JFA Passportに不正アクセス 「ログアウト控えて」と会員アプリ運営の備え

日本サッカー協会(JFA)は2026年10月18日、公式アプリ「JFA Passport」が第三者の不正アクセスを受け、機能の一部を一時的に止めていると発表しました。個人情報への影響は調査中で、利用者には当面、ログアウトや再ログイン、再インストールを控えるよう求めています。この記事は、JFAの公式の発表と案内に書かれたことをもとに、情シスと会員アプリの運営者が確かめることを整理します。

何が起きたか

JFAによると、2026年10月17日の3時25分ごろから19時ごろまで、JFA Passportに対して第三者による不正アクセスがありました。およそ15時間半です。JFAは不正アクセスを検出したあと、アプリのサービス提供会社と連携し、不正アクセスの経路の遮断などの対策をとりました。この対策にともなって、アプリの一部のサービスが使えなくなっています。

発表は翌日の10月18日です。JFA.jpのニュースの一覧では、掲載は16時となっています。不正アクセスが続いた時間の終わりから、およそ21時間後の公表です。

JFA Passportは、JFAが2022年11月に運用を始めたアプリです。選手、指導者、審判、ファン・サポーターなどが、JFA ID(JFAのサービスで共通に使う会員のID)でログインして使います。JFAの案内では、JFA IDには氏名とふりがな、生年月日などを登録します。

発表に書かれていること、書かれていないこと

事故の発表は、書かれていることと書かれていないことを分けて読むと、次に何を待つべきかが分かります。2026年10月19日14時の時点で、JFAの発表に続報は出ていません。

書かれていない項目は、調査が進むと続報で出てくることがあります。この記事は、書かれていない項目を推測しません。

「ログアウトを控えて」は何を意味するか

JFAは、利用者に次のようにお願いしています。

なお、本アプリをご利用の皆さまにおかれましては、安定したサービス提供に向けた確認を行っておりますので、当面の間、アプリからのログアウト、再ログイン、再インストール等の操作はお控えいただきますようお願いいたします。

JFAが挙げている理由は、安定したサービス提供に向けた確認をしていることだけです。セッション(ログインしている状態)やトークンをどう扱っているか、ログインの仕組みに影響があったかは、発表に書かれていません。

ここからは、会員アプリの一般的な作りの説明です。JFA Passportの作りを推測したものではありません。多くのアプリでは、ログインに成功すると、端末に「トークン」(ログイン済みを示すデータ)が渡されます。次からは、そのトークンを使ってサーバーとやりとりします。

この3つを控えてほしいというお願いは、「いまのログイン状態のまま使ってほしい」という意味になります。不正アクセスのあとは、運営者がすべてのログインを無効にして、利用者にログインし直してもらう対応もあります。JFAはこの点について、発表で触れていません。

もう1つ、運営者として気になるのは端末に残る表示です。JFAは、選手証を一度アプリで表示しておけば、通信の悪い場所でも表示できると案内しています。ログアウトや再インストールのあとにこの表示がどうなるかは、公式には書かれていません。

登録の業務に関わる影響

JFA Passportは、ニュースや動画を見るだけのアプリではありません。登録している人は、選手証、審判証、指導者証を表示できます。選手証は、JFAや都道府県のサッカー協会などが主催する公式試合に出るときの、競技の上での身分証明です。

JFAの登録証は、2018年度から電子発行だけになりました。カード型の登録証は発行していません。選手証を表示していた「KICKOFF」アプリは2024年12月末で終わり、その機能はすべてJFA Passportに移っています。選手証を表示するには、JFA IDと選手登録番号の紐づけが必要です。

どの機能が止まっているかは公表されていないため、選手証の表示に影響があるかは発表からは分かりません。一方で、JFAの電子登録証の案内には、アプリ以外の方法も書かれています。

PC版のKICKOFFは、アプリが終わったあとも変わらず使えるとJFAは案内しています。会員証や資格の証明をアプリに集めるときは、このように、アプリの外の手段を前もって用意し、案内しておくことが備えになります。

会員のアプリが止まったときの知らせ方

JFAの発表は、要約のあとに「事案の概要と対応」「被害状況」「ご利用いただいている皆様への対応」「JFAその他システムへの影響」「今後の対応」の順で並んでいます。自社の会員アプリで同じことが起きたときの、お知らせの型として使えます。

自社で書くときは、JFAの発表に無い次の3つも足すと、問い合わせが減ります。

1. 止まっている機能と、使える機能の一覧。分からない間は「確認中」と書く
2. この件の問い合わせ窓口(フォーム、電話、受付の時間)
3. 次の報告の時期(「〇日〇時までに続報」など)

お知らせの置き場所も決めておきます。アプリが止まると、アプリの中のお知らせは届かないことがあります。JFAは、公式サイトのJFA.jpで続報を知らせるとしています。社内では、窓口の担当、委託先、経営層への報告の順番を決めておきます。障害の報告の書き方は、【AI対談】障害の報告、何をどう書く? Gemini・Grok・DeepSeekでも取り上げています。

利用者の目線のまとめは、西のITメディアのJFA Passportに不正アクセス 一部機能を停止 選手や保護者がやることにあります。

影響する人・会社、しない人・会社

• 影響する: JFA Passportの利用者(選手、指導者、審判、ファン・サポーター)。アプリの一部のサービスが使えず、当面、ログアウト、再ログイン、再インストールなどを控えるよう求められています。
• 影響を確かめる: アプリで選手証や登録証を見せる運用をしているチームや大会の運営者。止まった機能が公表されていないため、大会の要項と、KICKOFFでの表示・印刷の方法を確かめます。
• 影響を確かめる: 社内のサッカー部・フットサル部などでJFAに登録しているチームの担当者。公式戦の前に、選手証の見せ方を確かめます。
• 影響は確認されていない: JFAが利用するその他のシステム(現時点の調査で)。発表は、個別のシステムの名前は挙げていません。
• 影響しない: JFA Passportを使っていない人・会社。今回の発表は、JFA Passportへの不正アクセスについてのものです。

会社・情シスが今日やること

1. 社員への周知: JFA Passportを使う社員がいる部署(社内のサッカー部など)には、JFAのお願い(ログアウトなどを控える)と、続報はJFA.jpで確かめることを伝えます。JFA IDと同じパスワードを会社のアカウントで使っている人がいれば、会社のアカウントの側を変えてもらいます。
2. 自社の会員アプリのログイン状態の扱いを決める: ログアウト、再ログイン、再インストールで何が起きるかを、開発会社や委託先と確かめます。事故のときに、すべてのトークンを無効にするか、いまのログイン状態を保ってもらうかを、何を基準に決めるかを書き出しておきます。
3. お知らせの型を用意する: 上の表の6つの段に、止まっている機能、問い合わせ窓口、次の報告の時期を足した型を、社内の手順書に入れておきます。置き場所は、アプリの外(公式サイトなど)にも持ちます。
4. アプリの外の代わりの手段を用意する: 会員証や資格の証明をアプリだけにしないようにします。JFAのように、ウェブでの表示や印刷の方法を、ふだんから案内しておきます。
5. 委託先との連絡の体制を確かめる: JFAは、サービス提供会社と連携して経路を遮断したとしています。自社でも、検知したときの連絡先、遮断を決める人、ログの保存の期間を、契約や手順書で確かめます。