールは疑う
「お詫びのポイントを付与します。受け取りはこちら」	補償やお詫びの品は、2026年10月20日時点で発表されていない
「カード情報の再登録が必要です」	カード情報は対象システムで保有しておらず、流出していないと発表されている
「本棚のデータが消えました。復元手続きはこちら」	MY本棚の流出・消失・欠損は確認されていないと発表されている

警察庁は、メールの送信元の名前やアドレスは簡単に偽装できるため、表示だけで本物かどうかを判断するのは難しいとも説明しています。メールに書かれたリンクから開くのではなく、ブックマークや、自分で検索した公式のページから開いて確かめる習慣をつけてください。迷ったときは、NTTソルマーレのニュースリリースの一覧に同じ内容の発表があるかを見るのが確実です。

再開時のパスワード再設定で気をつけること

会社は、サービスの再開時に、すべての会員にパスワードの再設定を求める予定だと発表しています。詳細は再開時に知らせるとされています。この再設定は、偽のメールが最も紛れ込みやすい場面でもあります。再開の前に、次の点を決めておくと落ち着いて対応できます。

再設定の手続きは、メールのリンクからではなく、公式のアプリや、自分で開いた公式サイトから進める
再開の案内は、まずNTTソルマーレのニュースリリースで確かめる
新しいパスワードは、以前のパスワードを少し変えたものではなく、まったく別のものにする
他のサービスで使っているパスワードを流用しない

以前のパスワードの末尾の数字だけを変えるような再設定は、割り出された古いパスワードから推測されやすくなります。再設定は、長さのある、他と重ならないパスワードに切り替える機会と考えてください。

アプリで漫画を読んでいる人は、再開後にアプリを最新の版に更新するよう案内される可能性もあります。その場合も、メールやSMSのリンクからアプリを入れるのではなく、App StoreやGoogle Playのストアから更新してください。ストアの外から入れたアプリは、偽物である危険があります。

メールアドレスまで変える必要はあるか

パスワードは変えられても、メールアドレスは流出したまま残ります。迷惑メールや偽のメールが増えるのを避けるために、登録しているメールアドレスそのものを変えるべきか迷う人もいます。

結論から言うと、多くの人にとって、すぐにメールアドレスを捨てる必要はありません。メールアドレスは、通販サイトの購入確認、銀行からのお知らせ、家族や友人との連絡など、多くの場面で使われています。急に変えると、大事なお知らせが届かなくなる不便のほうが大きくなりがちです。まずはパスワードの変更と二段階認証で、アカウントに入られない状態を作ることを優先してください。

そのうえで、次のような場合は、新しいメールアドレスを用意して使い分けることを考えてもよいでしょう。

流出したアドレスに届く迷惑メールが目に見えて増え、本物のお知らせが埋もれるようになった
同じアドレスを、ネット銀行やカード会社の登録にも使っていて、偽のメールとの区別がつきにくい
仕事用と私用を同じアドレスで済ませていた

新しいアドレスを作る場合は、いきなりすべてを移すのではなく、ネット銀行やカード会社など大事なサービスから順に登録を変えていくと混乱が少なくなります。電子書籍ストアや通販サイトのように、流出しても被害が限られるサービス用に、別のアドレスを1つ持っておく方法もあります。

家族で1つのアカウントを共有している場合や、子どもが自分の生年月日で登録している場合は、家族のうち誰の情報が登録されていたかを確かめてください。生年月日と性別が流出しているので、その人を名指しした偽のメールが届く可能性があります。家族で「メールのリンクからはログインしない」という決まりを共有しておくと安心です。

問い合わせ先

2026年10月20日時点で、NTTソルマーレが本件の問い合わせ先として発表に載せているのは、次の窓口です。

名称：NTTソルマーレ株式会社経営企画部広報担当
メールアドレス：[email protected]

会員向けの専用の電話窓口や受付時間は、2026年10月20日時点の発表には載っていません。発表に書かれているのは上の広報担当の連絡先だけです。今後、会員向けの窓口が設けられた場合は、ニュースリリースで案内されると考えられます。

本件とは別に、不審なメールを開いてしまった、偽のサイトにパスワードを入力してしまったといった場合には、公的な相談窓口もあります。

情報処理推進機構（IPA）の情報セキュリティ安心相談窓口：電話03-5978-7509、受付は10時から17時（土日祝日と年末年始を除く）。ウイルスや不正アクセスの相談を受け付けている。詳しくはIPAの安心相談窓口のページにある
消費者ホットライン：電話188。近くの消費生活センターや相談窓口を案内してもらえる。詳しくは消費者庁の消費者ホットラインのページにある

お金の被害が出ている場合は、カード会社や銀行への連絡と、警察への相談を先にしてください。

在宅で仕事をする人が気をつけること

コミックシーモアは個人向けの電子書籍ストアですが、在宅で仕事をする人の中には、仕事用のメールアドレスで会員登録している人もいます。その場合は、私用のサービスの流出であっても、仕事の側に影響が及ぶ可能性があります。

まず、仕事用のメールアドレスで登録していたなら、そのアドレスを使っている仕事のツールのパスワードを確かめます。クラウドストレージ、請求書の作成サービス、取引先と共有しているチャットツール、クラウドソーシングのアカウントなどです。同じパスワードを使っていたら、すぐに変えてください。仕事のツールが乗っ取られると、取引先から預かった資料や、取引先の担当者の連絡先が見られる危険があります。

次に、取引先に知らせる必要があるかどうかです。今回流出したのは、あなた自身のメールアドレスや生年月日といった、あなたの情報です。取引先から預かった個人情報が流出したわけではないので、それだけで取引先に知らせる義務が生じるわけではありません。ただし、仕事のツールに不正ログインされた形跡がある場合は話が変わります。

個人情報保護法の第26条は、事業者が扱う個人データの漏えいなどが起き、本人の権利や利益を害するおそれが大きい場合に、個人情報保護委員会への報告と本人への通知を求めています。同じ条文には、他の事業者から個人データの扱いを任されている側が、任せた側に通知した場合の扱いも定められています。取引先から顧客名簿などを預かって作業している人が、その名簿を漏らしたおそれがある場合は、まず取引先に知らせることが出発点になると考えられます。

個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。出典: laws.e-gov.go.jp

個人情報保護委員会は、報告が必要になる場合として、不正アクセスによるもの、財産的な被害が生じるおそれがあるもの、本人の数が1,000人を超えるものなどを挙げています。詳しい要件は個人情報保護委員会の漏えい等の対応のページにあります。自分が報告や通知の対象になるかどうかは、契約の中身や扱っている情報によって変わります。判断に迷うときは、取引先の担当者と相談し、個人情報保護委員会の個人情報保護法相談ダイヤル（電話03-6457-9849）に問い合わせてください。

運営者の視点：私用のアカウントが仕事の信用につながる

@SOHOは2004年から在宅ワークとフリーランスの仲介を続けてきました。その運営の中で見てきたのは、長く仕事が続く人ほど、私用と仕事用のアカウントをきちんと分けているということです。仕事用のメールアドレスで漫画のストアや通販サイトに登録していると、今回のような私用のサービスの流出が、そのまま仕事の道具の危険につながります。

発注する側は、スキルや単価と同じくらい「この人に資料を渡して大丈夫か」を見ています。依頼者と受注者が直接やり取りする取引では、間に立つ会社が情報の管理を肩代わりしてくれません。中間のマージンが乗らない手数料0%の直接取引は、受け手の手取りが厚くなる一方で、アカウントの扱いの丁寧さがそのまま信用として評価される取引でもあります。流出の公表が出たときに、すぐにパスワードを見直し、必要なら取引先に説明できる人は、それだけで任せやすい相手になります。

情報セキュリティの知識は、それ自体が仕事にもなります。企業のセキュリティ対策や、社内のルール作りを支援する仕事の内容は、AI・マーケティング・セキュリティのお仕事で紹介しています。取引先への報告文や社内向けの手順書を書く力を証明したい人には、ビジネス文書の作成能力を認めるビジネス文書検定が参考になります。ネットワークの基礎から学びたい人には、シスコ社の技術者認定であるCCNA（シスコ技術者認定）があります。

ログインにパスワード以外の要素を組み合わせる仕組みを詳しく知りたい人は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版が役に立ちます。偽のメールを見抜く力を組織で身につける方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドで説明しています。

よくある質問

Q. コミックシーモアの不正アクセスでクレジットカード情報は漏れましたか？

NTTソルマーレは、クレジットカード情報は本件の対象システムでは保有しておらず、流出していないと発表しています。流出したのはメールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームです。ただし、カード情報の再入力を求める偽のメールが届く可能性はあるので、メールのリンクからカード番号を入力しないようにしてください。