個人情報の流出にユーザーはどう備える？ 乗っ取りやクレカ不正利用を防ぐ「3段階」の対策ガイド（1/2 ページ）

[山本竜也，ITmedia]

　2026年に入り、日常的に使う身近なサービスでの不正アクセスが相次ぎ、個人情報の漏えいが大きな問題となっています。目立つのは、サービス側のシステムが攻撃を受け、会員情報がまとめて流出するケースです。

　これはユーザー側では気を付けようがないというのが正直なところで、サービス側に対策を進めてもらう必要があります。とはいえ、漏えいした情報がパスワードの使い回しやフィッシングを通じて別の被害につながるかどうかは、ユーザー側の備えで変わります。

　本記事では、まず何が起きているのかを整理し、そのうえでユーザーが優先して取り組むべき対策をいくつか紹介します。

相次ぐ情報漏えい、何が起きているのか

　東京商工リサーチの調査によると、上場企業とその子会社での漏えい件数が100万件以上の事案は、2025年が通年で6件だったのに対し、2026年は10月5日時点で既に10件に達しています。1000万件以上に限っても、2012年から2025年までの14年間で3件だったのに対し、2026年だけで3件発生しています。

　狙われているのは、特定の業界ではありません。カーシェアリング、外食チェーンの会員アプリ、通信事業者のメールサービスなど、日常的に使う身近なサービスが並びます。漏えいした情報も、氏名・住所・電話番号・メールアドレスのような基本情報が中心です。

東京商工リサーチが発表した調査結果

　本人確認書類の画像まで流出した事案もあります。カーシェアリング「タイムズカー」を運営するタイムズモビリティは9月28日、退会者などを含む約660万件の会員情報の流出を確認したと公表しました。対象には運転免許証画像などの本人確認書類情報が含まれ、タイムズカーの告知によると、その数は約160万件に上ります。

　各社が公表している原因はさまざまで、侵入経路を調査中としている企業もあります。いずれにしても、サービス側からの流出そのものはユーザーには防げません。ユーザー側で防げるのは、流出した情報が悪用されたときの二次被害の拡大です。そして、その被害を広げる大きな要因が、ユーザー側のパスワードの使い回しと、フィッシングへの誘導です。

タイムズカーの発表（第2報）

漏えいが起きると、ユーザーに何が起きるか

　「企業が漏えいした」ことと「自分が被害に遭う」ことは、必ずしも直結しません。ですが、条件がそろうと次のような被害につながります。

リスト型攻撃（パスワードリスト攻撃）

　最も注意したいのがこれです。あるサービスから流出したIDとパスワードのリストを使い、他のサービスに同じ組み合わせでログインを試す攻撃を「リスト型攻撃」と呼びます。

　トレンドマイクロの2026年調査では、Webサービス利用者の84.3％が複数のサービスでパスワードを使い回していることが分かりました。重要度が低いと思っていたサービスの漏えいが、メールやSNS、金融系アカウントの乗っ取りにつながります。

フィッシングの材料になる

　氏名、勤務先、登録しているサービス名といった情報がそろうと、偽メールの精度が上がります。フィッシング対策協議会は、2025年度にはフィッシング報告件数が20万件を超える月があったとし、生成AIを使った自然な文章の偽メールが増えていると指摘しています。「日本語が不自然だから偽物」という見分け方は通用しなくなっています。

なりすまし、クレジットカードの不正利用

　漏えい情報そのものにクレジットカード番号が含まれていなくても、そこから得た情報をもとに他サービスへログインされ、登録済みのカードで買い物をされる可能性があります。本人確認書類の画像が流出した場合は、本人確認を突破してアカウントを乗っ取られる恐れもあります。

ユーザーが行うべき「3段階」の対策

　対策は数多くありますが、全てを一度に行う必要はありません。「今すぐ行うもの」「日常で習慣にするもの、」「漏えいのお知らせが来たときに行うもの」の3段階に分けて紹介します。

A 今すぐやる（事前の備え）

1.パスワードの使い回しをやめる

　効果が高い基本の対策です。パスワードはサービスごとに変え、できるだけ長く複雑にします。サービス側で元に戻せない形式（ハッシュ化）で保存されていても、短く単純なパスワードは総当たりで割り出される恐れがあるためです。

　全てのサービスでパスワードの使い回しをやめるのが理想ですが、すぐに全てを変えるのは難しいでしょう。まずはメール、SNS、通販、金融系など、乗っ取られたときの影響が大きいサービスから着手するとよいでしょう。

2.2段階認証（多要素認証）を有効にする

　パスワードに加えて、登録したスマートフォンでの確認や生体認証などを組み合わせてログインする仕組みです。IDとパスワードが漏えいしても、これらがないとログインできないため、リスト型攻撃の多くを防げます。

　ただし、2段階認証も万能ではありません。偽サイトでIDとパスワードに加えてSMSなどの認証コードまで入力させ、それを使って即座に本物のサイトへログインする「リアルタイムフィッシング」では突破されることがあります。この弱点を補えるのが、次のパスキーです。

3.パスキーが使えるなら設定する

　パスキーは、パスワードの代わりに指紋認証や顔認証、端末のロック解除機能を使ってログインする仕組みです。サービス側に保存されるのは照合用の「公開鍵」だけなので、サービス側から情報が漏えいしても、ログインに使える情報は流出しません。

　偽サイトでは認証が成立しないため、フィッシングに強い点も特徴です。主要なOS、ブラウザ、サービスでの対応が広がっており、携帯キャリアや検索大手、金融系でも利用できるサービスが増えています。

Googleアカウントでも、パスキーを利用できる

　ただし、パスキーを設定してもパスワードでのログインが残っているサービスでは、パスワード側のリスクも残ります。パスワードログインを無効にできるサービスなら無効にし、できない場合はパスワードを長く固有のものにしておきましょう。

　また、機種変更やスマホの紛失・故障などでパスキーを設定した端末が手元にない状況では、サービスにログインできなくなることもあります。iCloudキーチェーンやGoogleパスワードマネジャーで同期されるパスキーは、同じ系列の機種への変更なら引き継げますが、端末に固定されたパスキーの場合や、AndroidとiPhoneをまたいで乗り換える場合は注意が必要です。導入時は復旧方法を確認しておくと安心です。

4.パスワードマネジャーを導入する

　長く複雑なパスワードをサービスごとに設定して覚えておくというのは現実的ではありません。パスワードマネジャー（パスワード管理アプリ）を使えば、サービスごとに異なる複雑なパスワードを生成・保存し、入力も自動化できます。

　1Passwordなどの有料アプリの他、GoogleパスワードマネジャーやAppleパスワードなど無料で利用できるものもあります。まずは自身の環境に合ったものを試してみてください。