パスワードリスト攻撃対策｜情報流出が相次ぐ今、個人がやるべき3つ

2026年9月から10月にかけて、旅行予約のskyticket、宅配の銀のさら、カーシェアのタイムズカー、ローソンIDなどで、不正アクセスによる情報流出の公表が相次いでいます。ソフトバンク子会社のクラウドもランサムウェア攻撃を受け、ビューカードやJR東日本の会員のメールアドレスが漏えいしたおそれがあると公表されました。政府や警察庁、個人情報保護委員会も、相次いで注意喚起を出しています。

ここで押さえておきたいのは、企業からの流出を利用者の側で止めることはできないという点です。個人にできるのは、漏れた後の被害を小さくすることです。その中心になるのが、流出したパスワードを別のサービスで試す「パスワードリスト攻撃」への対策です。

本記事では、2026年10月14日時点で公表されている事案を各社の発表と報道で確認したうえで、なぜ流出が止まらないのか、個人がいますぐできる対策は何かを解説します。

筆者は、記事内で紹介するパスワード管理アプリ「1Password」の国内販売元であるソースネクスト（4344）の株式を保有しています。対策の内容は公的機関と各社の発表に基づいており、保有の有無で内容を変えることはありません。

※本記事にはプロモーションが含まれます。

パスワードリスト攻撃とは｜流出したパスワードの使い回しを狙う手口

パスワードリスト攻撃とは、どこかのサービスから流出したIDとパスワードの組み合わせを、別のサービスのログイン画面で試す手口です。「リスト型攻撃」とも呼ばれます。

パスワードを総当たりで推測する攻撃とは違い、本物の組み合わせを使うのが特徴です。そのため、同じパスワードを複数のサービスで使っている人ほど、1か所の流出が別のサービスの被害に広がります。パスワードを長く複雑にしていても、使い回していれば防げません。

情報が流出した後の被害は、大きく2つの経路で広がります。

パスワードリスト攻撃の火種になる情報流出が相次ぐ【2026年10月】

2026年9月下旬から10月中旬にかけて、大量の個人情報を扱うサービスで流出の公表が続きました。10月6日にはデジタル大臣が会見で、パスワードの使い回しをやめること、多要素認証を使うこと、不審なメールやSMSに注意することの3点を国民に呼びかけています。10月8日にはJPCERT/CCと警察庁が、10月9日には国家サイバー統括室が注意喚起や発表を出しました。

2026年9〜10月に公表された主な流出事案

公表日	サービス（運営会社）	件数	主な流出項目	パスワード
9月29日	タイムズカー（パーク24）	会員情報 約660万件	運転免許証の画像など本人確認の情報を含む	発表で言及なし
10月8日	ローソンID（ローソン）	215万5,345件	氏名、メールアドレス、登録内容により電話番号・住所	発表で言及なし
10月9日	skyticket（アドベンチャー）	約1,464万件	氏名、生年月日、メールアドレス、住所	ハッシュ値 約413万件
10月13日	銀のさら・釜寅・すし上等（ライドオンエクスプレス）	最大約650万件（漏えいのおそれ）	氏名、住所、電話番号、生年月日、性別、注文履歴	ハッシュ値を含む

参照：株式会社アドベンチャー｜不正アクセスによるお客様情報の流出に関するお詫びとお知らせ、株式会社ローソン｜第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ、 カーシェアリングのタイムズカー｜「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について（第1報）

ソフトバンク子会社のクラウドが止まり、取引先にも被害が広がった

10月7日には、ソフトバンク子会社のIDCフロンティアが運営する「IDCFクラウド」が、ランサムウェア攻撃を受けました。同社によると、影響を受けたのはクラウドを利用する495の企業や自治体です。

注目したいのは、利用者が直接契約していない会社から被害が広がった点です。ビューカードは会員サイト登録者のメールアドレス約403万件、JR東日本は「えきねっと」などで最大約206万件について、漏えいのおそれがあると公表しました。いずれも、メール配信に使っていた外部サービスがこのクラウド上にあったためです。

ニッスイ子会社の日水物流も、委託先のデータセンターへの不正アクセスで、冷凍食品などの入出荷が止まりました。同社は、被害を受けたサーバーにグループの個人情報や顧客情報は含まれていないと説明しています。流出ではなく、事業が止まる被害もあるということです。

今回の流出の多くはパスワードリスト攻撃ではない

先に誤解を解いておくと、今回相次いでいる流出の多くは、パスワードリスト攻撃によるものではありません。JPCERT/CCの注意喚起では、既知の脆弱性を狙った攻撃、管理用APIの不正操作、Webアプリの脆弱性の悪用などが挙げられています。IDCFクラウドや銀のさらの事案は、ランサムウェア攻撃です。

つまり、企業側のシステムに侵入されたのが原因で、利用者のパスワードが弱かったから漏れたわけではありません。この点で、利用者が自分を責める必要はありません。一方で、どれだけ注意していても、利用しているサービスから、あるいはその委託先から情報が漏れることは起こり得るという前提に立つ必要があります。

流出したパスワードは次の攻撃の材料になる

問題は、漏れた情報がその後どう使われるかです。skyticketでは約413万件、銀のさらでも、パスワードのハッシュ値が流出の対象に含まれました。ハッシュ化とは、パスワードをそのまま読めない形に変換して保存する仕組みです。ただし、単純なパスワードは元の文字列を推測されるおそれがあります。

skyticketの運営会社は利用者に対し、skyticketのパスワードを変えるだけでなく、「同じパスワードをお使いの他のサービスも変更してください」と呼びかけています。運営会社自身が、パスワードリスト攻撃に広がるリスクを認めている形です。

パスワードリスト攻撃などのサイバー攻撃が止まらない理由

企業も対策をしているのに、なぜ流出が続くのでしょうか。背景には、攻める側が構造的に有利だという事情があります。

攻める側は何度失敗してもいい

攻撃する側は、失敗してもほとんど損をしません。多くの企業に同じ手口を試し、1社でも突破できれば成果になります。守る側は逆に、システムのどこか1か所でも弱点があれば、そこを突かれます。すべての穴をふさぎ続けなければならない守る側と、1つ見つければいい攻める側では、最初から条件が違います。

AIはこの差を広げかねません。攻撃の試行錯誤はAIで速くなりますが、守る側は、どこまでAIに任せるか、誤作動したら誰が責任を持つかを決めなければならず、同じ速さでは動けないからです。ただし、今回の国内事案について専門家の共同資料は、AIが使われたと断定できる痕跡は確認されていないとしています。

漏れた情報はAIでつなぎ合わされる

AIの悪用で個人にとって身近なのは、流出した情報の使われ方が変わることです。AI企業のAnthropicは、2026年9月の脅威レポートで、攻撃者が複数の流出データを自分の侵入で得たデータと突き合わせ、名前で人を検索できる仕組みを作っていた事例を報告しています。

1つの流出だけでは使い道の乏しかった情報も、別の流出と組み合わさると、住所、電話番号、生年月日、注文履歴までそろった1人分の情報になります。パスワードは変えられても、氏名や生年月日は変えられません。サービスが復旧しても、漏れた情報は残り続けます。

パスワードリスト攻撃対策は個人でできる3つ

個人がとれる対策は多くありません。ただ、効果の大きいものは3つに絞れます。政府が10月6日に呼びかけた3点とも重なります。

対策	防げること	かかる手間
①使い回しをやめる	1か所の流出が他のサービスに広がるのを防ぐ	大きい（管理アプリで軽くなる）
②多要素認証を設定する	パスワードが漏れても、それだけではログインさせない	小さい（サービスごとに数分）
③届いた連絡は公式アプリで確かめる	流出した個人情報を使った詐欺にだまされるのを防ぐ	小さい（習慣にするだけ）

パスワードリスト攻撃対策①使い回しをやめる

最も効果があり、最も手間がかかる対策です。すべてを一度に変える必要はありません。まずは、流出の連絡が来たサービスと同じパスワードを使っている先から変えます。その次に、お金やメールに直結するものを優先します。

優先順位の目安は、①メールアカウント、②ネット銀行・証券・クレジットカード、③ECサイトや決済アプリ、④その他の会員サービスの順です。メールが最初なのは、メールを乗っ取られると、他のサービスのパスワード再設定を相手に使われてしまうためです。

パスワードリスト攻撃対策②多要素認証を設定する

多要素認証とは、パスワードに加えて、スマホに届く確認コードや認証アプリ、指紋や顔などを組み合わせてログインする仕組みです。パスワードが漏れても、それだけではログインできなくなります。

方式は、SMSでコードを受け取るものより、認証アプリやパスキーのほうが安全性は高いとされます。パスキーは、パスワードの代わりにスマホの指紋や顔認証でログインする方式で、対応するサービスが増えています。まずはメールと金融関係のサービスで、設定画面に多要素認証やパスキーの項目があるか確認しましょう。

パスワードリスト攻撃対策③届いた連絡は公式アプリで確かめる

流出したのがパスワードではなく、氏名や住所、注文履歴だけでも安心はできません。それらは詐欺の材料になります。NHKは、警察官を名乗る詐欺の連絡で、相手が被害者の氏名と住所を正確に言ってきた事例を報じています。

たとえば「10月3日にご注文いただいた件で、返金の手続きがございます」と、実際の注文日を添えて連絡が来たらどうでしょうか。本物だと思ってしまいそうです。しかし、履歴を知っていることは、相手を信用してよい理由になりません。漏れた情報を使っているだけかもしれないからです。

確かめるときは、届いたメールやSMSのリンクを使わず、自分で開いた公式アプリや公式サイトからログインします。パスワードや認証コードは誰にも渡しません。skyticketも、同社からのメールにパスワード入力用のリンクは含まれておらず、パスワードやカード番号を尋ねることはないと明記しています。

パスワードリスト攻撃対策の土台は管理アプリで使い回しをやめること

使い回しをやめるのが大切だと分かっていても、数十のサービスで別々のパスワードを覚えるのは無理があります。現実的な方法は、パスワードを覚えるのをやめて、仕組みに任せることです。主な管理方法を比べると、次のようになります。

管理方法	費用	使い回し防止	弱点
頭で覚える	0円	難しい（覚えられる数に限界がある）	結局は使い回しやすい
紙のメモ	0円	できる	紛失・盗み見、外出先で使えない
ブラウザの保存機能	0円	できる	別のブラウザや端末に持ち出しにくい
パスワード管理アプリ	無料〜有料	できる	マスターパスワードの管理が重要になる

無料で始めるならブラウザのパスワード保存機能

ChromeやSafariなどのブラウザには、パスワードを自動で作って保存する機能があります。無料で、今日から使えます。使うブラウザやスマホが1つの系統にそろっているなら、まずはこれで十分です。

一方で、パソコンはWindowsでスマホはiPhone、といったように系統が分かれていると、行き来が不便になります。家族と共有したいパスワードを扱いにくい点も弱点です。

端末やブラウザをまたぐなら専用のパスワード管理アプリ

WindowsやMac、iPhoneやAndroidをまたいで使うなら、専用のパスワード管理アプリが向きます。代表的なものに1Passwordがあります。主なブラウザやOSに対応し、流出が確認されたパスワードや使い回しているパスワードを知らせる機能も備えています。

1Passwordは、公式サイトではドル建ての年払いサブスクリプションで提供されています。国内ではソースネクストが、3年分をまとめて買えるライセンスを販売しています。料金や3年版の注意点は、別の記事で詳しく比べる予定です。

1Password 3年版の価格を確認する

パスワードリスト攻撃対策と合わせて、漏れる前提で備える

流出を完全に防げない以上、漏れたときの被害を小さくしておくことが、個人にできるもう1つの備えです。考え方はシンプルで、持っていない情報、預けていない情報は漏れません。

備え	具体的にやること
使っていないアカウントを消す	何年もログインしていないサービスは退会する。持っていない情報は漏れない
登録情報を必要最小限にする	生年月日、性別、家族の誕生日など、任意の項目は入力しない、削除する
機微な画像を残しすぎない	免許証や保険証の画像を、メールやチャット、クラウドに置きっぱなしにしない
明細を定期的に見る	クレジットカードと銀行の明細を月1回は確認し、身に覚えのない利用に早く気づく
書き込む内容に気をつける	チャットやメールにも、他人の悪口など漏れたら困る内容は書かない

タイムズカーの事案では、本人確認に使った運転免許証の画像が流出の対象になりました。銀のさらでは、家族の氏名や誕生日を登録していた場合も対象とされています。登録したときは便利でも、預けた情報は漏れる可能性のある情報になります。

メッセージのやり取りも例外ではありません。アカウントや端末、相手側から漏れることがあり、悪口のような内容が表に出れば、金銭被害だけでなく人間関係を壊すおそれもあります。どれも地味ですが、避難訓練と同じで、事前にやっておくかどうかで、いざというときの被害が変わります。

パスワードリスト攻撃対策のよくある質問

流出の連絡が来たら、まず何をすればいいですか？

まず、そのサービスのパスワードを変えます。変更は、届いたメールのリンクではなく、公式アプリか、自分で開いた公式サイトから行います。次に、同じパスワードを使っている他のサービスも変えます。最後に、クレジットカードの明細と、そのサービスの利用履歴に身に覚えのないものがないか確認します。

ハッシュ化されたパスワードなら、変えなくても大丈夫ですか？

変えたほうが安全です。ハッシュ化されていても、短いパスワードや単純なパスワードは、元の文字列を推測されるおそれがあります。skyticketも、ハッシュ化したうえでパスワードの変更を求めています。

自分の情報が流出しているか、調べる方法はありますか？

各社は、流出の対象者に個別のメールで知らせるのが一般的です。ただし、そのメールを装った詐欺メールも出回るため、本物かどうかは公式サイトのお知らせで確かめます。パスワード管理アプリやブラウザには、流出が確認されたパスワードを知らせる機能もあります。

パスワードを定期的に変える必要はありますか？

使い回しをしておらず、流出の連絡もないなら、定期的に変える必要はないとされています。それよりも、サービスごとに別々のパスワードにすることと、多要素認証を設定することのほうが効果は大きくなります。

まとめ｜パスワードリスト攻撃対策は使い回しをやめることから

2026年9月から10月に相次いだ流出の多くは、企業のサーバーやクラウドへの侵入が原因で、利用者が防げるものではありませんでした。ソフトバンク子会社のクラウドの事案のように、直接契約していない会社から漏れることもあります。攻める側が有利な構造があり、漏れた情報がAIでつなぎ合わされる時代だからこそ、個人は漏れた後に被害を広げない準備をしておく必要があります。

最初の一歩は、メールと金融関係のパスワードを使い回しのない状態にして、多要素認証を設定することです。数が多くて覚えきれないなら、ブラウザの保存機能かパスワード管理をアプリに任せましょう。届いた連絡は、相手がどれだけ自分のことを知っていても、公式アプリで確かめる。この3つを習慣にしておくことが、流出が続く時代の現実的な備えです。

1Password 3年版の価格を確認する

参照

• 株式会社アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（2026年10月9日）https://jp.adventurekk.com/news/apology-notice-unauthorized-access-data-leak/
• 株式会社アドベンチャー「お客様へお送りしたメールについて」（2026年10月8日）https://jp.adventurekk.com/news/apology-unauthorized-access-data-leak/
• INTERNET Watch「『銀のさら』『釜寅』『すし上等』のライドオンエクスプレス、サイバー攻撃で最大約650万件の個人情報漏えいの可能性」（2026年10月13日）https://internet.watch.impress.co.jp/docs/news/2147767.html
• INTERNET Watch「ローソンIDに不正アクセス」（2026年10月8日）https://www.watch.impress.co.jp/docs/news/2147072.html
• NHK「タイムズカー 個人情報流出」（2026年9月29日）https://news.web.nhk/newsweb/na/nd-20260929de53160
• NHK「ソフトバンク子会社に不正アクセス クラウドサービスに障害」（2026年10月7日）https://news.web.nhk/newsweb/na/nd-20261007de56048
• NHK「”詐欺師は名前と住所を正確に言ってきた” 情報流出リスクは」（2026年10月10日）https://news.web.nhk/newsweb/na/nd-20261008de56412
• 株式会社ニッスイ「日水物流株式会社におけるシステム障害について」（2026年10月7日）https://www.nissui.co.jp/news/2026100702.html
• piyolog「IDCFクラウドへのランサムウェア攻撃についてまとめてみた」（2026年10月8日）https://piyolog.hatenadiary.jp/entry/2026/10/08/070606
• piyolog「国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた」（2026年10月11日）https://piyolog.hatenadiary.jp/entry/2026/10/11/004353
• Anthropic「Detecting and countering misuse of AI: September 2026」https://www.anthropic.com/threat-intelligence-report-september-2026

※本記事の情報は2026年10月14日時点のものです。件数や原因は各社の続報で変わる可能性があります。