パスワードが漏洩した12件の事件事例！主なサイバー攻撃手口や対策も解説

近年、企業や個人を狙ったサイバー攻撃による情報漏洩事件が相次いでいます。メールアドレスやパスワード、クレジットカード情報などがダークウェブ上に流出するリスクは、誰にでも身近な問題です。本記事では、実際に発生した12件の重大な情報漏洩事件を取り上げ、どのような手口が使われたのか、被害の背景や影響、さらに私たちが今すぐ取るべき対策についてもわかりやすく解説します。

パスワードや個人情報が漏洩した12個の事件事例 

ここでは、実際にパスワードや個人情報が漏洩した以下の15個の事件事例を紹介します。 

• 京都大学  
• BKジャパン 
• 日本大学 
• ユニクロ ・GU
• hulu 
• 矢野経済研究所
• ニュートン・フィナンシャル・コンサルティング   
• 複数の証券会社 
• IIJ（インターネットイニシアティブ） 
• Yahoo! JAPAN 不正アクセス
• PAL CLOSET リスト型攻撃
• インフォスティーラーによる1億8,400万件流出

京都大学 

京都大学では、2020年に約半年間にわたり学生・教職員約4万人の個人情報（氏名、ID、暗号化されたパスワード、メールアドレス）が外部から閲覧・取得できる状態になっていました。原因は2020年6月のシステム構築時のアクセス制限設定の不備による人為的ミスです。2021年1月4日に問題を発見し、即時に対処した結果二次的被害はありませんでした。今後はパスワード強化やセキュリティ体制の見直しを行うとしています。 

BKジャパン 

2024年10月22日、株式会社ビーケー・ジャパンは、バーガーキングの公式アプリにおいて顧客情報の一部が外部に漏洩していたことを明らかにしました。8月15日時点で30件のアプリ会員情報が漏洩していたことがわかり、その後、10月8日にさらに8件が追加で判明し、合計38件となりました。 

流出の対象となった情報は、会員のメールアドレス、アプリ用パスワード、登録済みクレジットカードのブランド名と有効期限です。ただし、カード番号やセキュリティコードなど、決済に必要な情報については外部に漏洩していませんでした。 

ビーケー・ジャパンでは、該当する会員に対して個別に連絡を行い、カスタマーサポートへの問い合わせを案内しています。 

日本大学 

日本大学では、第三者が不正に取得したメールアドレスおよびパスワードを用いて、ショッピングサイトなどで他人になりすまして商品を購入して逮捕された男性の所持品であるPCから、日本大学が発行したと思われるメールアドレスとパスワードの組み合わせが870件見つかりました。 

2025年4月7日時点ではどのようにして漏洩したのか、いつ流出したのか、また実際に不正利用されたかどうかといった詳細については、捜査中のため明らかになっていません。日本大学は、対象となるメールアドレスの利用者に対して個別に連絡を取り、パスワードの変更を呼びかけるなどの対応を進めています。 

ユニクロ・GU

ファーストリテイリングは、グループブランドである「ユニクロ（UNIQLO）」および「ジーユー（GU）」の公式オンラインストアにおいて、正規のユーザー以外による不正ログインが確認されたことを公表しました。影響を受けたアカウントは合計で46万1,091件にのぼり、第三者に閲覧された恐れのある情報には、名前、住所、連絡先、購入商品のサイズ、さらにクレジットカードの一部情報などが含まれているとされています。 

ファーストリテイリングは、5月13日には不正アクセスの発信元を特定し、該当する通信を遮断したと説明しています。また、情報漏洩の可能性がある顧客には、同日にパスワード変更の案内を個別に送付しました。 

Hulu 

2024年9月24日、HJホールディングス株式会社が提供する動画配信プラットフォーム「Hulu」において、複数の不正ログインが確認され、ユーザーに対して注意喚起が行われました。今回の不正アクセスによる影響を受けたアカウントは合計779件にのぼり、氏名・生年月日・性別・メールアドレス・ログインに使用される端末情報などが外部に漏れた可能性があると報告されています。なお、被害は現在利用中のユーザーだけでなく、過去にHuluを退会した利用者にも及んでいます。 

運営元のHJホールディングス社は、不審なアクセス元であるIPアドレスのブロックを実施し、影響を受けたアカウントに対してはパスワードの強制リセットを行いました。また、今回の事案を受け、同社はすべての利用者に対し、Hulu以外のオンラインサービスでも同一のIDやパスワードを使用している場合は、速やかに変更するよう強く呼びかけました。 

SMSデータテックの情報漏洩検知ツール「ダークウェブアイ/情報漏洩」は、漏洩情報がダークウェブに流出していないか監視できます。 
「ダークウェブアイ/情報漏洩」で自社メールアドレス・パスワードの漏洩状況を継続監視しましょう。 

関連記事 

KADOKAWA情報漏洩の現状〜漏洩調査の最新結果を解説 
駿河屋ECサイト不正アクセス事件！クレジットカード情報漏洩の全貌 
PR TIMESに不正アクセス！個人情報流出の概要と今後の対応 

矢野経済研究所 

矢野経済研究所は、自社ウェブサイトが外部からの不正アクセスを受け、会員情報が漏洩した可能性があることを明らかにしました。対象となる情報は、メールアドレスおよび暗号化されたパスワードで、最大で101,988件にのぼる可能性があるとのことです。再発防止の一環として、矢野経済研究所はセキュリティ強化を進めており、既に脆弱性を防ぐためのセキュリティツールの導入を実施しています。 

ニュートン・フィナンシャル・コンサルティング  

2025年4月28日、株式会社ニュートン・フィナンシャル・コンサルティングは、同社グループのデータサーバーがランサムウェアに感染し、約130万件の個人情報が漏洩した可能性があると発表しました。漏洩した情報にはメールアドレスやログイン情報（パスワードを含む認証情報）などが含まれている可能性があります。感染確認後、直ちに関連サーバーをネットワークから切り離すなどの対応を行いましたが、グループのネットワーク・システムに障害が発生し、各種サービスに支障が生じる事態となりました。 

本事例は、ランサムウェア攻撃が金融・コンサルティング業界にも及んでいることを示しており、業種を問わず早急なバックアップ体制とインシデント対応計画の整備が求められています。 

複数の証券会社 

2025年3月から、国内複数の証券会社のユーザーを狙ったフィッシング詐欺・マルウェア（インフォスティーラー）による大規模なID・パスワード窃取が急増しました。ピークとなった2025年4月には、不正取引の金額が単月で約2,930億円にのぼると金融庁が公表しています。 

証券会社のシステム自体への侵入ではなく、ユーザーが偽サイトや不正なメールによって自らIDとパスワードを入力してしまう「パスワードリスト攻撃・フィッシング」の被害です。奪ったアカウントで流動性の低い中国株などを大量売買し、株価を意図的に操作して利益を得る手口が確認されました。 

各証券会社は多要素認証の強化やパスキー導入などの対応を進め、その後被害は減少傾向にあります。利用者側でも、パスワードの使い回し禁止・多要素認証の設定が重要です。 

IIJ（インターネットイニシアティブ） 

2025年、国内通信事業者が提供する法人向けメールセキュリティサービスが、未知の脆弱性を突くゼロデイ攻撃を受け不正アクセスされました。当初は最大約407万件のメールアカウント情報が漏洩した可能性があると発表されましたが、その後の調査で586契約においてメールアカウント・パスワード約31万件の漏洩が確認されました。 

ゼロデイ攻撃は既知の対策が通用しないため完全な防御は困難ですが、この事例が示すのは「サービス提供側が攻撃されても、利用者側が多要素認証を設定していれば被害を抑えられる」という点です。パスワード単体での認証に頼らず、多要素認証を設定しておくことが、利用者側で実施できる最も有効な対策です。 

Yahoo! JAPAN 不正アクセス

2013年5月、Yahoo! JAPANの会員情報管理システムが不正アクセスを受け、最大2,200万件分のログインIDが外部に流出した可能性があることが発表されました。IDのみの流出でしたが、同時にパスワードや登録情報を更新するためのデータ約148万6,000件が抜き取られたおそれがあることも明らかになりました。

当時国内最大規模の不正アクセス事件として大きな反響を呼びました。Yahoo! JAPANは不審なアクセスを検知後速やかに遮断し、安全が確認できないIDについてはパスワード変更を呼びかけました。2,200万件という規模はパスワードリスト攻撃の「素材」として他社サービスへの波及被害も懸念される事案でした。

PAL CLOSET リスト型攻撃

2025年6月、株式会社パルが運営するオンライン通販サイト「PAL CLOSET」において、「リスト型アカウントハッキング攻撃（パスワードリスト攻撃）」と推測される不正ログインが発生しました。2日間で約172万件の不正ログイン試行があり、そのうち約19万4,000件の不正ログインが成立しました。

PAL CLOSETのシステム自体からパスワードが流出したわけではなく、他サービスで漏洩したID・パスワードが使い回されたことが原因です。被害拡大防止のために全会員のパスワードを無効化し再設定を求める対応が取られました。パスワードの使い回しがいかに危険かを改めて示した事例です。

インフォスティーラーによる1億8,400万件パスワード流出

2025年5月、サイバーセキュリティ研究者のジェレマイア・ファウラー氏が、インターネット上の無防備なデータベースから1億8,416万件以上のログイン認証情報（ユーザー名・パスワード）が流出していることを発見しました。Google・Microsoft・Apple・Facebook・Amazon・Nintendo・Spotifyなど主要プラットフォームのアカウント情報がプレーンテキスト（平文）のまま、誰でもアクセスできる状態で放置されていました。

原因は「インフォスティーラー」と呼ばれるマルウェアです。フィッシングメールや偽装ソフトウェアを通じてデバイスに感染し、ブラウザに保存されたパスワードやセッション情報を密かに収集して攻撃者に送信します。企業のセキュリティ対策だけでは防げず、利用者自身がパスワードを使い回さないこと・多要素認証を設定することが根本的な対策となります。

SMSデータテックの「ダークウェブ流出PWチェッカー」では、ダークウェブ上の漏洩データと照合し、危険なパスワード利用を検知できます。 
漏洩済みパスワードの再利用を防ぎたい企業は、こうした仕組みの導入も検討してみてはいかがでしょうか。 

不正なパスワードの入手や認証の突破を狙う5つのサイバー攻撃 

不正にパスワードを入手したり、認証を突破しようとしたりする際に用いられる代表的なサイバー攻撃は以下の5つです。 

• ブルートフォースアタック 
• パスワードリスト攻撃 
• 辞書攻撃 
• パスワードスプレー攻撃 
• ショルダーハッキング 

ブルートフォースアタック 

ブルートフォースアタック（総当たり攻撃）とは、考えうるすべてのパスワードや認証キーの組み合わせを全て試すことで、正しい情報を見つけようとするサイバー攻撃手法です。非常に原始的ではありますが、理論上は必ず突破可能なため、シンプルかつ確実性が高い方法といえます。 

⇒ブルートフォース攻撃とは？被害例や対策をわかりやすく解説 

パスワードリスト攻撃 

パスワードリスト攻撃とは、すでに別のサービスで流出・漏洩したIDとパスワードの組み合わせを、他のオンラインサービスに流用して不正ログインを試みる攻撃手法です。パスワードリスト攻撃は「リスト型攻撃」「アカウントリスト型攻撃」とも呼ばれ、流出した組み合わせを流用して、重要な個人情報の閲覧や金融取引、機密データへのアクセスなどを許してしまうことがあります。 

⇒パスワードリスト攻撃とは？攻撃に遭った場合のリスクや被害事例、対策を解説 

辞書攻撃 

辞書攻撃は、あらかじめ用意された「辞書（パスワード候補リスト）」に基づいて、順にパスワードを試して認証突破を狙う手法です。辞書攻撃はブルートフォース攻撃と同類ですが、大量のランダムな文字列ではなく、人間が好んで使う語句やパターンに絞る点で効率と成功率が高いのが特徴です。 

パスワードスプレー攻撃 

パスワードスプレー攻撃は、アカウントロックを回避するために、少数の一般的なパスワードを大量のアカウントに対して順番に試す「低速かつ広範囲なブルートフォース」手法です。攻撃者は特定のIDやアカウントを狙うのではなく、幅広いユーザーに対して同じパスワードを試すことで効率的に不正アクセスを試みるのが特徴的です。 

ショルダーハッキング 

ショルダーハッキングとは、物理的に被害者に近づいて入力画面やキーボードの様子を覗くことで、パスワードやPINコード、その他機密情報を盗み取る手法です。いわゆる「他人の肩越しに画面を見る」行為であり、特別な技術を必要とせず誰でも実行可能な、アナログなサイバー攻撃と位置づけられます。また、直接の覗き込みだけでなく、遠方から双眼鏡・隠しカメラなどの機器を使って情報を記録するケースも存在し、不正取得の道具が多様化しています。 

パスワードや個人情報の漏洩を防ぐ対策3つ

パスワードや個人情報の漏洩を防ぐのに効果的な対策はおもに以下の3つです。 

• 複雑なパスワードを設定する 
• 二段階認証・二要素認証を導入する 
• セキュリティ対策ツールを用いる 

ここでは、上記の対策について解説します。 

複雑なパスワードを設定する 

パスワードや個人情報の漏洩を防ぐ上で最も基本かつ効果的な対策が「複雑なパスワードの設定」です。強固なパスワードを作る5つのポイントは以下の通りです。 

• 文字数を長くする 
• 大文字・小文字・数字・記号を混在させる 
• 個人情報を避ける 
• 辞書にある単語を使わない 
• 使いまわしをしない 

上記のポイントを含めたパスワードを作成すれば、パスワードを破られて不正アクセスされる可能性を減少させられます。 

⇒安全性の高いパスワードの作り方とは？ 
⇒漏洩の危険があるパスワードの特徴とは？ 

二段階認証・二要素認証を導入する 

二段階認証・二要素認証を導入すれば、攻撃者がパスワードのみを取得できたとしても不正なアクセスは原則できません。二段階認証とは、パスワードに加えてもう1つの認証要素を要求するセキュリティ機能です。例えば、ログイン時に「パスワード入力」→「SMSに届く認証コードの入力」といった流れで本人確認を行います。一方で、二要素認証（2FA）は二段階認証よりも認証手段を複雑にし、「パスワード」「スマホや物理キー」「指紋や顔認証」のうち異なる2つ以上の要素を組み合わせて、より強固な認証を実現する手法です。 

⇒二要素認証（2FA）とは？具体的な認証方法や活用するメリット・デメリットを解説  
⇒二段階認証とは？認証方法やメリット・デメリット、注意点を解説 

セキュリティ対策ツールを用いる 

パスワードの強化や二段階認証と並んで、セキュリティ対策ツールの活用は、情報漏洩リスクを大幅に低減させる重要な施策です。
パスワード漏洩を防ぐための効果的なセキュリティ対策ツールの例は以下の通りです。 

• パスワードマネージャー 
• パスワード流出チェックツール 
• ダークウェブモニタリング 
• 暗号化メールサービス 
• VPN　など 

上記のようなツールを必要に応じて導入すれば、セキュリティ強化・漏洩の監視、防止などが実現できます。 

まとめ 

本記事で紹介したように、さまざまな企業がサイバー攻撃の巧妙化により情報漏洩の被害に合っており、「パスワードの強化」や「二段階認証の導入」などの基本対策だけでは十分とは言えません。そのため、漏洩の防止対策はもちろんのこと、万が一情報が漏洩した場合に「早期発見・即対応」できる体制も整えておくことは、今後のセキュリティ対策における要といえます。 

漏洩の早期発見に役立つツールとしておすすめしたいのが、弊社SMSデータテックが提供する「ダークウェブアイ/情報漏洩」です。ダークウェブアイは、ダークウェブ上に流出した自社のメールアドレスやパスワードなどをリアルタイムで検知・通知できるツールです。また、漏洩のあった社員への自動アラート、対応状況の一元管理、原因サービスの特定、攻撃対象領域の可視化などの機能により、情報漏洩リスクへの包括的な対策を実現できます。 
ご興味のある方はぜひ以下のバナーからお問い合わせください。