メールアドレスや認証情報の流出、またはメールアカウントへの不正アクセスが確認された場合は、迅速な初期対応によって被害の拡大を防ぐことが重要です。
また、メールアドレスが漏えいしただけなのか、パスワードなどの認証情報まで流出しているのか、実際にアカウントへ不正ログインされたのかによって、必要となる対策は異なります。
1. 直ちに実施すべき初期対応
パスワードの変更
- パスワードの漏えい、またはアカウントへの不正アクセスが疑われる場合は、対象のメールサービスのパスワードを速やかに変更します。
- 新しいパスワードには、他のサービスで使用していない、十分に強固なパスワードを設定します。
- フィッシングサイトなどにパスワードを入力してしまった場合は、メールやSMSに記載されたリンクを使用せず、サービスの公式サイトや公式アプリから直接変更します。
多要素認証（MFA）の有効化
- 認証アプリやハードウェアセキュリティキーなどを利用した多要素認証を有効化します。
- パスワードが第三者に知られた場合でも、追加の認証要素を設けることで不正ログインのリスクを低減できます。
アカウント設定の確認
アカウントの乗っ取りが疑われる場合は、以下の設定に不審な変更がないか確認します。
- メールの自動転送設定
- 受信トレイのルール
- 返信先アドレス
- メール署名
- 登録済みの復旧用メールアドレスや電話番号
- 最近のログイン履歴や接続端末
身に覚えのない設定やアクセスが確認された場合は、不要な設定やセッションを削除し、アカウントの保護を行います。
関係者への注意喚起
アカウントが第三者に利用された可能性がある場合、取引先や社内関係者などに不審なメールが送信されている可能性があります。
必要に応じて関係者へ注意喚起を行い、不審なリンク、添付ファイル、送金依頼、認証情報の入力要求などに応じないよう周知します。
端末のセキュリティ確認
不正アクセスの原因としてマルウェア感染が疑われる場合は、使用しているPCやスマートフォンについて、セキュリティソフトなどを利用してスキャンを実施します。
情報漏えい状況の確認
ダークウェブモニタリングや情報漏えい確認サービスを活用し、メールアドレスや関連する認証情報が既知のデータ侵害に含まれていないか確認します。
ただし、漏えい情報の検索結果だけで、現在もアカウントが侵害されていると判断することはできません。実際のログイン履歴やアカウント設定なども併せて確認することが重要です。
以下に、過去に発生した情報漏えいのうち、メールアドレスや認証情報などが流出し、ダークウェブ等で確認された代表的な事例を紹介します。
SynthientCredentialStuffingThreat-Data
SynthientCredentialStuffingThreat-Dataは、2025年に発生したデータ侵害の一種で、2億個のユニークなメールアドレスと1.3億個のユニークなパスワードが含まれています。これらのデータは、過去のデータ侵害から得られたもので、攻撃者はこれらの情報を使用して他のアカウントを乗っ取る可能性があります。Synthientは、HIBPと提携して、これらのデータを広く知らしめ、被害者の暴露を理解するための支援を行っています。
TelegramCombolists
Telegram のコンボリスト漏洩は、3 億 6,100 万件のアカウントが盗まれた重大なデータ侵害のため、最近サイバーセキュリティ界で注目の的となっています。パスワード窃盗マルウェア、クレデンシャル スタッフィング攻撃、データ侵害など、さまざまなソースから収集されたこれらの認証情報は、現在、Have I Been Pwned (HIBP) データ侵害通知サービスに追加されています。コンボリストは「コンビネーション リスト」の略で、さまざまなソースから盗まれた、または漏洩したユーザー名とパスワードをまとめたものです。これらのリストはサイバー犯罪コミュニティ内で頻繁に配布され、クレデンシャル スタッフィング攻撃などの悪意のある活動に使用されます。
AlienStealerLogs
データベースの漏洩事件に関連するデータベース
AlienStealerLogsは、2025年2月に発生したデータベースの漏洩事件に関連するデータベースです。この漏洩は、TelegramチャンネルALIEN TXTBASEから取得され、23億の行のスナップショットログが含まれています。これらのログには、284百万のユニークなメールアドレス、それらのウェブサイト、および使用されたパスなどが漏洩
Cit0day
2020年11月に公開されたデータベースのコレクションで、23,000以上の脅威サイトに関連する226億のユニークのメールアドレスとパスワードペアが含まれています。このデータは、さまざまなハッキングフォーラムで共有され、不正アクセスやパスワードフィッシングのリスクを引き起こす可能性があります。
Antipublic
AntiPublicは、コンボリストをチェックし、一般公開されているメールアドレスや不要なメールアドレスを除外することで、より品質の高い非公開データを選別するためのツールです。
2844Breaches
2018年2月、約3,000件のデータ侵害に由来するとされる大規模なデータコレクションがオンライン上で発見されました。そのデータの一部は、以前から確認されていたものでしたが、2,844個のファイルに含まれる8,000万件を超える一意のメールアドレスについては、それまで確認されていませんでした。各ファイルには、メールアドレスと平文（暗号化されていない）のパスワードの両方が含まれていたため、これらのデータはまとめて1件の**「未検証（unverified）のデータ侵害」**として登録されました。
Dropbox
Dropboxは世界中で広く使われているクラウドストレージサービスですが、利便性と引き換えにセキュリティ面の危険性も指摘されています。
Collection1
Collection#1事件と日本の被害：26億9,000万件漏洩事件の中に「42サイト」と「2,000万パスワードが含まれる漏洩です。平成最後の正月となる2019年1月7日頃、あるハッカーフォーラムにCollection#1（コレクション・ナンバー１）という名称の巨大な漏洩データの塊の存在が投稿されました。
LinkedInの侵害は、個人の被害にとどまらず、企業の信頼や取引に波及しやすい点が特徴です。 公開プロフィールから技術スタックや担当範囲が推測されると、標的型メールや偽担当者による接触の精度が上がります。 結果として、VPNアカウントの窃取やマルウェア感染の入口になる可能性があります。
Exploit.In
2016年後半、「Exploit.In」という名称で、メールアドレスとパスワードを大量に集めたデータセットがインターネット上に出回りました。調査によると、このリストには 591,259,391行のデータが含まれており、そのうち、591,206,730行にパスワード、591,259,391行にメールアドレス、が含まれていました。データベース上で推定されている漏えい日は、2016年10月13日です。重要なのは、これは特定の1社がハッキングされて発生した単一の情報漏えいではないという点です。
KayoMoe
2018年9月11日に発覚したデータベースの侵害です。この侵害では、約4200万のメールアドレスとパスワードのペアが匿名のファイル共有サービスKayoMoeにアップロードされました。このデータは、Credential Stuffingリストとして知られ、複数の以前のデータベース侵害から抽出されたハッシュを組み合わせたものです。このリストは、他のオンラインアカウントへの自動的なログイン試行を引き起こす可能性があります。
Nitro
Nitro Softwareの2020年の侵害は、2020年9月28日に発生したデータ侵害です。この攻撃により、約100,628,129人のユーザー情報が漏洩し、77.1百万の行が含まれていました。攻撃者は、Google、Apple、Microsoft、Chase、Citibankなどの大企業のユーザー情報を含む、70百万のユーザー記録をハッカーのフォーラムで販売しました。Nitroはこの事件を「低影響のセキュリティインシデント」として報告しましたが、最終的には、1TBの文書が含まれる77,159,696件のレコードが公開されました。
Lifebear
Lifebearの2019年のデータ侵害は、2019年2月28日に発覚しました。このデータ侵害では、約370万人のユニークなメールアドレス、ユーザー名、パスワードが、塩化されたMD5ハッシュとして暗号化されて存在していたことが明らかになりました。この情報は、ダークウェブマーケットプレイスで販売されており、ユーザーのプライバシーに深刻な影響を及ぼしました。パスワードはMD5ハッシュとして保存されており、現代のセキュリティ基準では非常に脆弱です
Adobe
2013 年の侵害記録は、Adobe ID のパスワード保護、支払いデータの範囲、製品ソースコードの管理、顧客によるリセット対応、公的な保証を一つの共通の問いに結びつけた。 すなわち、アカウント盗難とコード盗難が封じ込められたことを誰が証明できるのか、という問いである。 Adobe は 2013 年 10 月、攻撃者が Adobe の顧客 ID、暗号化されたパスワード、一部の顧客注文および支払いカード情報、さらに複数製品のソースコードにアクセスしたと公表した。
Dailymotion
2016年10月20日に、Dailymotionは重大なデータ侵害を受けました。この攻撃により、85.2百万のユニークなメールアドレスとユーザーアカウントが盗まれ、約18.3百万のアカウントにはbcryptハッシュされたパスワードが保護されていました。攻撃者はこのデータを引き渡し、Dailymotionはその後、ユーザーにパスワードをリセットするよう警告しました。この攻撃は、Dailymotionが世界で最も訪問されたウェブサイトの一つであったことを考慮すると、非常に大きな影響を及ぼしました。
Vietnam Airlines
Vietnam Airlinesでは、2025年6月にデータ侵害が発生し、約2,310万人の顧客の個人情報が影響を受けました。攻撃者は同社のSalesforce環境に不正アクセスし、以下のような個人情報が流出しました。
氏名、電話番号、メールアドレス、生年月日、一方で、Vietnam Airlinesの基幹ITシステムおよび決済情報は安全であり、パスワード、決済情報、パスポート番号への影響はなかったとされています。
NotSOCRadar
NotSOCRadarは、2024年8月にデータ侵害を受けた。この侵害では、約282百万の有効なメールアドレスが公開された。このデータは、ソーシャルメディアやハッキングフォーラムにアップロードされ、NotSOCRadarのシステムや顧客データが侵害されたわけではないことが確認された。
2. 被害を拡大させないための追加対応
使い回しているパスワードの変更
同じ、または類似したパスワードを他のオンラインサービスでも使用している場合は、それらのアカウントについても個別のパスワードへ変更します。
特に以下のアカウントは優先して確認します。
- オンラインバンキング・金融サービス
- EC・オンラインショッピング
- SNS
- クラウドサービス
- Microsoft、Google、Appleなどの主要アカウント
- 業務用システム
これは、流出したメールアドレスとパスワードの組み合わせを別のサービスでも試す**「クレデンシャルスタッフィング」**への対策としても重要です。
公式情報の確認
「情報が漏えいした」「アカウントを停止する必要がある」などの通知を装ったフィッシングにも注意します。
メールやSMSに記載されたリンクからアクセスするのではなく、サービス提供事業者の公式サイトや公式アプリなど、信頼できる経路から情報を確認します。
3. 日頃から実施すべき予防策
パスワードを適切に管理する
- サービスごとに異なるパスワードを使用する
- 推測されにくい十分な長さのパスワードを設定する
- パスワード管理ツールの利用を検討する
- 利用可能なサービスでは多要素認証を有効にする
不審なメールやリンクを開かない
送信元、本文、リンク先などを確認し、不審なメールに記載されたリンクや添付ファイルを安易に開かないようにします。
特に、パスワード変更、本人確認、アカウント停止、請求・支払い、緊急対応などを理由に操作を急がせるメールには注意が必要です。
メールアドレスを用途に応じて使い分ける
必要に応じて、業務用、個人用、各種サービス登録用など、用途ごとにメールアドレスを分けることも、漏えい発生時の影響範囲を限定する方法の一つです。
