JFA Passportの情報漏洩｜公式アプリへの不正アクセスと利用者が確かめること 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓JFA Passportの情報漏洩が心配な人へ
✓日本サッカー協会が2026年10月18日に発表した公式アプリへの不正アクセスについて
✓ログアウトや再インストールを控える理由

公益財団法人日本サッカー協会（JFA）は2026年10月18日、公式アプリ「JFA Passport」に第三者による不正アクセスがあったと発表しました。不正アクセスは10月17日の3時25分頃から19時頃まで続き、アプリの機能の一部を一時的に止めています。個人情報を含む利用者情報への影響は調査中で、2026年10月20日時点で、漏えいした件数や項目は発表されていません。利用者がまずすることは、JFAのお願いどおり、当面はアプリのログアウト、再ログイン、再インストールを控えることと、JFAを名乗って再ログインや入力を求めるメールやSMSのリンクを開かないことです。

この記事では、JFAの発表をもとに、分かっていることと、まだ分かっていないことを分けて整理します。あわせて、JFA Passportがどんな情報を扱うアプリなのか、なぜ操作を控えるよう求められているのか、子どもの選手登録で保護者がアプリを使っている家庭が気をつけることまでを説明します。

2026年10月20日時点で分かっていること

最初に、JFAの発表で確かめられる事実を並べます。

対象はJFAの公式アプリ「JFA Passport」です
2026年10月17日3時25分頃から19時頃まで、アプリに対して第三者による不正アクセスがありました
不正アクセスを検出したあと、アプリのサービス提供会社と連携して、不正アクセスの経路の遮断などの対策を取りました
その影響で、アプリの一部のサービスが使えない状態になっています
個人情報を含む利用者情報への影響は調査中で、詳細は確認中としています
現時点の調査では、JFAが使っているその他のシステムへの影響は確認されていないとしています
情報漏えいが確認された場合は、関係法令等を踏まえて適切に対応するとしています
利用者には、当面の間、アプリからのログアウト、再ログイン、再インストール等の操作を控えるよう求めています

つまり、2026年10月20日時点で分かっているのは「不正アクセスがあった」ことまでで、「何が漏れたか」「漏れたかどうか」は分かっていません。この記事では、調査中のことを推測で埋めることはしません。そのうえで、調査の結果を待つ間に利用者ができることを整理します。

発表の経緯

JFAの発表は、2026年10月18日の1本です。2026年10月20日時点で、JFA.jpの最新ニュースの一覧に、この件の続報は出ていません。

日時	出来事
2026年10月17日3時25分頃	JFA Passportに対する第三者による不正アクセスが始まる
2026年10月17日19時頃	不正アクセスが続いたのはこの頃まで
2026年10月17日（検出後）	アプリのサービス提供会社と連携し、不正アクセスの経路の遮断などの対策を取る。アプリの一部のサービスが使えない状態に
2026年10月18日	JFAが「JFA公式アプリ「JFA Passport」への不正アクセスについて」を発表

発表は、調査と復旧の状況について、公式サイトJFA.jpで知らせるとしています。続報を確かめるときは、検索結果やSNSの投稿ではなく、JFA.jpの最新ニュースの一覧から開くのが確実です。

原文はJFAの2026年10月18日の発表で読めます。

JFA Passportはどんな情報を扱うアプリか

漏えいの心配を考えるには、そもそもアプリがどんな情報を扱っているかを知っておく必要があります。App StoreのJFA Passportのページで、JFA（Japan Football Association）が説明している内容を整理すると、次のようになります。

JFAの公式アプリで、選手、指導者、審判、ファン、サポーターなど、すべてのサッカーファミリーのためのアプリと説明している
JFA IDでログインして、JFA Passport会員証を発行する
JFAや各都道府県のサッカー協会が配信するニュースやお知らせを、プロフィール情報をもとに届ける
選手、審判、指導者の登録がある人は、登録番号と紐づけることで、電子登録証を表示できる
イベントの申し込みとチェックイン、キャンペーン、クーポン、動画の視聴ができる
「My Passport」で、選手、指導者、審判に関する登録情報やイベントの参加履歴などを表示する

アプリの説明はApp StoreのJFA Passportのページで読めます。

ここで大事なのは、これは「アプリが扱っている情報」であって、「漏れた情報」ではないということです。JFAは、利用者情報への影響を調査中としていて、どの情報が見られたのか、そもそも見られたのかを発表していません。下の表は、発表で確かめられることと、調査中のことを分けたものです。

区分	内容
発表で確かめられること	不正アクセスがあった日時（10月17日3時25分頃から19時頃）
発表で確かめられること	一部のサービスが使えない状態であること
発表で確かめられること	JFAのその他のシステムへの影響は、現時点の調査では確認されていないこと
調査中とされていること	個人情報を含む利用者情報への影響、被害の範囲
発表に記載がないこと	漏えいした件数、項目、クレジットカード情報やパスワードの扱い

「発表に記載がないこと」の行は、漏れたという意味でも、漏れていないという意味でもありません。発表が触れていないというだけです。続報で項目が示されたら、そこで初めて、自分が何をすればよいかが具体的に決まります。

原因：第三者による不正アクセス

JFAの発表は、原因を「第三者による不正アクセス」と書いています。どこからどのように侵入したのか、アプリのどの部分が狙われたのかといった詳しい説明は、2026年10月20日時点の発表にはありません。

発表には、「本アプリのサービス提供会社」という言葉が何度か出てきます。アプリの仕組みを作り、動かしているのは、JFAとは別の会社だということです。団体や会社が公式アプリを出すとき、アプリの開発や運用を外部の会社に任せるのはよくある形で、今回もその会社と連携して対策と調査を進めていると説明しています。サービス提供会社の名前は、発表に書かれていません。

不正アクセスとは、利用する権限のない人が、他人のIDやパスワードを使ったり、システムの弱点を突いたりして、コンピューターやサービスに入り込むことです。何が起きたかによって、利用者がすべきことは大きく変わります。

利用者のIDとパスワードが使われた場合は、パスワードの変更が中心になる
システムの弱点を突かれて登録情報が見られた場合は、見られた項目に合わせた対策が必要になる
機能を止めるための攻撃だった場合は、情報の漏えいは起きていないこともある

今回がどれにあたるのかは、まだ発表されていません。発表に書かれているのは、不正アクセスが3時25分頃から19時頃まで、15時間あまりにわたって続いたことと、検出後に経路を遮断したことまでです。時間の長さだけから、何が起きたかを判断することはできません。続いた時間が長くても情報が見られていないこともあれば、短くても見られていることもあるからです。分からない段階で、思い込みで対策を急ぐと、かえって本物の案内を見落としたり、偽の案内に乗ってしまったりします。いまは、次の節で説明するJFAのお願いを守りつつ、続報を待つのが筋の通った対応です。

なぜログアウトや再インストールを控えるよう求めているのか

JFAの発表で、利用者に向けて具体的に書かれているお願いは1つです。原文を引きます。

なお、本アプリをご利用の皆さまにおかれましては、安定したサービス提供に向けた確認を行っておりますので、当面の間、アプリからのログアウト、再ログイン、再インストール等の操作はお控えいただきますようお願いいたします。出典: jfa.jp

理由として発表に書かれているのは「安定したサービス提供に向けた確認を行っております」という点です。漏えいのニュースを見ると、アプリを消して入れ直したり、一度ログアウトしてログインし直したりしたくなる人もいます。しかし今回は、その操作を控えるよう、JFA自身が求めています。

一般に、システムの確認や復旧の作業中にログインの操作が集中すると、仕組みに負担がかかったり、ログインに必要な機能が止まっているために、ログアウトしたあと入り直せなくなったりすることがあります。今回のお願いの背景を発表は詳しく説明していませんが、少なくとも、利用者が自分の判断で操作するより、JFAの案内を待つほうがよい状況だということは読み取れます。

このお願いは、偽のメールを見分けるうえでも役に立ちます。JFAが「当面は再ログインを控えて」と求めている以上、「不正アクセスの件で、今すぐ再ログインしてください」と促すメールやSMSは、発表の内容と食い違います。そうした連絡が届いたら、まず疑ってかかる理由になります。

一部のサービスが使えない間に気をつけること

JFAの発表は、被害の拡大を防ぐための対策に伴って、アプリの一部のサービスが使えない状態になっていると書いています。どの機能が止まっているのかは、発表に書かれていません。

App Storeの説明によると、JFA Passportには、選手、審判、指導者の電子登録証の表示や、イベントの当日のチェックインといった、試合や行事の現場で使う機能があります。大会や試合、講習会などで、アプリの画面を見せる予定がある人は、アプリが使えなかったときにどうするかを、先に確かめておくと安心です。

試合で登録の確認が必要な場合は、所属するチームの指導者や、大会の主催者に、アプリが使えないときの扱いを確かめる
申し込んだイベントのチェックインがアプリで予定されている場合は、主催者の案内を確かめる
確かめるときは、メールやSMSのリンクではなく、主催者の公式サイトや、ふだん使っているチームの連絡手段を使う

アプリが使えないことにあせって、ネットで見つけた「代わりの方法」や、知らない人から送られてきた「アプリの直し方」に頼るのは避けます。JFAが当面の操作を控えるよう求めている以上、アプリの扱いはJFA.jpの続報で案内されるのを待つのが確実です。

自分が対象かを確かめる方法

2026年10月20日時点では、影響の範囲が調査中のため、誰が対象かは発表されていません。いまの段階で確かめられるのは、次の点です。

JFA Passportのアプリを入れて、JFA IDでログインしているかを確かめる
自分だけでなく、家族の分のJFA IDやアプリの利用がないかを確かめる。子どもの選手登録を保護者が管理している家庭は特に
JFA.jpの最新ニュースの一覧で、この件の続報が出ていないかを確かめる

発表は、情報漏えいが確認された場合は関係法令等を踏まえて適切に対応するとしています。個人情報保護委員会は、不正アクセスなど不正の目的で行われたおそれのある漏えいについて、事業者が委員会に報告し、本人に知らせる義務を負うと定めています。漏えいが確認されれば、対象の人に何らかの形で知らせが届くと考えられますが、知らせの形や時期は発表に書かれていません。

知らせを待つ間に、JFAを名乗るメールが届くことがあるかもしれません。そのメールが本物かどうかは、次の節の手順で確かめます。

JFAやJFA Passportを名乗る偽メールの見分け方

大きく報道された団体の名前は、詐欺のメールの差出人として使われやすくなります。サッカーの試合のチケットやキャンペーンは関心が高く、「チケットが当たりました」「会員証の更新が必要です」といった文面は、偽のメールの題材にもされやすいものです。見分けるときの手順を整理します。

差出人の表示名を信じない

メールの差出人欄に「JFA」と表示されていても、それだけでは本物の証拠になりません。表示名は送る側が自由に設定できるからです。表示名の横か、タップして表示される実際のメールアドレスを見て、ドメイン（@より後ろの部分）を確かめます。JFAの公式サイトのドメインは jfa.jp です。ただし、団体はメールの配信に別のドメインを使うことがあるので、ドメインが違うから偽物とも言い切れません。迷ったときは、次のリンク先の確認に進みます。

再ログインやID、パスワードの入力を求める連絡は、発表と食い違う

「なぜログアウトや再インストールを控えるよう求めているのか」の節で説明したとおり、JFAは当面、アプリの再ログインを控えるよう求めています。「不正アクセスがあったため、本人確認として再ログインしてください」「パスワードを再設定してください」というメールやSMSが届いたら、JFA.jpに同じ案内が出ているかを確かめるまで、リンクを押さないことです。JFAが方針を変えて再ログインやパスワードの変更を求めるときは、JFA.jpの続報で知らせるはずです。

「チケット当選」「お詫びのクーポン」を名目にした誘導に気をつける

漏えいのあとによく見られるのが、「お詫びとしてクーポンを差し上げます」「特別にチケットをご用意しました」といった文面で入力を促す手口です。JFAの発表には、お詫びの特典についての記載はありません。発表にない特典を案内するメールが届いたら、公式サイトで同じ案内があるかを確かめるまで、何も入力しないことです。

急がせる文面は、それだけで疑う理由になる

「24時間以内に手続きしないと登録が無効になります」のように期限を切って急がせる文面は、考える時間を奪うための典型的な書き方です。選手登録や審判登録は、試合に出られるかどうかに関わるので、「登録が無効になる」という言葉にはあわてやすいものです。急かされたときほど、一度手を止めて、所属するチームや都道府県のサッカー協会、JFA.jpで確かめる習慣をつけておくと被害を防げます。

社内やチームでこうした見分け方を共有したい人には、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果が参考になります。フィッシングとは、本物そっくりの偽のメールやサイトで、IDやパスワードをだまし取る手口のことです。

利用者がすること：いまできることと、続報を待つこと

漏れた項目が分かっていない段階なので、いまやることは「アプリの操作を控える」「偽の連絡に乗らない」「アプリとは別のところで守りを固める」の3つに絞られます。

やること	いまやるか	理由
アプリのログアウト、再ログイン、再インストール	控える	JFAが当面控えるよう求めている
JFAを名乗るメール、SMSへの警戒	やる	報道で名前が知られたことで、なりすましの材料にされやすい
JFA IDと同じパスワードをほかのサービスで使っていれば、ほかのサービスのパスワードを変える	やる	アプリの操作をせずにできる守り。使い回しによる被害の広がりを防げる
二段階認証の設定（ほかのサービス）	やる	パスワードが知られても、それだけではログインされにくくなる
JFA IDのパスワードの変更	続報を待つ	発表上は求められておらず、アプリの操作を控えるよう求められている
クレジットカードの明細の確認	気になる人は見ておく	発表に記載はないが、明細を見る習慣はどの漏えいでも役に立つ

表の3行目は、少し分かりにくいかもしれません。JFA IDのパスワードと同じものを、メールアカウントや買い物のサイトでも使っているなら、そちらのパスワードをいま変えておくということです。JFA Passportの操作には触れないので、JFAのお願いと食い違いません。仮に今回の件でパスワードが関わっていたと後で分かっても、ほかのサービスまで被害が広がるのを先に防げます。

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなど、もう1つの確認を求める仕組みのことです。多要素認証とも呼ばれます。仕組みと種類はMFA（多要素認証）導入のメリットと製品比較で詳しく説明しています。会社向けの記事ですが、認証の仕組みそのものは個人のアカウントでも同じです。

自分のメールアドレスが、今回の件とは別に、過去にどこかのサービスの漏えいに含まれていないかを確かめたい人は、海外の無料サイトで調べる方法があります。調べ方と画面の見方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法で順を追って説明しています。国内の漏えいはそのサイトに載らないことも多いので、結果の読み方もあわせて確かめてください。

スマートフォンの側でできる守り

アプリの運営側で起きた不正アクセスは、利用者の側では防げません。それでも、自分のスマートフォンの側で守りを固めておくと、偽のメールやアプリに引っかかったときの被害を小さくできます。JFA Passportの操作には触れずにできることを並べます。

スマートフォンのOS（基本のソフト）を最新の状態にしておく。古いままだと、知られている弱点を突かれやすくなる
アプリは、App StoreやGoogle Playなど公式のストアからだけ入れる。メールやSMSのリンクから、アプリの入れ直しを促されても従わない
画面のロックを設定し、端末をなくしたときに遠隔で探したり消去したりできる機能を有効にしておく
身に覚えのない設定の追加（プロファイルの導入など）を求められたら、その場で止める

とくに2つ目は、今回の件と関わりが深い点です。JFAは再インストールを控えるよう求めているので、「新しいアプリに入れ替えてください」といって、ストア以外の場所からアプリを入れさせようとする連絡は、発表と食い違います。

パスワードの使い回しを見つける方法

「JFA IDと同じパスワードをほかのサービスで使っていれば変える」と書きましたが、どこで同じパスワードを使っているかを覚えていない人も多いはずです。使い回しを見つけて直すには、パスワード管理の機能を使うのが近道です。

スマートフォンやブラウザには、保存したパスワードを一覧で見られる機能や、同じパスワードを複数のサイトで使っていると知らせる機能が入っていることがあります。そうした機能で一覧を開き、同じパスワードが並んでいるサービスを、大事なものから順に変えていきます。全部を一度に変えなくても、メールアカウント、ネットバンキング、仕事で使うサービスの3種類を先に変えるだけで、被害が広がる道の多くを断てます。

新しいパスワードは、ほかのサービスと違うものにし、長めにすることが基本です。覚えきれない場合は、パスワード管理の機能に保存しておけば、毎回思い出す必要はありません。

子どもの選手登録を保護者が管理している家庭へ

JFA Passportは、選手、指導者、審判の登録と結びつけて使えるアプリです。サッカーをしている子どもの登録を、保護者がアプリで管理している家庭も多いはずです。こうした家庭では、気をつけることが少し増えます。

まず、子ども本人のスマートフォンにアプリが入っている場合は、JFAのお願いを子どもにも伝えておきます。子どもは、アプリの調子が悪いと、自分でアプリを消して入れ直してしまうことがあります。「しばらくアプリを消したり、ログインし直したりしないでね」と一言伝えておくと安心です。

次に、子どもあてに届くメッセージにも気をつけます。チケットのプレゼントや、好きな選手のイベントをうたう連絡は、子どもにとって魅力的で、確かめずにリンクを押してしまいがちです。家庭で次のような約束を決めておくと、被害を防ぎやすくなります。

サッカーやJFAに関するメールやSMSが届いたら、リンクを押す前に保護者に見せる
IDやパスワード、家の住所、電話番号を入力する画面が出たら、そこで止めて保護者に知らせる
チームのコーチや保護者どうしで回ってきた連絡も、JFA.jpに同じ案内があるかを確かめてから動く

家族で1台のタブレットやスマートフォンを共有していて、そこに子どもの分のJFA Passportが入っている場合もあります。共有の端末は、誰がいつ操作したかが分かりにくく、家族の誰かが善意でアプリを入れ直してしまうこともあります。家族全員に、当面はアプリを触らないことを伝えておくと、JFAのお願いを確実に守れます。あわせて、共有の端末に保存されたパスワードの一覧も、この機会に見直しておくと安心です。

チームの指導者や保護者会の連絡係をしている人は、チームの連絡網で「JFAの発表はJFA.jpで確かめる」「再ログインを促す連絡は疑う」という2点を共有しておくと、チーム全体の被害を防げます。

問い合わせ窓口

JFAの2026年10月18日の発表には、この件専用の問い合わせ窓口の名称や電話番号は書かれていません。発表は、調査と復旧の状況をJFA.jpで知らせるとしています。この記事では、発表に載っていない窓口の番号は書きません。

この件とは関係なく、不審なメールやSMSを受け取って判断に迷ったときは、公的な相談窓口を使えます。

情報処理推進機構（IPA）の情報セキュリティ安心相談窓口。ウイルスや不正アクセスに関する技術的な相談を受け付けていて、電話は03-5978-7509、受付は10時00分から17時00分（土日祝日と年末年始を除く）です。詳しくはIPAの情報セキュリティ安心相談窓口に載っています
個人情報保護委員会の個人情報保護法相談ダイヤル。事業者の個人情報の取り扱いに関する苦情や、制度についての質問を電話で受け付けていて、電話は03-6457-9849、受付は9時30分から17時30分（土日祝日と年末年始を除く）です

偽のメールでお金を払ってしまった、カード番号を入力してしまったという場合は、カード会社の窓口に連絡してカードを止めることが先です。そのうえで、最寄りの警察署や消費生活センターに相談します。

続報が出たときの読み方

JFAは、今後新たに公表すべき事実が分かった場合は速やかに知らせるとしています。続報が出たときに、落ち着いて読むための見どころを先に整理しておきます。

漏えいが「確認された」のか、「おそれがある」のか、「確認されなかった」のか。言葉の違いで、取るべき行動の重さが変わる
漏えいした項目は何か。メールアドレスだけか、氏名や生年月日、登録番号まで含むのか、パスワードやカード情報は含まれるのか
会社や団体が「含まれない」と明記した項目は何か
対象の人にどう知らせるのか。メールか、アプリの通知か、郵送か
利用者に何を求めているのか。パスワードの変更や、アプリの操作の再開の時期など

特に4は大事です。知らせの形が発表で示されれば、それ以外の形で届いた連絡を疑う目安になります。たとえば「対象の方にはアプリの通知でお知らせします」と書かれていれば、同じ件をうたうSMSは疑ってかかる理由になります。

在宅で仕事をする人が気をつけること

ここからは、フリーランスや在宅で仕事をする人に向けた話です。サッカーの指導者や審判として活動しながら、ほかの仕事を在宅で受けている人や、チームの運営を手伝っている人もいるはずです。

チームの運営を手伝っていると、選手や保護者の名前、連絡先といった情報を預かることがあります。個人情報保護委員会は、事業者が漏えいの報告と本人への通知の義務を負う場合として、要配慮個人情報（病歴など特に配慮が必要な情報）を含むもの、不正に使われて財産的な被害が出るおそれがあるもの、不正の目的をもって行われたおそれがあるもの、本人の数が1,000人を超えるものを挙げています。同委員会の資料では、個人情報を「事業の用に供している」かどうかは営利か非営利かを問わないと説明しています。詳しくは個人情報保護委員会の漏えい等報告のページで確かめられます。

今回のJFA Passportの件で、アプリの利用者情報を管理しているのはJFAです。個人の利用者が、取引先やチームの関係者に報告する義務を負う場面ではありません。ただ、仕事用のメールアドレスでJFA IDを登録していた場合は、そのアドレスあてに偽のメールが届くかもしれません。うっかり開いてパソコンがウイルスに感染すると、取引先から預かったデータが危険にさらされます。自分のアカウントの問題が、取引先の情報の問題に変わるのはこの瞬間です。

仕事用のアドレスは、趣味や地域の活動のサービスには使わず、分けておくのが基本です。取引先やチームの関係者に事故の連絡を書く必要が出たときは、事実と推測を分け、分かっていないことは分かっていないと書きます。ビジネス文書検定の内容は、こうした連絡の文書を整える練習にもなります。

運営者の視点：分からないときに待てる人が信頼される

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。その中で感じるのは、トラブルが起きたときに信頼されるのは、すぐに動く人よりも、分かっていることと分かっていないことを分けて、必要なことだけをする人だということです。今回のJFA Passportの件のように、影響が調査中の段階では、案内を待つことも立派な対応です。

在宅で働く人は、取引先ごとに違うサービスを使い、登録先が自然と増えます。どのサービスにどのアドレスで登録しているかを一覧にし、仕事用と私用のアドレスを分け、大事なアカウントに二段階認証を設定しておけば、漏えいの発表が出たときにも落ち着いて判断できます。

中間の手数料がかからない直接の取引では、依頼する側は同じ予算でより多くの仕事を頼めて、受ける側は手取りが厚くなります。その分、情報の扱いや連絡の決まりを当事者どうしで決める場面も増えます。セキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。