ハンゲ（hange、旧ハンゲーム）で不正アクセスによる個人情報漏えいが確認されました。運営元ENSAPIA Tokyo株式会社は2026年11月13日14時の第4報で、ハッシュ化されたパスワード6万1,962件、会員メールアドレス5万1,025件などが外部に漏えいしたと公表しています。決済時に扱われるカードのセキュリティコードも6件が対象です。
ハンゲを利用したことがある人は、同じパスワードを使っている他サービスの変更、身に覚えのないカード利用の確認、不審なメールへの警戒を優先してください。サービスは不正アクセスを受けて緊急停止され、11月13日14時の発表でも具体的な再開日は示されていません。
この記事の確認基準：2026年11月13日14時の運営元公式・第4報。公表された事実と一般的な対策を区別して説明します。
ハンゲで何が漏えいした？11月13日公表の件数
第4報で漏えいが確認された情報は次の通りです。これは情報の種類ごとの件数であり、同じ利用者が複数項目に含まれる可能性があります。足し算して被害者の人数にすることはできません。
| 漏えいが確認された情報 | 公式発表の件数 |
|---|---|
| ハンゲ会員のハッシュ化されたパスワード | 61,962件 |
| ハンゲ会員のメールアドレス | 51,025件 |
| 生年月日 | 28,251件 |
| 氏名・住所・郵便番号・電話番号 | 2,994件 |
| 外部サービスIDに関連するメールアドレス | 36,545件 |
| マスク処理済みのカード番号の一部 | 公式表記「2.961件」※ |
| カードのセキュリティコード | 6件 |
| 決済時の電話番号／カード名義 | 97件／2件 |
| その他のメールアドレス | 97件 |
※カード番号の一部の件数は公式発表で「2.961件」と記載されています。ピリオドの意味を確認できていないため、この記事では2,961件と読み替えて断定していません。番号はマスク処理済みとされていますが、詳細な対象範囲は公式の続報をご確認ください。
クレジットカードのセキュリティコードが6件含まれる一方、運営元は「漏えいが確認された情報だけではカードの不正利用はできない」と説明しています。ただし、不審な請求がないか利用明細を確認するよう呼びかけています。
自分は漏えいの対象？通知メールが来ない場合はどうする
運営元は対象者にメールで順次個別案内を進めています。メールが届いていないからといって、対象外と判断することはできません。メールで連絡することが難しい利用者には、公式発表を案内に代えるとしています。
- 以前ハンゲで会員登録したことがあるか、現在は使っていないアカウントも含めて確認する
- 登録したメールアドレスの受信箱や迷惑メールフォルダーを確認する
- 対象確認のために、メールのリンクではなく、運営元の公式発表を直接開く
- 個別案内や登録情報について確認が必要なら、ハンゲ公式ヘルプセンターへ問い合わせる
第4報には、利用者がIDを入力するだけで漏えい対象か判定できる公開検索ページの案内はありません。第三者が設けた「漏えい確認サイト」にハンゲIDやパスワードを入力しないでください。
今すぐできる対策｜パスワードの使い回しを先に止める
1．同じパスワードを使っている他のサービスから変更
ハンゲと同じパスワードをメール、SNS、通販、ゲーム、金融関連のサイトでも使っている場合は、そちらのパスワードを先にそれぞれ異なるものへ変更してください。特にメールアカウントは他サービスの再設定にも使われるため、優先度が高いと考えられます。変更時は公式サイトや公式アプリを自分で開いてください。
IPAも個人情報漏えい時の対処として、対象サービスおよびパスワードを使い回した他サービスでの変更、多要素認証の活用を推奨しています。IPAの説明はこちら。
2．ハンゲ本体のパスワード変更はサービスの状態を確認
ハンゲの通常の変更手順は、トップページにログイン→右上の人型アイコン→ハンゲID名→「ID情報の確認／変更」→「パスワード変更」です。公式ヘルプの変更手順に詳細があります。
ただし、緊急メンテナンス中にこの操作が利用できるかは確認できません。操作できない場合は無理に再試行せず、公式の再開案内を待って変更してください。メールで届いた「パスワード変更はこちら」というURLは、正規のものと断定せず扱ってください。
3．カード明細・フィッシングメールを確認
カードの利用明細に見覚えのない請求があれば、カード発行会社の公式窓口へ相談してください。また、氏名やメールアドレスが漏えいした場合は、ハンゲや決済事業者を名乗る偽メールなどに注意が必要です。具体的な不正請求や詐欺の発生をこの事件で確認したという意味ではありません。
ハッシュ化されたパスワードとは？平文流出との違い
今回公表されたのは、入力されたパスワードそのもの（平文）ではなくハッシュ化されたパスワードです。ハッシュは文字列を一定の規則で別の値に変換し、元の文字列を直接保存しないための仕組みです。
ただし、ハッシュ化されていれば無条件に安全とはいえません。攻撃者がハッシュ値を持ち出した場合、候補となる文字列を大量に照合する「オフライン推測」で元のパスワードを探るリスクがあります。リスクはハッシュ方式・ソルトの有無・処理の強さ・パスワードの複雑さによって変わります。
今回の発表では採用されたハッシュ方式、ソルトの有無、パスワードの復元・悪用が起きたかどうかは明らかにされていません。11月4日の第2報では「利用者が設定したパスワードの流出痕跡は確認されていない」とされていましたが、11月13日の第4報ではハッシュ値の漏えいが新たに確認されています。調査の時点と情報の形式を分けて読む必要があります。
ハンゲはいつ復旧する？サービス停止の経緯
| 日時 | 運営元の公表内容 |
|---|---|
| 11月3日 | 不正アクセスの可能性を検知。緊急メンテナンス開始、通信経路の遮断と調査を実施 |
| 11月4日 第2報 | 当時はIDと利用者設定のパスワードについて流出痕跡を確認できていないと説明 |
| 11月6日 第3報 | 20時時点で全サービス停止中と発表 |
| 11月13日 第4報（14時） | 一部の個人情報漏えいを確認。再開には相応の時間が必要と説明 |
11月13日14時時点で具体的な再開日・時刻は未公表です。運営元は外部専門会社に攻撃手法・侵入経路・影響範囲の調査を依頼中で、監視とアクセス制限の強化を進めています。攻撃に使われた脆弱性や原因となった設定不備など、技術的な侵入経路はまだ特定・公表されていません。
ハンゲ版のゲームにも影響｜戦国IXAの対応は？
サービス停止はハンゲ経由で遊ぶゲームにも及んでいます。例えばスクウェア・エニックスは11月10日、ハンゲ版『戦国IXA』の利用者がゲームをプレイできない状況を説明しました。一方、他プラットフォームの利用者もいることから、合戦やイベントは原則として予定通り実施する方針です。ハンゲ版ユーザーが参加できなかったことへの対応は検討中で、内容はまだ決まっていません。
出典：戦国IXA公式ブログ（2026年11月10日）。他のゲームでの補償・再開条件まで共通とは限りません。
よくある質問
Q．6万1,962人のパスワードがそのまま読める形で漏えいした？
A．いいえ。公式発表では「ハッシュ化されたパスワード」6万1,962件です。平文が漏れたと断定できませんが、ハッシュ値からの推測リスクは残るため、使い回し対策が必要です。
Q．通知メールが来ていなければ安全？
A．安全とは判断できません。順次連絡中であり、メール連絡が難しい人には公表を案内に代えるとされています。必ず公式発表をご確認ください。
Q．クレジットカードをすぐ停止しなければならない？
A．運営元は今回確認された情報のみで不正利用はできないと説明する一方、明細確認を求めています。不審な利用を確認した場合は、カード発行会社へ連絡してください。
Q．なぜ不正アクセスされた？
A．第三者による不正アクセスは確認されていますが、具体的な攻撃手法や侵入経路は調査中です。特定の脆弱性や攻撃グループが原因だったとは確認できていません。
まとめ｜現在は使い回し対策と公式の続報確認を
今回の問題は単なる「ゲームが使えない障害」ではなく、会員情報と決済関連情報の一部について漏えいが確定したセキュリティ事故です。使い回したパスワードの変更、カード明細の確認、不審なリンクの回避を優先してください。ハンゲ自身のパスワード変更・ゲーム再開は、公式の案内を確認してから進めましょう。
出典・更新履歴
- ENSAPIA Tokyo「ハンゲ不正アクセスについて（第4報）」（2026年11月13日14時更新、確認：同日）
- ENSAPIA Tokyo「対応状況（第3報）、第2報ほか」（2026年11月6日更新）
- ハンゲ公式ヘルプ「パスワード変更手順を教えてください」
- IPA「自分の個人情報等が漏えいした際の対処と日頃の対策」（2026年10月26日）
- スクウェア・エニックス『戦国IXA』公式ブログ（2026年11月10日）
公開：2026年11月13日。第4報で確認された漏えい項目を初掲載。今後の続報で件数・復旧状況・技術的原因が更新されれば反映します。
