パスワードや個人情報が漏洩した12個の事件事例！主なサイバー攻撃や対策も解説

近年、企業や個人を狙ったサイバー攻撃による情報漏えい事件が相次いでいます。メールアドレスやパスワード、クレジットカード情報などがダークウェブ上に流出するリスクは、誰にでも身近な問題です。本記事では、実際に発生した12件の重大な情報漏洩事件を取り上げ、どのような手口が使われたのか、被害の背景や影響、さらに私たちが今すぐ取るべき対策についてもわかりやすく解説します。

パスワードや個人情報が漏洩した12個の事件事例

ここでは、実際にパスワードや個人情報が漏洩した以下の12個の事件事例を紹介します。

• 京都大学
• ウエルシア薬局
• カレルチャペック紅茶店
• mog
• ジャパンライム
• BKジャパン
• 日本大学
• 日本年金機構
• ユニクロ
• hulu
• KADOKAWA
• 矢野経済研究所

京都大学

京都大学では、2020年に約半年間にわたり学生・教職員約4万人の個人情報（氏名、ID、暗号化されたパスワード、メールアドレス）が外部から閲覧・取得できる状態になっていました。原因は2020年6月のシステム構築時のアクセス制限設定の不備による人為的ミスです。2021年1月4日に問題を発見し、即時に対処した結果二次的被害はありませんでした。今後はパスワード強化やセキュリティ体制の見直しを行うとしています。

ウエルシア薬局

2024年10月24日、ウエルシア薬局において、顧客情報が漏えいした可能性があることが明らかになりました。被害を受けたのは、同社が展開する公式オンラインストア「ウエルシアドットコム」に関連する端末です。発端は、同社従業員が誤ってサポート詐欺サイトにアクセスしてしまったことで、サイトの指示に従いリモート操作用のソフトウェアを導入してしまい、不正アクセスが可能な状態になったと説明されています。

顧客情報が最大で39,805名分流出し、従業員931名分の氏名、所属部署、会社メールアドレスなども外部に流出した可能性があります。

ウエルシア薬局は、再発防止に向けて今後は社内の情報セキュリティ教育を強化し、個人情報を扱う業務手順の見直しとセキュリティ対策の強化を進めていく方針です。

カレルチャペック紅茶店

英国紅茶を主力商品とする「カレルチャペック紅茶店」では、2024年5月に公式オンラインショップに存在していた脆弱性が悪意ある第三者に悪用され、決済システムの一部が改ざんされていたことが発覚しました。このセキュリティ侵害により、約5万8千件のクレジットカード情報と、10万3千件超の個人情報が流出した恐れがあることが判明しました。カレルチャペック社は問題を確認次第、オンラインストアを閉鎖し、第三者調査機関による精査を実施。並行してカード会社と連携し、不正利用の監視や再発行手続きへのサポートを開始しました。手数料の補償や注意喚起も行うなど、被害拡大の防止に尽力しています。

mog

子ども向け食品の販売を行う株式会社mogは、2024年に自社ECサイト「こども栄養バランスmogオンラインストア」にて最大で3,484件の個人情報と2,153件のクレジットカード情報が流出した恐れがあると発表しました。情報が漏えいした可能性があるのは、2021年3月5日から2024年5月21日までの間に「こども栄養バランスmogオンラインストア」で新たにカード情報を入力して注文を行ったユーザーで、カード番号・有効期限・セキュリティコード・カード名義人といった決済情報が対象です。

同社は該当するユーザーに対し、クレジットカードの利用明細に不審な請求がないかを確認し、不正な請求が見つかった場合は速やかにカード会社へ連絡するよう注意喚起を行いました。

ジャパンライム

ジャパンライム株式会社は、2024年11月に一般社団法人日本医療機器販売業協会から委託されていた「2024年度継続的研修」に関連する業務において、誤ったメール送信により6,804件の個人情報が漏えいしたと発表しました。誤って情報が送られたのは、協会に加盟する2社で、研修の受講状況リストを共有する際、本来送付すべきでない別企業の受講申込者情報まで含まれていました。

問題が判明した後、ジャパンライム社は対象となった企業に連絡し、誤送信されたメールの削除を依頼しました。再発防止に向けて、今後はデータ送付時の運用手順の見直しと厳格な管理体制の強化に取り組むとしています。

BKジャパン

2024年10月22日、株式会社ビーケー・ジャパンは、バーガーキングの公式アプリにおいて顧客情報の一部が外部に漏えいしていたことを明らかにしました。8月15日時点で30件のアプリ会員情報が漏えいしていたことがわかり、その後、10月8日にさらに8件が追加で判明し、合計38件となりました。

流出の対象となった情報は、会員のメールアドレス、アプリ用パスワード、登録済みクレジットカードのブランド名と有効期限です。ただし、カード番号やセキュリティコードなど、決済に必要な情報については外部に漏えいしていませんでした。

ビーケー・ジャパンでは、該当する会員に対して個別に連絡を行い、カスタマーサポートへの問い合わせを案内しています。

日本大学

日本大学では、第三者が不正に取得したメールアドレスおよびパスワードを用いて、ショッピングサイトなどで他人になりすまして商品を購入して逮捕された男性の所持品であるPCから、日本大学が発行したと思われるメールアドレスとパスワードの組み合わせが870件見つかりました。

2025年4月7日時点ではどのようにして漏えいしたのか、いつ流出したのか、また実際に不正利用されたかどうかといった詳細については、捜査中のため明らかになっていません。日本大学は、対象となるメールアドレスの利用者に対して個別に連絡を取り、パスワードの変更を呼びかけるなどの対応を進めています。

日本年金機構

2015年、日本年金機構の年金情報管理システムが外部からの不正アクセスを受け、約125万件の大量の個人情報が漏えいしたことが明らかになりました。感染の原因は、悪意あるメールの添付ファイルを開いたことで、個人情報を扱うサーバとインターネット接続可能な端末が連携されており、情報システム全体にウイルスが拡散されました。少なくとも十数台の端末が感染したとみられています。内閣サイバーセキュリティセンターは5月8日に厚労省経由で不正アクセスの可能性を指摘していましたが、機構側はウイルスパターンファイルの更新をもって問題が収束したと誤認し、対策が後手に回ってしまったのが被害拡大の原因の一つです。

日本年金機構は警視庁に正式に被害を通報し、専用の電話窓口を開設して対応に追われました。また、今後の再発防止策として、外部の専門家を交えた調査・対策委員会を設置し、情報セキュリティ体制の見直しに取り組みました。

ユニクロ

ファーストリテイリングは、グループブランドである「ユニクロ（UNIQLO）」および「ジーユー（GU）」の公式オンラインストアにおいて、正規のユーザー以外による不正ログインが確認されたことを公表しました。影響を受けたアカウントは合計で46万1,091件にのぼり、第三者に閲覧された恐れのある情報には、名前、住所、連絡先、購入商品のサイズ、さらにクレジットカードの一部情報などが含まれているとされています。

ファーストリテイリングは、5月13日には不正アクセスの発信元を特定し、該当する通信を遮断したと説明しています。また、情報漏えいの可能性がある顧客には、同日にパスワード変更の案内を個別に送付しました。

Hulu

2024年9月24日、HJホールディングス株式会社が提供する動画配信プラットフォーム「Hulu」において、複数の不正ログインが確認され、ユーザーに対して注意喚起が行われました。今回の不正アクセスによる影響を受けたアカウントは合計779件にのぼり、氏名・生年月日・性別・メールアドレス・ログインに使用される端末情報などが外部に漏れた可能性があると報告されています。なお、被害は現在利用中のユーザーだけでなく、過去にHuluを退会した利用者にも及んでいます。

運営元のHJホールディングス社は、不審なアクセス元であるIPアドレスのブロックを実施し、影響を受けたアカウントに対してはパスワードの強制リセットを行いました。また、今回の事案を受け、同社はすべての利用者に対し、Hulu以外のオンラインサービスでも同一のIDやパスワードを使用している場合は、速やかに変更するよう強く呼びかけました。

KADOKAWA

2024年8月5日に、KADOKAWAは同社がサイバー攻撃を受けた結果、25万4,241人分の個人情報が漏えいしていたことを明らかにしました。漏えいした情報のうち、約7割にあたる18万6,269件は、N高・S高を運営する角川ドワンゴ学園に関連するもので、ドワンゴおよびその関係会社の従業員、取引先の一部関係者に関する情報も外部に流出していました。KADOKAWAは、対象となる個人には、個別に連絡を取るとともに、専用の相談窓口も設けて対応しています。

矢野経済研究所

矢野経済研究所は、自社ウェブサイトが外部からの不正アクセスを受け、会員情報が漏えいした可能性があることを明らかにしました。対象となる情報は、メールアドレスおよび暗号化されたパスワードで、最大で101,988件にのぼる可能性があるとのことです。再発防止の一環として、矢野経済研究所はセキュリティ強化を進めており、既に脆弱性を防ぐためのセキュリティツールの導入を実施しています。

不正なパスワードの入手や認証の突破を狙う5つのサイバー攻撃

不正にパスワードを入手したり、認証を突破しようとしたりする際に用いられる代表的なサイバー攻撃は以下の5つです。

• ブルートフォースアタック
• パスワードリスト攻撃
• 辞書攻撃
• パスワードスプレー攻撃
• ショルダーハッキング

ブルートフォースアタック

ブルートフォースアタック（総当たり攻撃）とは、考えうるすべてのパスワードや認証キーの組み合わせを全て試すことで、正しい情報を見つけようとするサイバー攻撃手法です。非常に原始的ではありますが、理論上は必ず突破可能なため、シンプルかつ確実性が高い方法といえます。

⇒ブルートフォース攻撃とは？被害例や対策をわかりやすく解説

パスワードリスト攻撃

パスワードリスト攻撃とは、すでに別のサービスで流出・漏えいしたIDとパスワードの組み合わせを、他のオンラインサービスに流用して不正ログインを試みる攻撃手法です。パスワードリスト攻撃は「リスト型攻撃」「アカウントリスト型攻撃」とも呼ばれ、流出した組み合わせを流用して、重要な個人情報の閲覧や金融取引、機密データへのアクセスなどを許してしまうことがあります。

辞書攻撃

辞書攻撃は、あらかじめ用意された「辞書（パスワード候補リスト）」に基づいて、順にパスワードを試して認証突破を狙う手法です。辞書攻撃はブルートフォース攻撃と同類ですが、大量のランダムな文字列ではなく、人間が好んで使う語句やパターンに絞る点で効率と成功率が高いのが特徴です。

パスワードスプレー攻撃

パスワードスプレー攻撃は、アカウントロックを回避するために、少数の一般的なパスワードを大量のアカウントに対して順番に試す「低速かつ広範囲なブルートフォース」手法です。攻撃者は特定のIDやアカウントを狙うのではなく、幅広いユーザーに対して同じパスワードを試すことで効率的に不正アクセスを試みるのが特徴的です。

ショルダーハッキング

ショルダーハッキングとは、物理的に被害者に近づいて入力画面やキーボードの様子を覗くことで、パスワードやPINコード、その他機密情報を盗み取る手法です。いわゆる「他人の肩越しに画面を見る」行為であり、特別な技術を必要とせず誰でも実行可能な、アナログなサイバー攻撃と位置づけられます。また、直接の覗き込みだけでなく、遠方から双眼鏡・隠しカメラなどの機器を使って情報を記録するケースも存在し、不正取得の道具が多様化しています。

パスワードや個人情報の漏洩を防ぐ対策

パスワードや個人情報の漏洩を防ぐのに効果的な対策はおもに以下の3つです。

• 複雑なパスワードを設定する
• 二段階認証・二要素認証を導入する
• セキュリティ対策ツールを用いる

ここでは、上記の対策について解説します。

複雑なパスワードを設定する

パスワードや個人情報の漏えいを防ぐ上で最も基本かつ効果的な対策が「複雑なパスワードの設定」です。強固なパスワードを作る5つのポイントは以下の通りです。

• 文字数を長くする
• 大文字・小文字・数字・記号を混在させる
• 個人情報を避ける
• 辞書にある単語を使わない
• 使いまわしをしない

上記のポイントを含めたパスワードを作成すれば、パスワードを破られて不正アクセスされる可能性を減少させられます。

二段階認証・二要素認証を導入する

二段階認証・二要素認証を導入すれば、攻撃者がパスワードのみを取得できたとしても不正なアクセスは原則できません。二段階認証とは、パスワードに加えてもう1つの認証要素を要求するセキュリティ機能です。例えば、ログイン時に「パスワード入力」→「SMSに届く認証コードの入力」といった流れで本人確認を行います。一方で、二要素認証（MFA）は二段階認証よりも認証手段を複雑にし、「パスワード」「スマホや物理キー」「指紋や顔認証」のうち異なる2つ以上の要素を組み合わせて、より強固な認証を実現する手法です。

セキュリティ対策ツールを用いる

パスワードの強化や二段階認証と並んで、セキュリティ対策ツールの活用は、情報漏えいリスクを大幅に低減させる重要な施策です。パスワード漏えいを防ぐための効果的なセキュリティ対策ツールの例は以下の通りです。

• パスワードマネージャー
• パスワード流出チェックツール
• ダークウェブモニタリング
• 暗号化メールサービス
• VPN　など

上記のようなツールを必要に応じて導入すれば、セキュリティ強化・漏えいの監視、防止などが実現できます。

まとめ

本記事で紹介したように、さまざまな企業がサイバー攻撃の巧妙化により情報漏洩の被害に合っており、「パスワードの強化」や「二段階認証の導入」などの基本対策だけでは十分とは言えません。そのため、漏えいの防止対策はもちろんのこと、万が一情報が漏洩した場合に「早期発見・即対応」できる体制も整えておくことは、今後のセキュリティ対策における要といえます。

漏えいの早期発見に役立つツールとしておすすめしたいのが、弊社SMSデータテックが提供する「ダークウェブアイ」です。ダークウェブアイは、ダークウェブ上に流出した自社のメールアドレスやパスワードなどをリアルタイムで検知・通知できるツールです。また、漏洩のあった社員への自動アラート、対応状況の一元管理、原因サービスの特定、攻撃対象領域の可視化などの機能により、情報漏洩リスクへの包括的な対策を実現できます。
ご興味のある方はぜひ以下のリンクからお問い合わせください。