Ｚ会や栄光ゼミナールを利用しているけれど、自分の情報も漏れたのか。パスワードを変更したほうがよいのか。こうした疑問に、2026年11月9日に公表されたＺ会グループの最終報告をもとに答えます。
結論からいうと、Ｚ会グループは計108件のアカウント情報への影響を公表しました。内訳は、栄光の従業員・業務委託先等のアカウント95件と、Ｚ会の共通ログイン基盤「Z-ID」で不正にパスワードを変更された顧客アカウント13件です。栄光の社内システムには、生徒や保護者の個人情報は含まれていませんでした。一方、Z-IDの13件については、氏名やメールアドレスなどが閲覧された可能性があります。
対象となったZ-ID利用者13人には、Ｚ会が個別に説明・パスワード再設定案内を完了しています。現時点で通知がなく、問題なくログインできる利用者まで一律に被害対象とする発表ではありません。ただし、不審な再設定通知やログイン異常があれば、メール内のリンクを使わず、公式窓口へ確認してください。
確認日：2026年11月10日／根拠：増進会ホールディングス・株式会社Ｚ会・株式会社栄光の2026年11月9日付公式発表
Z会・栄光の情報漏えいは誰が対象？108件の内訳
| 対象システム | 影響範囲 | 漏えい・閲覧の対象情報 |
|---|---|---|
| 栄光の工数管理システム | 95アカウント（実在する個人90人分、テストIDなど5件） | 従業員・一部退職者・業務委託先関係者のログインID、パスワードのハッシュ値、氏名、会社支給の業務用メールアドレス |
| Ｚ会のZ-IDシステム | 顧客13アカウントでパスワードを不正変更 | 氏名・Z-ID・メールアドレス、該当するＺ会受講者は申込日情報が閲覧された可能性 |
「108件」はアカウント情報の件数であり、「108人の生徒・保護者の個人情報が漏れた」という意味ではありません。栄光が公表した95件のうち5件はテストIDなどで、実在する個人は90人分です。Ｚ会の13件については対象者に連絡済みです。
また、Z-IDのパスワードリセット機能に対する953件という数字は、自動化スクリプト等によるアクセスの件数です。漏えいした人数やアカウント数ではありません。
Z会のパスワードを勝手に変更された？利用者が確認すること
Ｚ会の発表によると、第三者による不正なパスワード変更が確認されたのは13アカウントです。被害の有無を確認したい場合は、次の順番で確認してください。
- Ｚ会からの個別通知が届いていないか確認する。迷惑メールフォルダーも確認するが、届いたメールを即座に本物と判断しない。
- 普段利用しているＺ会の公式サイトをブックマークや手入力などで開き、正常にログインできるか確認する。不審なメールのリンクから開かない。
- 心当たりのないパスワード再設定通知、突然ログインできなくなった状態、知らない登録情報の変更があれば、Ｚ会の公式サポートに連絡する。
- 同じパスワードを他サービスでも使用している場合は、今回の事案で流出したと断定せずとも、使い回しを解消し、サービスごとに別のパスワードへ変更する。
注意：一斉のパスワード変更が必要だというＺ会の告知は確認していません。今回の13アカウントには個別の再設定案内が完了しており、一般の利用者に対して不審なメールのリンクから変更することを勧めるものではありません。
Ｚ会の公式窓口は、Ｚ会「Z-IDシステム」への不正アクセス最終報告に掲載されています。電話での問い合わせ先はＺ会 テクニカルサポートセンター（0120-636-322／平日10:00～18:00、所定の休業日を除く）です。
漏れた情報は？成績やクレジットカード情報は大丈夫？
Ｚ会は、13アカウントにおいて氏名、Z-ID、メールアドレス、該当する受講者の申込日情報が閲覧された可能性を公表しています。実際にすべての項目が第三者に閲覧されたと断定したものではありません。
一方、パスワード、クレジットカード情報、銀行口座情報、成績・学習履歴については、不正アクセスや流出が確認されていないとしています。Ｚ会のサーバー・データベースへの不正侵入や、システム内部からの個人情報流出の形跡も確認されていません。
栄光の工数管理システムから漏えいが確定したのは業務用アカウント情報です。生徒・保護者の個人情報はそのシステムに保存されていなかったと説明されています。Ｚ会側の13件とは、対象者と情報の種類が異なるため、混同しないことが大切です。
原因は何だった？栄光の情報がZ-IDの攻撃に使われた仕組み
今回の特徴は、栄光の社内システムへの不正アクセスと、Ｚ会の共通ログイン基盤の脆弱性が結びついた点です。増進会ホールディングスの発表を、時系列に沿って整理します。
不正アクセスの流れ（公式発表をもとに整理）
- 10月14日未明：Z-IDの認証基盤の脆弱性を突いた事前試行で、顧客1アカウントに影響が発生。
- 10月14日18時頃：栄光の工数管理システムが不正アクセスを受け、95件の業務用アカウント情報が漏えい。
- 10月14日～15日未明：栄光で入手したユーザー名や一般的な文字列などを使い、Z-IDのパスワードリセット機能に対する機械的アクセスを実行。Z-IDの残る12件にも影響が生じ、計13件のパスワードが不正に変更。
- 10月15日：Ｚ会が不正なパスワードリセットを確認。対象13アカウントの停止などの緊急措置を実施。
栄光は、第三者が不正に入手したアカウント情報を使って機械的なログイン試行を行ったことに加え、工数管理システムのアクセス制限設定が不十分だったことを原因として挙げています。一方、Z-IDで不正変更が可能になった原因は認証基盤システムの脆弱性です。二つは異なる問題です。
また、この攻撃を「パスワードの使い回しによる被害」と決めつけるのは不正確です。Ｚ会が説明した攻撃は、取得したユーザー名などを使ってパスワードリセット機能の脆弱性を悪用したものです。具体的にどの認証チェックが破られたのか、製品名やCVE番号などの技術的詳細は公式発表には記載されていません。
IT管理者向け：なぜパスワードリセット機能の脆弱性が危険なのか
パスワードを忘れた人のための再設定機能は、正しい本人だけが新しいパスワードを設定できることが前提です。一般論として、この本人確認や再設定処理に不備があると、攻撃者が既知のユーザー名を使って他人のアカウントを操作するリスクが生じます。今回、Ｚ会が確認したのは認証基盤の脆弱性を悪用した不正なパスワード変更です。具体的な脆弱性の実装や攻撃手順は公表されていないため、一般論と今回の確認事実は分けて考える必要があります。
栄光から流出した「パスワードのハッシュ値」は、パスワード文字列を一方向に変換した値で、平文のパスワードそのものではありません。ただし、ハッシュ化されていれば影響がゼロになるわけではありません。保存方式や強度によっては解析リスクがあるため、今回の栄光の対象者には個別に変更等の案内が行われています。このハッシュ値が解読された、あるいはZ-ID攻撃にパスワードそのものが使用されたとの発表はありません。
実務上は、外部公開している業務システムのアクセス制限、認証機構の更新、多要素認証、再設定フローの安全性、短時間の繰り返し要求の検知、異なるシステム間でのID利用状況を点検することが有効です。これは今回の被害企業の対策を踏まえた一般的な確認項目であり、未公表の侵入手順を推定したものではありません。
Z会と栄光の対応状況・復旧日は？
| 日付 | 公表・対応 |
|---|---|
| 2026年10月19日 | Ｚ会がZ-IDの不正ログインについて第一報を公表 |
| 10月20日 | Ｚ会が認証基盤のバージョンアップ・セキュリティパッチ適用を実施し、パスワードリセット機能を再開 |
| 10月30日 | 栄光が工数管理システムへの不正アクセスについて第一報を公表 |
| 11月9日 | 増進会ホールディングスがグループ全体像、Ｚ会が最終報告、栄光が第二報を公表 |
Ｚ会はZ-IDの脆弱性について10月20日に恒久対応を完了したと説明しています。監視体制も強化したとのことです。栄光は問題となった工数管理システムの運用を再開せず、利用を終了しました。あわせて、各業務システムの多要素認証やIP制限などの適用状況を点検しています。
Ｚ会は11月9日時点で、今回の事案に起因する二次被害や不正利用は確認していないと説明しています。今後の新情報があれば、公式発表に基づいて確認する必要があります。
よくある質問
Q. 栄光ゼミナールの生徒や保護者の情報も95件漏れたのですか？
A. いいえ。95件は栄光の業務用アカウント情報であり、栄光は対象の工数管理システムに生徒・保護者の個人情報を含んでいなかったと説明しています。
Q. Z-ID利用者は全員パスワードを変えるべきですか？
A. 一律の変更要請は確認できません。不正変更された13件の対象者には、Ｚ会が個別に再設定などを案内済みです。不審な通知やログイン異常がある場合は、Ｚ会の公式窓口に確認してください。パスワードの使い回しは、この事案とは別に解消する価値があります。
Q. 953件の個人情報が漏れたのですか？
A. 違います。953件はZ-IDのパスワードリセット機能に対する機械的なアクセス件数です。不正にパスワードを変更された顧客アカウントは13件です。
Q. 成績や学習履歴、カード情報が盗まれたのですか？
A. そうした情報への不正アクセスや流出は確認されていません。閲覧された可能性があるのは、対象13件の氏名・Z-ID・メールアドレスと、一部の申込日情報です。
Q. 栄光とＺ会は別々の事故ですか？
A. 関連する二つのシステムで起きた一連の事案です。栄光から流出したユーザー名がZ-IDへの攻撃に利用されたとグループが発表しています。ただし、栄光側のアクセス制限不足とZ-ID側の認証基盤の脆弱性は区別する必要があります。
まとめ：対象通知の確認と、不審なパスワード再設定への注意を
Ｚ会グループの公表では、栄光の業務用95アカウントと、Ｚ会の顧客13アカウントの合計108件が影響を受けました。栄光の95件を「生徒95人」と誤解しないこと、Z-IDの13件については対象者に個別案内が済んでいることが重要です。
利用者は心当たりのない再設定通知やログインできない症状を見逃さず、公式窓口で確認しましょう。IT管理者にとっては、一つのシステムで漏れたユーザー名が別のシステムの認証機能の不備と結びつく、という点が今回の重要な教訓です。
出典・更新履歴
- 増進会ホールディングス：Ｚ会グループにおけるシステムへの不正アクセスに関するご報告とお詫び（2026年11月9日）
- 株式会社Ｚ会：「Z-IDシステム」への不正アクセスに関する最終報告とお詫び（2026年11月9日）
- 株式会社栄光：工数管理システムへの不正アクセスについて（第二報）（2026年11月9日）
- 株式会社Ｚ会：Z-IDシステムへの不正ログインについて（第一報）（2026年10月19日、20日更新）
2026年11月10日：各社公式発表を照合して新規作成。未公表の脆弱性番号や攻撃手順は記載していません。
コメント