パスワードが1つ漏れたらどうなる？使い回しが危険な理由

1．パスワードが漏れると別サイトまで危ない理由

ネットショッピング、SNS、動画配信、メールなど、私たちは多くのサービスにアカウントを登録しています。サービスごとに異なるパスワードを覚えるのは大変です。そのため、使い慣れた同じ文字列を複数のサイトで設定している人もいるでしょう。

便利に思えるこの方法には、見落としやすい危険があります。1カ所で認証情報が漏れたとき、ほかのサービスでも同じ情報を使われるおそれがあるのです。

IDとパスワードは何を確認している？

 ログインIDは、サービスが利用者を識別するための情報です。メールアドレスをIDとして使うサイトも少なくありません。一方、パスワードは原則として本人だけが知る秘密の情報であり、入力された組み合わせなどによってログインの可否が判断されます。

例えば、ショッピングサイトA、SNSのB、動画配信サイトCに同じメールアドレスとパスワードを登録しているとします。

仮にAで使っていたIDとパスワードが第三者に知られた場合、その組み合わせをBやCにも試すことができます。BやC自体から情報が流出していなくても、使い回しによって不正ログインの危険が生じます。

ただし、「個人情報が流出した」という発表が、必ずパスワードの流出を意味するわけではありません。氏名やメールアドレスだけの場合もあり、何が漏れたかによって必要な対応は変わります。

長く複雑なパスワードでも使い回しは危険

文字数が多く、推測されにくいパスワードを使うことは重要です。しかし、パスワードが複雑でも、文字列そのものが知られれば別の話になります。同じ情報をほかのサイトにも登録していれば、攻撃者はパスワードを推測せずにログインを試せてしまいます。

「推測されにくいこと」と「使い回さないこと」は、別々に必要な対策なのです。

2．流出した情報を悪用する「リスト型攻撃」

パスワードの使い回しを狙う代表的な手口が「リスト型攻撃」です。「パスワードリスト攻撃」とも呼ばれ、何らかの方法で入手したIDとパスワードの組み合わせを、ほかのサービスへのログインに利用します。

1つの流出が別サイトへ広がる流れ

攻撃者は、流出した認証情報を使って別のサイトにもログインを試みます。大量の組み合わせを自動で入力する場合もあります。

1. 認証情報を入手する：流出などによってIDとパスワードの組み合わせが第三者の手に渡る。
2. 別のサイトで試す：入手した組み合わせをほかのサービスのログイン画面に入力する。
3. 不正ログインにつながる：同じ組み合わせが登録され、追加認証などで阻止されなければログインに成功する場合がある。
4. アカウントを悪用する：登録情報の閲覧や不正注文などが行われるおそれがある。

ここで重要なのは、攻撃者が新しいパスワードを当てる必要はないという点です。すでに入手した情報がほかでも使われていないかを確認する攻撃だからです。

総当たり攻撃やフィッシングとの違い

IPA（独立行政法人情報処理推進機構）も、こうした手口とパスワードの使い回しに注意を呼びかけています。攻撃を受けても、必ず不正ログインが成功するわけではありません。

サービスごとに異なるパスワードと追加の認証が、被害の連鎖を断つ対策になります。

3．不正ログイン＝お金を盗まれる？

不正ログインで気になるのは、お金に関係する被害です。ただし、不正ログインと不正送金は同じではありません。

不正ログインは、第三者が本人の許可なくアカウントに入ることです。一方、不正送金は、本人の承諾なく銀行口座などから資金を送る行為を指します。

金融サービスによっては、ログイン後に送金や出金をする際、追加の認証や確認が必要です。ログインされたからといって、必ず資金を動かされるわけではありません。

もっとも、追加認証に必要な情報まで盗まれたり、偽の案内に従って本人が認証を承認してしまったりすれば、金銭被害につながるおそれがあります。

ショッピングサイトでは、どんな被害が起こる？

例えば、通販サイトに不正ログインされると、貯めていたポイントを使われたり、登録済みの決済手段で勝手に注文されたりする可能性があります。住所や購入履歴が見られたり、届け先が変更されたりする危険もあります。

IPAが2026年7月22日に公表した相談事例には、ショッピングサイトで身に覚えのない注文が行われ、第三者のカード情報や届け先が登録されていたケースが掲載されています。ただし、この事例で不正ログインの原因がリスト型攻撃だったとは特定されていません。

また、本人の金銭被害が確認された事例として紹介されているわけでもありません。

実際の相談事例からわかるのは、お金を失う前の段階でもアカウントが勝手に操作されることがある、という点です。

メールが乗っ取られると別のサービスにも影響

特に注意したいのはメールアカウントです。

多くのサービスでは、パスワードを忘れた際に登録済みのメールアドレスへ再設定の案内が届きます。メールを第三者に操作されると、別のサービスのパスワード再設定まで悪用されるおそれがあります。

SNSでも、乗っ取られたアカウントから知人へ不審なメッセージを送り、送金を求めるような被害が起きています。直接お金を扱わないアカウントも、金銭被害と無関係ではないのです。

4．多要素認証とパスキーの違い

最初の対策は、サービスごとに異なるパスワードを設定することです。さらに、パスワードだけでログインできない仕組みを利用すれば、認証情報が漏れた場合の危険を減らせます。

多要素認証は異なる種類の情報を組み合わせる

本人確認に用いられる要素は、大きく次の3種類です。

• 知識情報：パスワードや暗証番号など、本人が知っている情報
• 所持情報：スマートフォンやセキュリティキーなど、本人が持つもの
• 生体情報：指紋や顔など、本人の身体的な特徴

多要素認証は、異なる種類の要素を2つ以上組み合わせる仕組みです。例えば、パスワードの入力に加え、スマートフォンの認証アプリが表示する確認コードを求める方式があります。

パスワードが第三者に知られても、それだけではログインできなくなるため、安全性が高まります。ただし、偽サイトで確認コードまで入力させる攻撃などもあり、完全に被害を防げるわけではありません。

パスキーは秘密の文字列をサイトへ入力しない

多要素認証は「異なる種類の要素を組み合わせる」という考え方で、パスキーは公開鍵暗号を使う具体的な認証方式です。両者は対立するものではありません。

パスキーは、パスワードに代わるログイン方法です。一般的には、スマートフォンやパソコンの顔認証・指紋認証、端末の画面ロックを解除するPINなどでログインを承認します。

仕組みの中心にあるのは「公開鍵暗号」です。サービス側には公開鍵を登録し、認証に使う秘密鍵は利用者側で管理します。ログイン時に秘密鍵そのものをサイトへ送らないため、従来のパスワードのように同じ秘密の文字列を複数のサイトで共有する必要がありません。

登録先のサイトと結び付く仕組みなので、偽サイトに認証情報を盗まれる攻撃にも強い特徴があります。

顔や指紋による確認は基本的に利用者の端末側で行われ、顔や指紋の情報そのものがログイン先のサイトへ送られるわけではありません。

パスキーの利用方法はサービスごとに異なり、端末の標準機能や対応する認証アプリなどを使います。なお、認証アプリが表示する数字のコードを入力する方式と、パスキーによる認証は別の仕組みです。

5．パスワードが漏れたときの対応策

情報流出の案内や身に覚えのないログイン通知が届いたら、まず公式サイトや公式アプリから状況を確認しましょう。特に重要なのは、パスワードを含むどのような情報が流出したのかという点です。偽の警告を送り、認証情報を盗む手口もあるため、メール内のリンクを安易に開かないよう注意してください。

① 流出が疑われるパスワードを変更する

パスワードが流出した、または第三者に知られた疑いがある場合は、速やかに変更します。新しいパスワードには、過去に使っていない、長く推測されにくいものを設定しましょう。

すでに不正ログインされた疑いがある場合は、登録済みのメールアドレスや電話番号が勝手に変更されていないかも確認してください。

② 同じパスワードを使った別のサイトを優先確認する

流出元のサイトだけ変更しても、ほかで同じパスワードを使い続けていれば危険は残ります。メールアカウントや金融サービスなど、被害が広がりやすいものを優先し、それぞれ異なるパスワードに変更しましょう。

複数のパスワードを覚えにくい場合は、信頼できるパスワード管理ツールを使う方法もあります。

③ 多要素認証やパスキーを設定する

対応するサービスでは、多要素認証やパスキーを有効にします。また、身に覚えのない認証通知が届いても、安易に承認してはいけません。

すでに第三者がログインしている疑いがある場合、パスワードの変更だけではそのログイン状態が解除されないこともあります。利用中の端末やセッションを確認し、必要に応じてほかの端末をログアウトさせましょう。

④ 注文履歴・取引履歴・登録情報を確認する

パスワードを変更しても、すでに行われた操作が取り消されるわけではありません。身に覚えのない注文、送金、ポイント利用、届け先の変更などがないか確認します。

不審な利用が見つかった場合は、サービス提供会社や金融機関、カード会社へ速やかに連絡してください。ログインできないときは、公式のアカウント復旧手順やサポート窓口を利用します。

「変更したからもう安全」と決めつけず、ほかのサービスへの影響と、すでに行われた操作の両方を確認することが大切です。

まとめ｜流出を、ほかのサービスの被害に広げない