オンライン麻雀「Maru-Jan（マルジャン）」を運営する株式会社シグナルトークは、2026年11月7日、外部からの不正アクセスにより全会員185万5,578人分のパスワードと、登録されていたメールアドレスが流出したと発表しました。サービスは同日16時に再開していますが、これまでのパスワードでもログインできる状態のままです。Maru-Jan のパスワードを今すぐ変え、同じパスワードを使っているほかのサービスも変更してください。
この記事では、運営会社が公表した内容を整理したうえで、利用者がやるべきことを手順の形でまとめます。「もう何年もログインしていない」という人も対象なので、心当たりがある人は最後まで確認してください。
Maru-Janのパスワード流出、何が起きた？
Maru-Jan は、PC・スマートフォン・タブレットなどで遊べるオンライン麻雀ゲームです。運営会社の発表では、社内の管理システムの機能が悪用され、2026年11月4日（水）15時頃に会員情報のデータが外部からダウンロードされたことが確認されました。
運営会社は11月6日に臨時メンテナンスを告知し、ゲームへのログインと会員ページを一時停止。侵入経路を特定して悪用された箇所に対策を行い、11月7日（土）16時にサービスを再開しました。流出の事実は同日16時30分に公表されています。
① 対象は Maru-Jan の全会員、185万5,578人分
② 流出したのはパスワードと、登録している人のメールアドレス
③ 旧パスワードでもログインできるため、自分で変更する必要がある
公表された時系列
| 日時（2026年） | 出来事 |
|---|---|
| 11月4日（水）15時頃 | 管理システムの機能が悪用され、会員情報データが外部からダウンロードされる |
| 11月6日（金） | サイバー攻撃による臨時メンテナンスを告知。ログインと会員ページを停止 |
| 11月7日（土）16時 | 悪用された箇所への対策を終え、サービスを再開 |
| 11月7日（土）16時30分 | パスワードとメールアドレスの流出を公表 |
| 11月20日（金）24時 | お詫びの3,000ポイントの受け取り期限 |
流出した情報と、流出していない情報
| 項目 | 公表内容 |
|---|---|
| 対象者 | Maru-Jan の全会員（185万5,578人） |
| パスワード | 流出を確認 |
| メールアドレス | 流出を確認（メールアドレスを登録している人のみ） |
| クレジットカード番号 | 運営会社が預かっていないため、流出していない |
| パスワードの保存方法 | 発表では触れられていない |
| 侵入の詳しい手口 | 「管理システムの機能が悪用された」とだけ説明。詳細は公表されていない |
注意したいのは、メールアドレスとパスワードがセットで流出している点です。この組み合わせがあれば、第三者がほかのサービスに同じ組み合わせでログインを試すことができます。こうした「使い回し」を狙った不正ログインは、流出事件のあとに起こりやすい被害の代表例です。
パスワードがどのような形式で保存されていたかは、発表では説明されていません。「暗号化されていたから大丈夫」とは判断できないため、流出したものとして扱い、すべて変更するのが安全です。
今すぐできる対策（チェックリスト）
運営会社は利用者に3つの対応を求めています。ここでは、それぞれを具体的な手順に落とし込みます。
1. Maru-Janのパスワードを変更する
運営会社は「これまでのパスワードでもログインできるが、使い続けると不正利用の危険がある」として、ほかのサービスで使っていない新しいパスワードへの変更を求めています。強制的にリセットされるわけではないので、自分で変える必要があります。
- ブラウザで Maru-Jan 公式サイトを、ブックマークや検索から開く（メールのリンクは使わない）
- 会員ページにログインし、「登録情報変更」からパスワード変更の画面を開く
- ほかのサービスで一度も使っていない、長いパスワードを設定する
- パスワード管理アプリやブラウザのパスワード保存機能に記録しておく
新しいパスワードは、英大文字・小文字・数字・記号を組み合わせた長めのものにしましょう。覚えやすさを優先して「前のパスワードの末尾だけ変える」のは避けてください。流出したパスワードから推測されやすくなります。
2. 同じパスワードを使っているサービスを洗い出して変更する
今回いちばん大切なのがこの作業です。Maru-Jan と同じパスワードを、ほかのサービスでも使っていないか確認します。
- 最優先：メールアカウント（Gmail、Outlook.com、Yahoo!メール、キャリアメールなど）。メールを乗っ取られると、ほかのサービスのパスワード再設定まで悪用されるおそれがあります。
- 次に：お金に関わるサービス（ネット銀行、証券、クレジットカードの会員サイト、スマホ決済、通販サイト）。
- その次：SNS・ほかのゲーム（X、Instagram、LINE、ゲームのアカウントなど）。
ブラウザやスマホに保存されたパスワードの一覧を見ると、同じパスワードを使っているサービスを探しやすくなります。Google パスワードマネージャーや iPhone の「パスワード」アプリには、使い回しや流出したパスワードを知らせる機能もあるので、あわせて確認するとよいでしょう。
変更のついでに、各サービスで使える2段階認証（多要素認証）をオンにしておくと、パスワードが知られても不正ログインされにくくなります。特にメールと金融系のサービスは設定しておきたいところです。
3. Maru-Janを名乗るメールに注意する
メールアドレスも流出しているため、運営会社は「Maru-Jan からの案内を装ったメールが届く可能性がある」と注意を呼びかけています。「お詫びのポイントを受け取ってください」「パスワードを再設定してください」といった、今回の事件に便乗した文面が考えられます。
- メール内のリンクからログインしたり、パスワードを入力したりしない
- パスワード変更やポイント受け取りは、いつも使っている公式サイトから自分で開いて行う
- 差出人の名前が正しくても、それだけで本物と判断しない
- カード番号や暗証番号、認証コードを求めるメール・SMS には応じない
お詫びの3,000ポイントと受け取り期限
運営会社は、会員1人につき3,000ポイント（3,000円分）をお詫びとして用意しました。公式サイトの会員ページにある「ポイント受け取り」から受け取ることができ、期限は2026年11月20日（金）24時までです。ポイントは対局などゲーム内で使うもので、現金での返金ではありません。
受け取りの際も、メールのリンクではなく公式サイトからログインしてください。先にパスワードを変更してから受け取ると安心です。
運営会社の今後の対応
運営会社は、サービス再開で対応が終わるわけではないとして、次の取り組みを続けるとしています。
- サーバー、管理システム、業務用 PC の点検
- 不正アクセスの監視の強化
- 情報の管理体制の見直し
- 今回の問題以外にも弱点がないかの継続調査
調査で分かったことや対策の進み具合は、公式サイトで知らせるとしています。続報で流出の範囲や手口が新たに分かる可能性もあるため、しばらくはお知らせ欄を確認しておきましょう。
不正ログインなどの被害に気づいたときの相談先
| 困っていること | 相談先 |
|---|---|
| 今回の流出についての質問 | Maru-Jan 公式サイトの「お問い合わせ、トラブル連絡」 |
| 不正ログインや乗っ取りの技術的な相談 | IPA（情報処理推進機構）情報セキュリティ安心相談窓口 |
| 金銭的な被害、詐欺の被害 | 各都道府県警察のサイバー犯罪相談窓口 |
| 契約やお金のトラブル全般 | 消費者ホットライン「188」（最寄りの消費生活センター） |
クレジットカードや銀行口座で身に覚えのない取引を見つけた場合は、まずカード会社や金融機関に連絡して利用を止めてもらいましょう。
よくある質問
Q. 何年も遊んでいない古いアカウントも対象ですか？
A. 発表では対象は「全会員」です。長くログインしていない人も対象と考え、ログインできるならパスワードを変更し、同じパスワードを使っているほかのサービスも見直してください。
Q. メールアドレスを登録していなければ安全ですか？
A. メールアドレスの流出はありませんが、パスワードは流出しています。Maru-Jan のパスワードの変更は必要です。
Q. クレジットカードを止める必要はありますか？
A. 運営会社はカード番号を預かっておらず、流出していないと説明しています。ただし、同じパスワードを使っている通販サイトなどでカードが登録されている場合は、そのサイトのパスワードを変え、利用明細を確認してください。
Q. パスワードを変えないとログインできなくなりますか？
A. いいえ。これまでのパスワードでもログインできます。だからこそ、自分で変更しないと危険な状態が続きます。
まとめ
Maru-Jan では、全会員185万5,578人分のパスワードと、登録されていたメールアドレスが流出しました。サービスは2026年11月7日に再開していますが、パスワードは強制的には変わらないため、利用者が自分で変更する必要があります。
- Maru-Jan のパスワードを、公式サイトから新しいものに変える
- 同じパスワードを使っているメール・金融・通販・SNS のパスワードも変える（メールが最優先）
- 2段階認証を使えるサービスでは設定しておく
- Maru-Jan を名乗るメールのリンクは開かない
- お詫びの3,000ポイントは11月20日24時までに公式サイトから受け取る
今回のように、遊び目的で作ったアカウントでも、パスワードを使い回していると被害が広がります。これを機会に、ほかのサービスのパスワードも見直してみてください。
