「がっつり不正アクセスされてて、43万のMacBook Pro注文されてた」

2026年11月4日、ヨドバシ・ドット・コムの利用者がそう書いた投稿が、ネットで一気に広がっています。

本人は、注文が「クレカ認証でストップかかったっぽい」と書いていました。

いっぽうでネットには、ヨドバシはぱっと見ガバ（守りがゆるい）に見えても、実は不正利用がかなり難しい作りになっている、という声もあちこちで流れています。

 

ところが、その前日の11月3日には、別の利用者のアカウントでポイントを使った注文が入り、商品が発送まで進んでいました。

止まった43万円と、発送まで進んだ9,940ポイント。

同じヨドバシのアカウントに入られたのに、どうして結果が分かれたのでしょうか。

今回は、ヨドバシの不正ログインで何が守られていて、何が守られていないのかを、公式の案内と会員規約からわかりやすく解説していきたいと思います。


よそで漏れた鍵で開いたドア

まず、ヨドバシ・ドット・コムから会員の情報が漏れた、という発表は出ていません。

ヨドバシが2026年10月21日に更新した注意喚起は、タイトルからして「パスワード使い回しによる不正ログイン」でした。

ほかのサービスで知られてしまったメールアドレスとパスワードの組み合わせを、ヨドバシでそのまま試されるという形です。

そしてヨドバシのログインは、メールアドレスとパスワードを打てば入れる作りで、二段階認証（パスワードのほかにスマホへ届く番号などでも確かめる仕組み）やパスキー（スマホの指紋や顔でログインする仕組み）を設定する案内は、公式のページに見当たりません。

同じ週には、ビックカメラの情報流出のニュースも出ていました。

産経新聞によると、ビックカメラはメール配信を委託している事業者のシステムが不正アクセスを受け、顧客のメールアドレスなど約1490万件が流出した可能性があると発表しています。

家電量販店どうしで紛らわしいのですが、こちらは別の会社の話で、クレジットカード情報やネット通販のログイン情報は含まれていないとのこと。

 

ヨドバシから漏れていなくても、入口がパスワードひとつなのは変わりません。

実際、ポイントで注文された利用者も、あとから「不正ログインされたのは私がパスワード使い回してたせいです！」と自分で書き足していました。

そこまで言われると、こちらもわが身を振り返ってしまいますよね。

 

堅いと言われる3つの鍵の中身

では、ぱっと見ガバでも本当は堅い、という見方はどこまで当たっているのでしょうか。

その見方を支えている理由は、だいたい次の三つでした。

  • 新しい配送先を指定すると、カード情報を入れ直させられる
  • カードで払うときは、3Dセキュアという本人確認が必ずかかる
  • パスワードを変えると、登録したカード情報が消える

配送先の話は、支払い方法の案内にちゃんと書いてあります。

初めてのお届け先や、自宅以外の配達先を指定したときは「セキュリティー確保のため、再度ご入力いただく場合がございます」。

ただし語尾は「場合がございます」で、毎回かならずとまでは書かれていません。

そして3Dセキュアは、カード会社がやっている本人確認の仕組みで、スマホに届くワンタイムパスワードや指紋・顔で「本当に本人ですか」を確かめるものです。

ヨドバシがこれを入れたのは、2022年12月23日のこと。

ところがその案内は、追加の確認をするのは「クレジットカード会社が必要と判断した場合のみ」だと書いています。

必ずかかる仕組みとは、少し違っていました。

 

意外だったのは、パスワードを変えるとカード情報が消える、という最後の理由。

支払い方法の案内にも、不正ログインの注意喚起にも、パスワードを変えるとカード情報が消えるという説明は見当たりません。

ネットにも、パスワードを変えたのにカード情報が残っていた、という声が出ています。

そして、その言い回しにそっくりな一文が、2021年に出回った偽メールの本文にありました。

INTERNET Watchが伝えたヨドバシを名乗るフィッシングメールには、「パスワードのリセット時に登録したクレジットカード情報削除させていただきます」と書かれていたそうです。

本物の案内には見当たらない一文が、偽メールの中には残っていました。

ヨドバシ自身が必ずかけている鍵は、案内の上では見当たりません。

配送先の確認は「場合がある」の形で、3Dセキュアはカード会社の鍵でした。


43万円の注文を止めたカードの鍵

それでもあのMacBook Proは、実際に止まっています。

では、何が止めたのでしょうか。

この人は、ログインもパスワードの変更もできなくなり、電話でログインできるようにしてもらったところで注文に気づいたそうです。

本人の見立ては「クレカ認証」で、10月27日にも、カートに40万円近いアップル製品を入れられた人が、カードの「2段階認証のおかげで大丈夫だった」と書いていました。

この認証は、カードの側にかかっている3Dセキュアのことだと読めます。

3Dセキュアは、カード業界の安全対策ガイドラインで、2025年3月末までに原則すべてのネット通販の店に入れるよう求められてきました。

ただ、決められたのは店に仕組みを入れることで、毎回の買い物で確認を求めることではありません。

いつ確認を出すかは、カード会社が金額や買い方を見て決めています。

ふだんと違う買い方だけを止める、リスクベース認証と呼ばれるやり方。

毎回止めていたら、本人の買い物まで止まってしまいます。

ネットには、ヨドバシで不正利用されたカードのうち、安い買い物は通って、高い買い物だけ確認で止まっていた、と書いている人もいました。

カード会社ごとに判断が違うので、どの金額で線が引かれるのかは外からは分かりません。

それでも、43万円の注文を止めたのはカード会社の判断だったとみるのが自然です。

 

しかもカードには、もうひとつ後ろの守りがあります。

カード会社は会員規約で、不正に使われた分を補償する仕組みを設けているんです。

補償される期間や条件はカード会社ごとに決まっているので、手元のカードの規約は一度見ておきたいところ。

 

ポイントにはパスワード以外の鍵がない

ここまでは、カードで払った場合の話。

ポイントで注文された利用者は、事情がまったく違っていました。

お店で買い物をしていたらアプリからログアウトされていて、メールを見返して不正ログインに気づき、電話でアカウントを取り戻したそうです。

添えられた画面を見ると、注文されたのはNintendo Switchのコントローラーと充電グリップで、支払いはゴールドポイントの9,940ポイントでした。

配達状況はどちらも「発送が完了しました」。

MacBookの注文が止まって助かった人は「ポイント支払だったらノーチェックで通ってたかと思うと怖いなぁ」と書いていましたが、それは11月3日に、もう別の人の身に起きていました。

 

カードには3Dセキュアというカード会社の鍵がありますが、ポイントで払うときに、カード会社は出てきません。

ポイントはヨドバシの中だけで動くお金なので、外のカード会社が止めに入る場面がないんです。

ヨドバシ自身も、注意喚起の中で守る対象をはっきり名指ししていました。

「お客様の大切な情報やゴールドポイントを守るため」、パスワードの使い回しを避けてほしい、と。

同じ注意喚起に並んだ偽メールの件名には、「【ヨドバシ】ゴールドポイントカード 有効期限間近のお知らせ」まで入っていました。

ポイントそのものが、だまして入り込むための口実にも使われています。

 

では、使われてしまったポイントはどうなるのでしょうか。

ヨドバシ・ドット・コム会員規約の第3条には、こう書かれています。

「会員によるID・パスワードの管理不充分、誤使用、第三者の使用に起因する損害については会員自身の責任とし、ヨドバシカメラは一切の責を負いません。」

続く項には、IDとパスワードで行われた利用は、その会員がしたものとみなすことにも同意する、とあります。

ヨドバシの側に故意や過失があった場合は別、という但し書きは付いていますが、規約の文面の上では、カードのような補償の仕組みは書かれていません。

しかも同じ規約の第4条では、ポイントは「1ポイント＝1円」で計算されると定められています。

長い買い物の積み重ねでためたポイントが、パスワードを知られただけで、そのまま現金と同じように使えてしまう。


今日のうちにできる4つのこと

ヨドバシがログインに二段階認証を入れれば話は早いのですが、入れるという話は公式の案内には見当たりません。

入るのを待つあいだに、利用者の側でできることは、次のとおりです。

  • ヨドバシだけのパスワードに変える
  • 使っているカードの本人確認と利用通知を、カード会社のアプリで確かめる
  • ポイント残高と注文履歴を、ときどき開いて見る
  • メールのリンクからはログインしない

まずパスワードは、ヨドバシ自身が注意喚起でいちばん先にお願いしていること。

ほかのサービスと同じパスワードのままなら、どれだけヨドバシ側の仕組みを調べても、入口は開いたままになります。

カードの確認は、カードの鍵を自分の手で確かめる作業です。

ヨドバシの案内も、3Dセキュアの登録方法や登録状況はカード会社で確認してほしいと書いています。

 

ポイントの確認が、いちばん見落としやすいところでした。

ネットでは「カード情報を削除した」という声がたくさん見られますが、削除で守れるのはカードで払う分だけで、ポイントは残高ごとアカウントに残ったまま。

ポイントで注文された利用者が気づくきっかけは、アプリから急にログアウトされていたこと。

MacBookの人も、ログインできなくなって電話で戻してもらっていて、ふたりとも最後は電話でアカウントを取り戻していました。

規約にも、IDやパスワードが第三者に使われていると分かったら「直ちにヨドバシカメラに通知する」とあるので、身に覚えのない注文やポイントの減り方を見つけたら、すぐ電話するのがいちばん早いと思います。

 

最後のひとつは、偽メールへの備えです。

注意喚起には、「パスワード変更のご連絡」「カード情報更新のお知らせ」といった、ヨドバシを名乗る偽メールの件名がずらりと並んでいました。

騒ぎのさなかに届く、パスワードの変更をうながすメールほど、本物に見えてしまうもの。

会員情報の確認やパスワードの変更は、公式サイトか公式アプリから入ってほしい、とヨドバシは書いています。

ヨドバシは堅いのかガバなのか、という問いには、カードには鍵があって、ポイントには無いと答えるしかありません。

ヨドバシの仕組みが変わるのを待つより先に、今夜パスワードをヨドバシだけのものに変えて、ポイントの残高も一度見ておきたいですね。