【Lili】サイトに約3か月間の不正侵入、会員最大9万8,256人のメールアドレス・パスワード、7,261人の本人確認書類画像が流出の可能性

公表：2026年10月14日

3行でわかるポイント

1. サービス「Lili」のサーバーに、2026年7月11日から10月6日までの約3か月間、第三者が侵入していました。
2. 会員最大約9万8,256人（退会者を含む）のメールアドレスやパスワードなどが流出した可能性があり、うち最大7,261人は本人確認書類の画像も対象です。パスワードは元の文字のまま流出した可能性が高いとしています。
3. Liliと同じパスワードを他のサービスで使っている人は、すぐに変更してください。偽の「Cloudflare」画面の指示でコマンドを実行した人は、パソコンの点検が必要です。

何が起きたか

Lili運営事務局は10月14日、サーバーが不正アクセスを受け、会員の情報が外部に流出した可能性があると発表しました。10月6日にサーバー上の不審なプログラムに気付いて調べたところ、7月11日から10月6日まで第三者が侵入しており、会員のパスワードを読み取るためのプログラムが置かれていたことが分かりました。さらに10月11日23時45分ごろ、別の経路から再び侵入され、12日午前3時20分ごろまでに経路をふさいだとしています。

また、決まった時間帯にパソコンでLiliを開いた人に、「Cloudflare」を装った偽の確認画面が表示されていました。この画面は、ターミナルを開いてコマンドを貼り付けて実行するよう求めるものでした。

漏れた可能性のある情報

人数は、現在も精査中の最大規模の数字です。

影響／原因

パスワードは暗号化して保存していましたが、攻撃者が元に戻すためのプログラムを置いていたため、元の文字のまま流出した可能性が高いと会社は考えています。侵入の原因となったプログラムの不備は修正し、10月14日に全会員のパスワードを無効にしました。パスワードの保存方式も元に戻せない方式に変えています。公表時点で、情報が悪用されたという報告はないとしています。個人情報保護委員会に報告し、警察にも相談しています。

利用者が今すべきこと

1. 利用中の会員は、ログイン画面の「パスワードをお忘れですか?」から、以前と違うパスワードを設定し直してください。
2. Liliと同じパスワードを、メール・SNS・通販・ネットバンキングなどで使っている場合は、そちらも必ず変更してください（退会した人も、利用当時のパスワードが対象です）。
3. 2026年10月6日午前3時30分ごろ〜13時ごろ、または10月11日23時50分ごろ〜12日午前2時ごろにパソコンでLiliを見て、偽の確認画面の指示どおりにコマンドを実行した場合は、パソコンをネットから切り離してウイルスチェックをし、別の端末から主要なアカウントのパスワードを変えてください。
4. 本人確認書類を出した人は、なりすましなどに悪用されないよう、身に覚えのない連絡や請求に注意してください。
5. 問い合わせ先は公式発表をご覧ください。

私たちが学べること

1. パスワードの使い回しは、1つのサービスの流出が他のサービスの乗っ取りにつながります。
2. 「画面の指示に従ってコマンドを貼り付けて実行して」と求める確認画面は、詐欺の手口です。
3. 本人確認書類は、提出するときに不要な部分を隠すと、万一の流出の被害を小さくできます。

経過

出典

1. Lili運営事務局「【重要】不正アクセスによる個人情報の漏えいの可能性について」（2026年10月14日）

※この記事は公開情報をもとにAIが要約しています。誤りや続報があれば、下の「コメント」またはサイト下部の「問合せ」からお知らせください。