イオン不正アクセスで自分は対象？カード・WAONの影響と確認法【2026年10月】

2026年10月21日、イオン株式会社が「グループ各社の一部Webサイトで、第三者による不正アクセスを検知した」と発表しました。ニュースを見て「私のイオンカードは大丈夫？」「WAONの残高は？」と心配になった人も多いと思います。私もその一人で、夜になってから公式の発表文を開き、一文ずつ読み直しました。

この記事は2026年10月21日夜の時点で確認できた情報をもとに書いています。先に、いちばん大事なところをまとめますね。

• 個人情報が流出したかどうかは調査中です。流出したと断定できる段階ではありません
• イオンカード・WAON・AEON Payの情報が流出したという発表は、確認できていません
• 被害を受けた個人を特定できる公式の対象者一覧や、自分で調べられる照会方法は示されていません
• いま一番気をつけたいのは、この話題に便乗した不審なメールやSMSのリンクです

現時点で分かっていること

8項目の状況を一覧にしました

項目	現在の状況	出どころ
不正アクセスの検知	グループ各社の一部Webサイトで検知	イオンの公式発表
現在の対応	安全確認を実施。原因調査と復旧対応を進めている	イオンの公式発表
個人情報の流出	調査中。流出したとも、していないとも発表されていない	イオンの公式発表
閲覧できないサイト	イオンリテールなど13社に関連するWebサイト	共同通信の報道
営業システム・ECサイト	影響はないと報じられている	共同通信の報道
カード・WAON・AEON Pay	今回との関連や影響は未公表	公式発表に記載なし
原因・攻撃の手法・人数	未公表	公式発表に記載なし
復旧の見通し	具体的な日時の発表なし	公式発表に記載なし

公式発表と報道を分けて読む理由

「出どころ」の欄を分けているのは、公式発表と報道を混ぜないためです。以降の章でも、どちらの情報なのかを書き分けていきます。

イオングループの一部Webサイトで不正アクセス｜何が起きた？

公式発表に書かれていたのは5つのこと

2026年10月21日付の公式発表文は、A4で1枚の短いものです。タイトルは「イオングループの一部Ｗｅｂサイトへの不正アクセスによるシステムメンテナンスについて」。書かれている内容は、次の5点でした。

1. グループ各社の一部のWebサイトで、第三者による不正アクセスを検知した
2. 安全確認を実施している
3. 個人情報の流出などについても調査を進めている
4. 原因の調査と復旧に向けた対応を進めている
5. 調査結果が確認でき次第、公式サイトで知らせる

出典：イオン株式会社「イオングループの一部Ｗｅｂサイトへの不正アクセスによるシステムメンテナンスについて」（2026年10月21日）

https://www.aeon.info/wp-content/uploads/news/important/pdf/2026/10/261021R_2.pdf

私はイオンの「重要なお知らせ」一覧ページも開いてみました。10月21日付のこの1件が先頭にあり、私が見た時点では続報は載っていませんでした。

公表されていないこと

公式発表に書かれていないことも、はっきりさせておきます。

• 不正アクセスの原因
• 攻撃の手法や侵入の経路
• 個人情報が流出したかどうか
• 対象になった人数
• 対象になった具体的なサイトの名前（公式発表は「一部のWebサイト」という書き方です）

SNSでは、ウイルスの名前や攻撃者の名前、特定の脆弱性との関係が語られることがあります。ただ、公式が書いていないことは、まだ誰にも分かっていないことです。出どころが分からない話は、そのまま信じないほうが安全です。

「不正アクセスを検知」は何を意味する？

「検知した」という言葉は、第三者が入り込もうとした、あるいは入り込んだ形跡を見つけた、という意味にとどまります。そこから「情報が盗まれた」とは言えません。かといって「何も盗まれていないから安心」とも言えません。公式も「調査を進めている」と書いているので、いまは結論が出ていない状態です。

不正アクセスの対象サイトはどこ？13社の閲覧障害

報道機関が確認した閲覧障害

共同通信は、イオンリテールなど13社に関連するWebサイトが閲覧できない状態になっていると報じました。同じ配信は熊本日日新聞のサイトでも読めます。

ASCII.jpは、10月21日16時50分ごろ、イオンリテールとイオンビッグなどのサイトでタイムアウトを確認したと伝えています。

これらは報道機関が確認した内容で、イオンの公式発表にある情報ではありません。公式発表は「一部のWebサイト」という表現にとどまっています。

出典：熊本日日新聞「イオンに不正アクセス　一部ウェブサイト閲覧不可（共同通信）」

https://www.kumanichi.com/articles/2049095

出典：ASCII.jp「イオン、グループ各社のWebサイトで不正アクセスを確認」

https://ascii.jp/elem/000/004/444/4444655/

公式発表と報道を並べてみた

私は公式発表と2つの報道を並べて、どこが重なっているのかを整理してみました。

• 公式発表：サイトの数も会社名も書かれていない（「一部」とだけ記載）
• 共同通信：13社に関連するWebサイトが閲覧できない状態
• ASCII.jp：イオンリテールとイオンビッグなどでタイムアウトを確認

13社のうち、私が確認できた範囲で会社名がはっきり報じられているのは2社です。13−2＝11社は、社名が分かりません。割合にすると2÷13≒15%で、残りの約85%は名前が確認できていないことになります。

この「分からない11社」を想像で埋めたリストを作ることもできますが、間違えば読者を混乱させるだけです。この記事では、社名が確認できたものだけを書いています。

サイトが開かないことと、情報流出は別の話

サイトが開かないと、「落ちた＝盗まれたのでは」と感じやすいですよね。でも、閲覧できないことと個人情報が流出したことは、別の事象です。

公式は「安全確認を実施している」と書いていますが、サイトが閲覧できない理由そのものは説明していません。私に言えるのは、「開かない」という事実から「流出した」とも「流出していない」とも言えない、ということだけです。

イオンカード・WAON・AEON Payへの影響は？

気になる5つのサービスの現状

読者の関心がいちばん高いのは、このあたりだと思います。公式発表には、どのサービスの名前も出てきません。今の状況を、正直にそのまま表にしました。

サービス	今回の不正アクセスとの関連	現時点での見方
イオンカード	関連・影響は未公表	流出したという発表は確認できない
電子マネーWAON	関連・影響は未公表	流出したという発表は確認できない
WAON POINT	関連・影響は未公表	流出したという発表は確認できない
AEON Pay	関連・影響は未公表	流出したという発表は確認できない
iAEONアプリ	関連・影響は未公表	流出したという発表は確認できない

「流出したという発表は確認できない」ことと、「被害がない」ことは同じではありません。だからこの表では「被害なし」とは書かず、「今回の不正アクセスとの関連・影響は未公表」と書いています。

「発表がない」は「安全」ではない

ここは私がいちばん丁寧に伝えたいところです。

今は、公式が調べている途中です。調査の結果、影響がなかったと分かるかもしれませんし、一部に影響があったと分かるかもしれません。どちらなのかは、いまの時点では誰にも言えません。「被害の報告がない」を「安全が保証された」と読み替えるのは、避けたほうがいいと思います。

一方で、不安になりすぎる必要もありません。公式が書いているのは「一部のWebサイト」への不正アクセスです。カードやWAONの情報が流出したという発表も出ていないので、いまは落ち着いて、後述する確認をしながら続報を待つのが現実的です。

使えるかどうかは各サービスの公式案内で

今回の発表は、Webサイトの安全確認についてのものです。イオンカードやWAON、AEON Pay、iAEONアプリが今使えるかどうかは、この発表文からは分かりません。

利用できるかどうかを知りたいときは、それぞれの公式アプリや、公式サイトのお知らせで確認してください。メールやSMSで届いたリンクからではなく、普段から使っているアプリやブックマークから開くのがポイントです。

ネットスーパーや実店舗での買い物はできる？

共同通信が伝えた「営業システム・ECサイトに影響なし」

共同通信は、営業に関するシステムやECサイトには影響はない、と報じています。この点は、買い物を予定している人にとって少し安心できる情報だと思います。

ただし、これは報道機関による報道です。イオンの公式発表に、この記述はありません。また、全国のすべての店舗やサービスが今この瞬間に通常どおり動いていることまで保証する内容でもありません。

ネットスーパーの注文・配送で困っているとき

注文した商品や配送について心配な人は、次の順番で確認してみてください。

• 利用しているネットスーパーの公式アプリ・公式サイトで、注文状況やお知らせを見る
• 公式サイトが開かないときは、いったん時間をおいてから、もう一度アクセスする
• 配送日が迫っていて不安なときは、利用先の店舗やコールセンターの案内を、公式サイトで確認する

私は、こういうときほど「公式の案内にたどり着く道を決めておく」ことが大事だと感じています。検索結果の上のほうに出てくるサイトが、公式とは限らないからです。

店舗での買い物は、利用する店ごとに確認

実店舗での買い物について、今回の発表に「営業を停止した」という記載はありません。ただ、店舗ごとの状況までは、この記事では保証できません。利用するお店の公式案内や、店頭の掲示を見てください。

自分は情報漏洩の対象？確認すべき3つのこと

まず大事な前提です。2026年10月21日の第1報の時点で、「あなたが対象かどうか」を調べられる公式の仕組みは案内されていません。だから、存在しない確認サービスがあるかのようには書きません。そのうえで、いまの自分にできる確認を3つにまとめました。

1. イオンおよび利用サービスの公式発表を確認する

いちばんの基本は、イオン株式会社の「重要なお知らせ」ページです。調査結果が出たら、公式サイトで知らせると公式発表に書かれています。あわせて、利用しているサービス（イオンカード、WAON、AEON Pay、iAEONなど）の公式案内も見ておくと安心です。

2. カードやポイントなどの利用履歴を確認する

身に覚えのない決済やポイントの動きがないかを、公式アプリで見てみましょう。見るのは、直近の利用明細、ポイントの増減、ログインの履歴などです。何も見つからなくても、「流出がなかった」という証明にはなりません。それでも、おかしな動きに早く気づけることが、いちばんの備えになります。

3. 公式からの個別案内の有無を確認する

もし調査の結果、対象になった人が出てきたら、公式から個別の案内が来る可能性があります。ただ、現時点では「いつ、どんな形で連絡するか」は発表されていません。

ここで一つ注意です。「対象者かどうか確認できます」とうたって、メールアドレスやカード番号を入力させる非公式のサイトには近づかないでください。公式が案内していない確認サイトは、情報を集めるための偽サイトの可能性があります。

確認にかかる時間を試算してみた

「確認といっても、毎日大変そう」と感じる人のために、私なりに時間を計算してみました。1サービスの履歴を見るのに3分かかる、と置いた私の試算です。

対象は、イオンカード・WAON・WAON POINT・AEON Pay・iAEONの5つ。5×3＝15分です。これを週に1回やるとすると、1か月は4回なので15×4＝60分になります。1か月で1時間。これで、おかしな動きの早期発見につながるなら、悪くない保険だと私は思います。

個人情報の流出は、他社でも続いています。過去の事例で「自分が対象かどうか、どう確認したか」を整理した記事もあるので、手順の参考にしてみてください。

→ 東京メトロ情報漏洩、自分は対象？

イオンを装った偽メール・SMSに注意

便乗しやすい口実の例

大きなニュースが出たあとは、そのニュースを口実にした詐欺（フィッシング）が増えやすいと言われています。一般的に使われやすい口実は、たとえば次のようなものです。

• 「不正アクセスの影響を確認してください」
• 「本人確認が必要です」
• 「アカウントが停止されます」
• 「パスワードを再設定してください」

急がせる言葉と、リンクを押させる流れ。この組み合わせが出てきたら、立ち止まるサインです。

今回の事件を悪用した詐欺は、確認されたとは言えない

私が確認した範囲では、今回の不正アクセスを悪用した詐欺メールが確認された、という発表は見つかりませんでした。だからここでは「確認された」とは書きません。あくまで一般的な注意として読んでください。

なお、イオンカードは2026年10月7日付で、今回の不正アクセスとは別に、イオンカードを騙る不審なSMSへの注意を公式サイトで出しています。そこには、カード番号や暗証番号などの入力をメールやSMSで求めたり、カードの返送をお願いしたりすることはない、という趣旨の案内があります。

出典：イオンカード 暮らしのマネーサイト「イオンカードを騙る不審なSMS・フィッシング詐欺にご注意ください」

https://www.aeon.co.jp/information/2026/caution_sms_phishing/

リンクを開かず、公式アプリやブックマークから確認する

メールやSMSの中のリンクは、押さないでください。確認したいときは、スマホに入れている公式アプリか、前から登録してあるブックマークから開きます。これなら、偽サイトに迷い込む心配がぐっと減ります。

少しでも怪しいと思ったら、削除して大丈夫です。慌てて返信したり、電話をかけたりする必要はありません。

すでにカード情報を入力してしまったときは

もしリンク先でカード番号や暗証番号などを入力してしまったら、できるだけ早く、公式のカード会社窓口に相談してください。上で紹介した公式の注意喚起でも、入力してしまった場合はカードの停止と再発行の手続きをするよう案内されています。

似たような手口は、給付金を装うスマホの通知でも見られます。見分け方の基本は同じなので、こちらも読んでおくと役立ちます。

→ 【注意】スマホの「給付金5万円」通知は詐欺？本物と偽物を一瞬で見抜く方法

パスワード変更やカードの利用停止は必要？

第1報には、一律の指示は書かれていない

2026年10月21日の第1報には、全利用者に向けた「パスワードを変更してください」「カードを止めてください」という一律の指示は載っていません。ですので、いま全員が急いで変更や停止をしなければいけない、という状況ではありません。

こんなときは、すぐに動いてください

次のようなことがあれば、状況は別です。公式の窓口に相談して、必要な保護措置をとってください。

• 身に覚えのない決済や、ポイントの動きがある
• 見覚えのないログインの履歴がある
• 偽サイトかもしれない画面に、ID・パスワード・カード情報を入力してしまった

この3つは、今回の発表とは関係なく、いつでも優先して対応するべきサインです。

慌てて動くと、かえって危ない

パスワード変更は大切な対策ですが、焦っているときほど、偽サイトに誘導されやすくなります。変更するなら、公式アプリか、前から登録してあるブックマークから行ってください。同じパスワードを他のサービスでも使っている人は、このニュースをきっかけに、落ち着いて見直してみるのもいいと思います。

他社の事案ですが、「情報漏洩のニュースが出たとき、何を優先して確認すればいいか」を整理した記事もあります。落ち着いて動くための参考にどうぞ。

→ タイムズカー情報漏洩で何をすればいい？

イオンのWebサイトはいつ復旧する？

復旧の日時は発表されていない

公式発表には、具体的な復旧の予定日時は書かれていません。この記事でも、復旧の時期を予想することは控えます。原因の調査と復旧に向けた対応を進めている、というのが、いま言えるすべてです。

最新情報の確認先

続報は、イオン株式会社の公式サイトで知らされると、発表文に書かれています。調査結果が出たときも、復旧したときも、まずはここを見れば最新の情報が分かります。

出典：イオン株式会社「重要なお知らせ」

https://www.aeon.info/important/

問い合わせ窓口について

第1報の時点では、この件専用の問い合わせ窓口は案内されていません。心配な気持ちは分かりますが、電話が一斉に集中すると、本当に急ぎの人がつながりにくくなることもあります。まずは公式サイトの更新を確認して、カード会社への相談が必要なケースだけ、電話をするようにしてみてください。

まとめ

今回のニュースで、押さえておきたい点は3つです。

• 不正アクセスが確認されたのは、イオングループの一部Webサイトです
• 個人情報の流出は調査中で、カード情報の流出も、現時点では確認されていません
• 不審なメールやSMSには注意し、公式の情報を確認することが大切です

「発表されていない」ことは「安全」ではありませんが、「流出した」とも言えません。いまは、分からないことを分からないまま受け止めて、公式の続報を待つのがいちばんだと私は思います。

この記事は2026年10月21日夜の時点の内容です。続報があれば更新していきます。

よくある質問

Q. イオンカード番号が流出したの？

流出したという発表は、2026年10月21日の時点で確認できていません。ただし、個人情報の流出については「調査中」で、流出していないと確認されたわけでもありません。

Q. WAON残高は大丈夫？

WAONの残高や情報に影響が出たという発表は、現時点で確認できません。今回の不正アクセスとの関連や影響は未公表なので、公式アプリで履歴を確認しておくと安心です。

Q. イオン銀行にも影響はある？

イオン銀行が今回の不正アクセスの対象かどうかは、公式発表に書かれておらず、未公表です。サービスの状況は、イオン銀行の公式サイトのお知らせで確認してください。

Q. イオンネットスーパーの注文はどうなる？

共同通信は、営業システムやECサイトには影響がないと報じています。ただし個別の注文や配送の状況は分からないため、利用先のネットスーパーの公式サイトやアプリで確認してください。

Q. パスワードは変更すべき？

全利用者に向けた一律の変更指示は、10月21日の第1報には書かれていません。不審なログインや身に覚えのない決済があるときは、公式窓口に相談したうえで、公式アプリやブックマークから変更してください。

Q. 不審なSMSが来た場合は？

リンクは開かず、削除して大丈夫です。確認したいことがあるときは、公式アプリやブックマークから開いてください。すでに情報を入力してしまったら、公式のカード会社窓口へ早めに相談しましょう。

Q. 対象者への連絡はいつ届く？

連絡の時期や方法は、現時点で発表されていません。もし対象者に個別の連絡があるとしても、公式の案内を待つ必要があります。

Q. 復旧はいつ？

復旧の予定日時は、公式発表に書かれていません。最新の情報は、イオンの公式「重要なお知らせ」ページで確認してください。

Q. 不正アクセスの原因は何？

原因・攻撃の手法・侵入の経路は、すべて公表されていません。公式は原因の調査を進めていると発表しています。

Q. 今回の件で専用の問い合わせ窓口はある？

第1報の時点では、専用の窓口は案内されていません。続報があれば公式サイトに掲載される予定なので、まずは「重要なお知らせ」ページを確認してください。

おすすめアイテム

パスワード管理は1Password

今回のイオンの件は、まだ何が起きたのか調査中です。それでも、こういうニュースを見るたびに、パスワードの使い回しを見直したくなるんだよね。サイトごとに別のパスワードを自動で作って覚えてくれる1Passwordなら、どこかで漏れても他のサービスに広がるのを防ぐ手助けになるよ。

ビサイユのトートバッグ

気持ちを切り替えて出かけたい日のための、ちょっとした提案だよ。ビサイユのトートバッグは超軽量で撥水、スキミング防止ポケット付き。カードやスマホをまとめて入れて、スーパーでの買い出しにも通勤にも使えるよ。

軽量ショルダーBCS-140

財布とスマホだけ持って、身軽に歩きたい日もあるよね。軽量ショルダーBCS-140は撥水とスキミング防止に対応していて収納も多めだから、近所の買い物や街歩きにちょうどいいサイズ感だよ。