2025年6月、インターネット史上最大規模となる「160億件超」のパスワードを含むログイン情報が流出したことが明らかになりました。この事件、「自分は大丈夫だろう」と思っている方も多いでしょうが、実はAppleやGoogleといった誰もが使っているサービスのアカウント情報も含まれているので他人事ではありません。
そこで、この大規模流出事件の全容と、今すぐできる具体的な対策について詳しく解説していきます。
事件の全容：何が起きたのか？
まずは今回の流出事件がどれほど深刻なものなのか、具体的な数字と影響範囲を見ていきましょう。
規模の大きさに驚愕
2025年初頭から、サイバーセキュリティ研究機関「Cybernews」の調査チームが継続的に調査を進めた結果、30の巨大なデータセット（各数千万～35億件）から合計160億件のログイン情報が発見されました。この規模は、想像をはるかに超えています。
流出した情報に含まれるサービスを見ると、普段使っているものばかりです。
- Apple
- GitHub
- Telegram
これらの世界的なサービスのアカウント情報が含まれているということは、もはや「他人事」では済まされません。
新規流出データがほとんど
今回の事件で特に深刻なのは、ほぼ全てが新規流出データであることです。過去に報告された使い回しのデータではなく、新たに盗み取られた情報が大部分を占めています。
流出したデータの内容も、次のように多岐にわたります。
- URL
- ログインID
- パスワード
- セッショントークン
- クッキー
- メタデータ
個人利用から企業・政府関連まで、幅広い範囲に影響が及んでいることが判明しています。これだけの情報があれば、サイバー犯罪者にとっては「宝の山」のようなものでしょう。
原因は何だったのか？
これだけ大規模な流出が起きた背景には、複数の要因が絡み合っています。主な原因を詳しく見ていきましょう。
インフォスティーラー型マルウェアが主犯
今回の大規模流出の主な原因は、インフォスティーラー（Infostealer）型マルウェア（情報窃取型マルウェア）の感染拡大とされています。
インフォスティーラーとは、ユーザーのデバイスに密かに侵入し、個人情報や認証情報を盗み出すマルウェアの一種です。特に次のような情報が標的になります
- Webブラウザに保存されたログインID・パスワード
- クレジットカード情報
- セッショントークンやCookie
- 通信履歴やフォーム入力内容
多くはメールの添付ファイルや偽のWebサイト経由で感染し、感染してもPCやスマホの動作には大きな変化がないため、被害に気づきにくいのが特徴です。最近ではAIを活用してより巧妙化しており、誰もが標的になる可能性があります。例えば、「なんか最近パソコンの調子が悪いな」程度にしか感じない場合も多いため、被害に気づくのが遅れがちです。
セキュリティ設定の甘さも問題に
マルウェア以外にも、セキュリティ設定が不十分なデータベースからの流出も確認されています。
- Elasticsearch
- オブジェクトストレージ
これらのシステムで適切なセキュリティ対策が取られていなかったことが、データ流出の一因となったようです。
小さな事件の積み重ねが巨大な問題に
今回の160億件という数字は、一度に流出したものではありません。長期間にわたって複数の小規模事件が蓄積され、大規模な流出に至ったのが特徴です。
流出したデータは現在ダークウェブで売買され、サイバー犯罪者によるアカウント乗っ取りやフィッシング詐欺の温床となっているのが現状です。
通常の検索エンジンでは表示されないインターネットの匿名領域のこと。特別なブラウザ（例：Tor）を使わないとアクセスできず、匿名性が高いため、違法な取引や情報売買の温床となっています。
今回のようなパスワード流出事件では、盗まれた情報がダークウェブ上で売買されることが多く、犯罪者にとっては「マーケットプレイス」として機能しています。
元々、ダークウェブ自体は技術的には中立な存在ですが、その匿名性ゆえに悪用されやすくなっています。
アカウントを守るために今すぐできる対策
ここからが本題ですね。事件の概要が分かったところで、「じゃあ、どうすればいいの？」という疑問にお答えします。具体的で実践しやすい対策を順番に見ていきましょう。
1. パスキーを導入する（最も効果的な対策）
実は、パスワード流出に対する最も効果的な対策はパスキー（Passkey）の導入です。パスキーは、パスワードそのものを不要にする革新的な認証技術で、生体認証（指紋や顔認証）やPINを使ってログインできます。
パスキーの優れた点は次のとおりです。
- パスワードが存在しないため、流出のリスクがゼロ
- フィッシング攻撃に対しても強力な耐性を持つ
- 使用感はパスワードよりもむしろ簡単
パスキーに対応している主要サービスには、次のようなものがあります。
- Google（Googleアカウント）
- Apple（Apple Account）
- Microsoft（Microsoftアカウント）
- Amazon
- PayPal
- GitHub
- Yahoo! JAPAN
- メルカリ
- NTTドコモ（dアカウント）
- 任天堂（ニンテンドーアカウント）
対応サービスでは、設定画面から「パスキー」または「セキュリティキー」の項目を探して有効化できます。一度設定すれば、今後はパスワードを入力する必要がなくなります。
パスキーについては、設定方法も含めて👇の記事で詳しく解説していますので、併せてご覧ください。
2. パスキー未対応サービスのパスワードを今すぐ変更
パスキーが理想的とはいえ、まだすべてのサービスが対応しているわけではありません。パスキー未対応のサービスについては、すべての重要アカウントのパスワードを直ちに変更しましょう。
パスキー未対応で特に注意すべきサービス例：
- 一部のSNS（TwitterはX Proユーザーのみ対応、Instagramは未対応など）
- 小規模なクラウドサービスやWebサービス
- 古いシステムを使用している金融機関
- 企業の社内システム
- オンラインショッピングサイト（一部）
同じパスワードを複数のサービスで使い回している場合は、すべて異なるものに変更しましょう。「面倒だな」と思われるかもしれませんが、これは本当に重要な作業です。
3. 強力なパスワードを設定する
パスワードを変更するなら、推測されにくい強力なものにしたいですよね。強力なパスワードとは、次のような条件を満たしているものです。
- 英大文字・小文字・数字・記号を組み合わせる
- 8桁以上の長さ（できれば12桁以上）
- 辞書に載っている単語は避ける
- 誕生日や名前など、個人情報に関連する文字列は使わない
「そんな複雑なパスワード、覚えられないよ」という方もいるでしょう。そこで次の対策が重要になってきます。
4. パスワード管理ツールを活用する
パスワードマネージャーを使えば、各サイトごとに強力なパスワードを自動生成・管理できます。これは本当に便利で、一度使い始めると手放せなくなります。
パスワード管理ツールには次のようなものがあります。これらのツールを使えば、複雑なパスワードを覚える必要がなくなり、各サービスで異なる強力なパスワードを設定できます。
- 1Password
- LastPass
- Bitwarden
- ノートンパスワードマネージャー
ちなみに私自身は、1Passwordを使用しています。複数のデバイス間でシームレスにパスワードやパスキーを管理できるのが非常に便利で、日常的なログイン作業のストレスが大きく減りました。MacやWindows、iPhone、Androidすべてに対応しているため、環境を問わず同じ使い勝手で利用できるのも魅力です。
パスキーの保存にも対応しており、設定も直感的で使いやすいので、「パスワード管理アプリは初めて」という方にもおすすめできます。
なお、購入する際は公式サイトよりも、Amazonでソースネクストが販売している3年版のライセンスの方が価格的にお得です。長く使う予定がある方は、こちらを検討されると良いでしょう。
5. 多要素認証（MFA）の導入
パスワードだけでなく、「別の要素」を追加して不正ログインを防止する仕組みです。「2段階認証」や「2要素認証」というのがそれに当たります。
- スマートフォン認証（SMS、アプリ認証）
- 生体認証（指紋、顔認証）
- ハードウェアトークン
多くのサービスは多要素認証に対応しているので、各サービスの設定画面から有効にしましょう。最初の設定は少し手間ですが、セキュリティ効果は絶大ですよ。
6. 定期的なセキュリティチェックとアップデート
日頃からできる対策として、以下を心がけましょう：
- OSやアプリを常に最新の状態に保つ
- セキュリティソフトを導入し、定期的にスキャンする
- 不審なメールやSMSのリンクは絶対にクリックしない
- 公共Wi-Fiでの重要な作業は避ける
「アップデートの通知が来ても後回しにしがち」という方も多いと思いますが、セキュリティ面では非常に重要な作業なんです。
7. パスワード流出チェックサービスの活用
不安な場合は、自分のメールアドレスやパスワードが過去の流出事件に含まれていないかを確認するサービスを使って、自分のメールアドレスやパスワードが危険に晒されていないかを確認してもいいでしょう。
Googleアカウントを使っている方なら、Google自身が提供する「パスワードチェックアップ」を試してみてください。これは、ChromeやAndroidに保存されたパスワードを自動でチェックし、次の問題を検出してくれます。
- 漏洩したパスワード：既知の流出データベースに含まれているパスワード
- 使い回しているパスワード：複数のサイトで同じパスワードを使用
- 弱いパスワード：推測されやすい簡単なパスワード
Googleアカウント以外のパスワードをチェックしたい場合は、次のようなサービスを利用するといいでしょう。
- Have I Been Pwned：ダークウェブを直接検索してパスワードの流出をチェックする
- アカウント流出チェッカー：データベースに登録されている流出したアカウントをチェックする
定期的にチェックして、万が一流出が確認された場合は、該当するサービスのパスワードを即座に変更しましょう。なお、ここで紹介したサービスの使い方は、後日記事を作成しますので、定期的に確認してみてください。
まとめ：「サイバー衛生」を日常に
今回の160億件規模のパスワード流出は、インターネット利用者なら誰もが当事者となり得る「史上最大級」の事件です。「自分だけは大丈夫」という考えは、もはや通用しません。
今後も同様の大規模流出は繰り返される可能性が高く、私たち1人ひとりが「サイバー衛生」を意識する必要があります。具体的には、次のような行動が重要です。
- パスキーの導入：対応サービスでは積極的にパスキーを使用
- パスワードの見直し：パスキー未対応サービスでは異なる強力なパスワードを使用
- 多要素認証の導入：パスワード以外の認証要素を追加
- パスワード管理ツールの活用：人間の記憶に頼らない仕組み作り
これらの対策、確かに最初は面倒に感じるかもしれません。でも、一度仕組みを整えてしまえば、むしろ今までより安全で快適にインターネットを利用できるようになります。
