宝くじを販売する全国都道府県と全指定都市は2026年11月13日、宝くじ公式サイト・公式アプリで4,436名の会員アカウントに第三者が不正ログインし、そのうち4,133名はパスワードを勝手に変更されていたと発表しました。他のサービスから漏れたメールアドレスとパスワードを使う「リスト型攻撃」とみられています。サイトとアプリは11月13日午前8時に再開しましたが、すべての会員のパスワードがリセットされているため、ログインする前にパスワードの再設定が必要です。同じパスワードを他のサービスでも使っている人は、そちらの変更も急ぎましょう。
宝くじ公式サイトは、ジャンボ宝くじやロト・ナンバーズなどをネットで買える公式の窓口で、当せん金の受け取り口座やクレジットカードを登録している人も多いサービスです。この記事では、主催者の公式発表をもとに、何が起きたのか、どんな情報が見られた可能性があるのか、会員が今すぐやるべきことを順番にまとめます。
宝くじ公式サイトの不正ログインとは？何が起きたのか
公式発表では、2026年11月4日（水）から5日（木）にかけて、外部で入手されたメールアドレスとパスワードの組み合わせを使い、第三者が会員アカウントにログインしました。ログインされたのは4,436名で、そのうち4,133名はパスワードが本人の知らないうちに変更されていました。
一方で、主催者は次の点を「現時点では確認されていない」としています。
- 不正ログインした第三者による宝くじの購入
- 口座情報の書き換えなどによる当せん金の受け取り
- 公式サイト・公式アプリのサーバーやデータベースへの侵入の形跡
- 会員データの流出
つまり、宝くじ公式サイトのシステムそのものが破られたのではなく、どこか別の場所で漏れたログイン情報が「たまたま同じだった」会員のアカウントに使われたという見立てです。ただし、ログインされた会員については、登録されている個人情報を画面で見られた可能性があります。
発表までの経緯
| 日付 | 出来事 |
|---|---|
| 2026年11月4日（水）〜5日（木） | 第三者による不正ログインが発生 |
| 11月5日（木） | 公式サイト・公式アプリの利用を停止 |
| 11月6日（金） | 一時停止を告知。他社サービスと同じ ID・パスワードを使っている人に変更を呼びかけ |
| 11月11日（水） | 会員情報が閲覧された可能性と、その項目を公表。「リスト型攻撃」の可能性に言及 |
| 11月13日（金） | 被害の件数を公表。全会員のパスワードをリセットし、午前8時にサイト・アプリを再開 |
停止期間中も宝くじ売場は通常どおり営業しており、売場での購入には影響がありませんでした。
閲覧された可能性のある会員情報
不正ログインされた4,436名については、マイページなどに登録されていた次の情報を第三者に見られた可能性があります。
| 分類 | 項目 |
|---|---|
| 基本情報 | 氏名、生年月日、性別、住所、電話番号、メールアドレス |
| 当せん金受取口座 | 金融機関名、口座番号の上4桁、口座名義 |
| クレジットカード | カード番号の下4桁 |
| 購入履歴 | くじの種類、金額、当落情報 |
| そのほか | プロフィール画像（登録している人のみ） |
口座番号は上4桁、カード番号は下4桁しか表示されない仕組みのため、この情報だけでお金を引き出したりカードで買い物をしたりすることはできません。ただし、氏名・住所・電話番号・購入履歴がそろうと、「宝くじの当せん金を受け取るための手続き」などを装った、本物らしく見える詐欺メールや電話に使われるおそれがあります。対象の人は、しばらく宝くじを名乗る連絡に注意してください。
自分が対象かどうかの確かめ方
主催者は、不正ログインの対象となった会員に個別にメールで連絡しているとしています。連絡が来たかどうかは、宝くじ公式サイトに登録しているメールアドレスの受信箱で確認できます。ただし、このタイミングに合わせて偽のメールが送られてくる可能性もあるため、メールの中のリンクから個人情報やカード番号を入力するのは避けましょう。気になる場合は、ブックマークや検索から公式サイトを開き、登録情報を自分で確認するのが安全です。
今すぐやること：パスワードの再設定
今回は、被害を受けた人だけでなくすべての会員のパスワードがリセットされています。これまでのパスワードではログインできないので、次の手順で新しいパスワードを設定します。公式アプリでポイントカードを使う場合も、パスワードの変更を済ませないと表示できません。
パスワード再設定の手順
- 宝くじ公式サイトのトップページを開き、上部のお知らせにある［こちら］をタップする（スマホでは画面中央のバナーからも進めます）
- 「パスワードをお忘れの方」の画面で、会員登録したメールアドレス、氏名（カナ）、生年月日、電話番号（ハイフンなし）を入力して［次へ］
- ［送信する］をタップする
- 「メール送信完了」の画面になったら、登録したメールアドレスの受信箱を確認する
- 件名「パスワード変更手続きのお知らせ」のメールを開き、本文のURLから手続きに進む（送信元は info@takarakuji-official.jp）
- 新しいパスワードを2回入力して［再設定する］
- 「パスワード再設定完了」と表示されれば終了
再設定のメールに書かれたURLには有効期限があり、期限が切れた場合はもう一度手続きをやり直します。また、登録したメールアドレス宛てにリセットの案内メールが届いている場合は、そのメールからも再設定できます。
新しいパスワードの条件
| 条件 | 内容 |
|---|---|
| 長さ | 15文字以上 |
| 文字の種類 | 英大文字・英小文字・数字・記号のうち3種類以上を含める |
| 使えないもの | ログイン用メールアドレスの「@」より前の文字をすべて含むパスワード |
15文字以上というのはかなり長めの条件です。覚えやすさを優先して他のサイトと同じものを使い回すと、今回と同じ被害を招きます。スマホやブラウザのパスワード管理機能、パスワード管理アプリに自動で作らせて保存するのがいちばん確実です。
再設定のメールが届かないとき
宝くじ公式サイトのトップページでは、2026年11月13日時点で、Microsoft のサービスの障害の影響で、パスワード再設定のメールが届かない場合があると案内しており、該当する場合は同社のサービスが復旧してから手続きをするよう求めています。メールが届かないときは迷惑メールフォルダも確認し、それでも見当たらない場合は時間をおいてから、もう一度手順1からやり直しましょう。
再設定のあとに確認したいこと
パスワードを変えたら、それで終わりではありません。主催者の呼びかけと、警察庁が案内している不正アクセスへの対処をもとに、次の点もあわせて確認しましょう。
| 確認すること | 理由・やり方 |
|---|---|
| 登録情報が正しいか | ログイン後、住所・電話番号・メールアドレス・当せん金の受取口座が自分の登録したものから変わっていないか確認する |
| 購入履歴 | 自分が買った覚えのない宝くじがないかを見る |
| 同じパスワードを使っている他のサービス | ネット通販、ポイントサイト、メールなどで同じメールアドレス・パスワードを使っていれば、すぐに別のパスワードに変える |
| クレジットカードの利用明細 | カードを登録していた人は、カード会社のアプリなどで身に覚えのない請求がないか見ておく |
| 不審なメール・SMS | 宝くじや当せん金を名乗るメールのリンクからID・パスワード・カード番号を入力しない |
特に大事なのは3つ目です。今回のログイン情報はどこか別の場所から漏れたものとみられており、同じ組み合わせを使っているサービスは、宝くじ以外でも狙われる可能性があります。ネットバンキングや証券口座、メールのアカウントなど、乗っ取られると被害が大きいものから優先して変えましょう。2段階認証やパスキーに対応しているサービスでは、それらを有効にしておくとパスワードが漏れてもログインされにくくなります。
「リスト型攻撃」はなぜ防ぎにくいのか
リスト型攻撃は、どこかのサービスから漏れたメールアドレスとパスワードの組み合わせを大量に用意し、別のサービスのログイン画面で次々に試す手口です。攻撃される側のサイトから見ると、正しいメールアドレスと正しいパスワードでログインしてくるため、本人かどうかを見分けにくいのが特徴です。
今回の4,436名も、宝くじ公式サイトと同じメールアドレス・パスワードを、他のどこかで使っていた可能性が高いと考えられます。裏を返せば、サービスごとに違うパスワードを使っていれば、ほかで漏れても被害は広がりません。最近は通販サイトやネットストアなどでも同じ手口の被害が続いており、使い回しをやめることがいちばん効果のある対策です。
被害に気づいたときの相談先
身に覚えのない購入や登録情報の変更を見つけたときは、次の順で連絡・相談します。
- 宝くじコールセンター：0570-01-1192（ナビダイヤル・有料）または 011-330-0777（有料）。どちらもガイダンス【1】。受付は10時30分〜18時30分（土日・祝日・年末年始を除く）。2026年11月14日（土）・15日（日）は10時〜17時に受け付けます。かけ間違いに注意してください。
- クレジットカード会社：カードの不正利用が疑われる場合は、カードの裏面にある番号に連絡して利用停止などを相談する。
- 警察：ログイン履歴や登録情報の画面を保存・印刷し、宝くじコールセンターとのやりとりも記録しておく。そのうえで最寄りの警察署、または都道府県警察のサイバー犯罪相談窓口に相談する。
よくある質問
Q. 不正ログインの被害を受けていない人もパスワードの再設定が必要ですか？
A. 必要です。すべての会員のパスワードがリセットされているため、再設定しないとサイトにもアプリにもログインできません。
Q. 宝くじ売場での購入に影響はありますか？
A. 停止期間中も売場は通常どおり営業していました。ただし、公式アプリの宝くじポイントカードを売場で表示するには、先にパスワードの変更を済ませる必要があります。
Q. 口座番号やカード番号を盗まれたのですか？
A. 閲覧された可能性があるのは、口座番号の上4桁とカード番号の下4桁です。番号すべてではありません。また、会員データの流出や、不正な購入・当せん金の受け取りは確認されていないと発表されています。
Q. 自分が被害者かどうかはどうすれば分かりますか？
A. 対象の会員には個別にメールで連絡するとされています。登録したメールアドレスの受信箱を確認し、不安な場合は宝くじコールセンターに問い合わせてください。
まとめ
宝くじ公式サイト・公式アプリでは、2026年11月4日から5日にかけて4,436名の会員アカウントに不正ログインがあり、4,133名はパスワードを変更されていました。システムへの侵入やデータの流出は確認されておらず、別の場所で漏れたログイン情報を使ったリスト型攻撃とみられています。
サイトとアプリは11月13日午前8時に再開しましたが、全会員のパスワードがリセットされています。会員の人は、公式サイトから15文字以上の新しいパスワードを設定し、登録情報と購入履歴を確認しましょう。そして、同じメールアドレスとパスワードを使っている他のサービスがあれば、そちらも今日のうちに変えておくことが、次の被害を防ぐいちばんの近道です。
