Z会グループに不正アクセス、計108件のアカウント情報漏えい【2026年11月】

2026年11月9日、増進会ホールディングスは、Z会グループの株式会社Ｚ会と株式会社栄光が運用するシステムに第三者が不正アクセスし、計108件のアカウント情報が漏えいしたと公表しました。内訳は従業員など95件と、お客様13件です。

【重要なお知らせ・増進会ホールディングス】Ｚ会グループにおけるシステムへの不正アクセスに関するご報告とお詫び

きっかけは、栄光の社内向けの「工数管理システム」から盗まれたアカウント名が、Z会グループのサービスにログインする「Z-ID」への攻撃に使われたことでした。一方で、クレジットカード情報などの決済情報の流出や、サーバーへの侵入は確認されていないとしています。2つのシステムの調査結果を、グループとしてまとめて報告したという位置づけです。

Z会グループの不正アクセスとは？一言でまとめると

一言でいうと、栄光の社内システムから漏れたアカウント名を使って、Z-ID のパスワード再設定の仕組みが悪用され、お客様13件のパスワードが勝手に変えられたという件です。

増進会ホールディングスと Z会・栄光が11月9日に公表した内容は、次のとおりです。

Z-ID は、Z会グループのサービスの各種ログインに使う共通の ID です（Z会の第一報）。どのサービスで Z-ID を使っているかの一覧は、発表には書かれていません。

この記事は、増進会ホールディングス、Z会、栄光の公式発表にある事実だけをもとにまとめています。

何が起きたか：2つのシステムがつながった流れ

増進会ホールディングスの発表によると、10月14日から15日にかけて、グループ内の2つのシステムで関連する不正アクセスが起きました。順に並べると次のとおりです。

ポイントは、栄光の工数管理システムから盗まれた従業員のアカウント情報が悪用され、脆弱性があった Z-ID への攻撃に使われたという点です。増進会ホールディングスはこの攻撃を「パスワードリセット攻撃」と呼んでいます。

Z会の最終報告では、攻撃者は栄光のシステムから入手したユーザー名や、一般的な文字列などのユーザー名を使い、ユーザー名が一致した13名のアカウントでパスワードを変更したと説明しています。

栄光の「工数管理システム」：従業員など95件

栄光は、「栄光ゼミナール」の公式サイトで発表を出しているグループ会社です。不正アクセスを受けたのは、社内で使う工数管理システムで、生徒や保護者が使うものではありません。

① 漏えいした情報

栄光の第二報によると、従業員（一部退職者を含む）と業務委託先企業2社の、計95件のアカウント情報が漏えいしました。

• ログインID
• パスワードのハッシュ値（元に戻せない形に変換したもので、パスワードそのものではない）
• 氏名
• 登録メールアドレス（会社支給の業務用メールアドレス）

95件のうち、実在する個人の情報は90件で、残りの5件はテスト用の ID などです。第一報で「1社」としていた業務委託先は、正しくは「2社」だったと訂正しています。

② お客様の情報は含まれていない

栄光は、このシステムにはお客様（生徒・保護者など）の個人情報は一切含まれていないとしています。システム上のデータの改ざんも起きていないとのことです。

③ 原因

原因は、第三者が不正に入手したアカウント情報を使って外部から機械的にログインを試したことと、このシステムのアクセス制限の設定が不十分だったことだと説明しています。アカウント情報をどこで入手されたかは、発表には書かれていません。

Z会の「Z-IDシステム」：お客様13件

お客様に関わるのは、こちらの Z-ID の件です。Z会の最終報告によると、10月14日未明から15日未明にかけて、Z-ID のパスワードリセット機能に、自動化スクリプトなどによる機械的なアクセスが合計953件ありました。

① 13件のパスワードが勝手に変えられた

そのうち13件のアカウントで、第三者にパスワードを不正に変更されたことが確認されています。原因は、Z-ID で使っている認証基盤システムの脆弱性でした。脆弱性の名前や、認証基盤の製品名は発表には書かれていません。

② 見られた可能性がある情報

Z会はアクセスの記録を調べ終え、13名について、次の情報が見られた可能性があるとしています。

13名のうち何人が受講者かなどの内訳は、発表には書かれていません。

③ サーバーへの侵入は確認されていない

Z会は、認証基盤システムの機能を悪用されたもので、サーバーやデータベースへの侵入や、システム内部からの個人情報の流出の形跡はないとしています。Z-ID 以外のシステムへの侵入・影響も確認されていないとのことです。

流出していないとされている情報

保護者が気になるのは、カード情報や成績の扱いだと思います。Z会の最終報告の内容を整理します。

増進会ホールディングスも、クレジットカード情報などの決済情報や機密情報の流出、サーバーへの不正侵入は確認されていないと書いています。

グループのほかの会社については、工数管理システムはほかの事業会社では使われておらず、Z-ID を使うグループ会社と連携して上記以外の不正アクセスはないことを確認したとしています。

Z会・栄光の対応

両社の発表にある対応は、次のとおりです。

① アカウントとパスワードリセット機能を止めた

Z会は事象に気づいたあと、対象の13アカウントをすぐに停止し、パスワードリセット機能も一時停止しました。

② 10月20日に脆弱性を解消

Z会は10月20日に、認証基盤システムのバージョンアップとセキュリティパッチの適用を緊急でリリースし、脆弱性を完全に解消したとしています。パスワードリセット機能は、対策をしたうえで使える状態に戻っています。

③ 工数管理システムは使うのをやめた

栄光は外部からのアクセスをすぐに遮断し、工数管理システムは運用を再開せず、利用を終了しました。

④ すべての業務システムを点検、監視を強化

栄光は、すべての業務システムで多要素認証（パスワードに加えて別の確認を求める仕組み）の導入やアクセス制限（IP 制限など）の状況を点検しました。Z会は不正なアクセスを検知・遮断する監視を強化し、増進会ホールディングスもグループ全体の監視体制を強化するとしています。

保護者・生徒がやること

公式の案内と、こうした発表のあとの一般的な注意を分けて整理します。

① 対象の人には、すでに個別に連絡済み

Z会は、対象の13名に、状況の説明とパスワードの再設定などの案内を個別に済ませたとしています。栄光も、対象の従業員などに個別に案内とパスワード変更の注意喚起をしています。

11月9日の発表には、対象以外の利用者に向けて、パスワードの変更などを求める案内は書かれていません。Z会から個別の連絡が来ていない場合でも、心配なときは下の窓口に問い合わせましょう。

② 問い合わせ先

③ 名前やメールアドレスを知っている連絡でも、すぐ信用しない

これはZ会グループの案内ではなく、一般的な注意です。お客様13件で見られた可能性があるのは氏名・Z-ID・メールアドレスです。名前やメールアドレスが正しい連絡でも、それだけで本物と判断せず、メールのリンクから ID やパスワードを入れないのが安全です。お子さんがメールを見る家庭では、知らない連絡のリンクを開く前に保護者に見せるように話しておくと安心です。

漏えいが分かったときの相談先は、IPA の窓口を紹介した記事にまとめています。

あわせて読みたい

漏えい被害の相談先は？IPAが個人向け窓口を強化【2026年11月】

IT Picks的な所感

今回の発表は、別々に見えた2つのシステムの件が、どうつながっていたかをグループとしてまとめて説明している点が分かりやすいと思います。お客様に関わる件数は13件と限られ、カード情報・成績・学習履歴の流出は確認されていないと項目ごとに書いているのも、保護者が自分の状況を判断する助けになります。

注目したいのは、社内の業務システムから漏れたアカウント名が、お客様向けのログインの仕組みへの攻撃に使われたという流れです。パスワードではなくパスワードの再設定の仕組みが狙われた点も含め、1つのシステムの弱いところが、別のシステムの攻撃の足がかりになることを示した例だと言えます。

11月はニトリの不正アクセスなど大きな発表が続き、ヨドバシでも不正ログインの報告がありました。ID とパスワードを狙う攻撃が続いているので、家族で使っているサービスのログイン情報を見直すきっかけにしたいところです。

あわせて読みたい

ヨドバシで不正ログインの報告、公式が呼びかける対策【2026年11月】

まとめ

Z会グループの不正アクセスのポイントをまとめます。

• 発表日：2026年11月9日（増進会ホールディングス、Z会、栄光）
• 起きた時期：2026年10月14日〜15日
• 漏えいしたアカウント情報：計108件（栄光の従業員など95件、Z会のお客様13件）
• お客様で見られた可能性がある情報：氏名・Z-ID・メールアドレス（Z会の受講者の一部は申込日の情報も）
• 流出が確認されていない情報：パスワード、クレジットカード情報、銀行口座情報、成績・学習履歴
• 原因：栄光の工数管理システムのアクセス制限の不十分さと、Z-ID の認証基盤の脆弱性
• 対応：Z-ID は10月20日に改修済み、工数管理システムは利用終了、対象者には個別に案内済み
• 問い合わせ：Z会 テクニカルサポートセンター 0120-636-322（月〜金 10時〜18時）

Z会グループのサービスを使っている家庭は、届いたメールの差出人とリンク先をよく確かめつつ、心配なときは公式の窓口に問い合わせましょう。

IT Picks 編集部

ITツール・Webサービス紹介メディア

IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。