ダークウェブチェッカー
2026年9月の終わりから10月にかけて、日本の個人向けサービスで情報漏えいの公表が相次ぎました。タイムズカー（約660万件・9月25日）、ムラウチドットコム（約772万件・9月15日）、Gyazo（約2,362万件・9月25日）、セイコーマート（約57万件・9月29日）、第一生命グループ（約12万件・10月2日）、焼肉きんぐ（約1,079万件・10月5日）、大和証券（約22万件・10月5日）。消費者になじみ深いサービスが、わずか数週間のあいだに並びました。ITmediaの集計では、9月16日から10月5日までの3週間で21の企業・組織が漏えいを公表し、対象は延べ約4,370万件に達しています（ITmedia）。トレンドマイクロの集計では、国内企業・自治体が公表した不正アクセス等の被害は9月末時点で600件を超え、過去最多ペースです（時事通信／ライブドアニュース）。
- 今回の漏えいは企業側のシステムの穴が原因。個人が「漏れないようにする」ことはできない
- 漏れた情報は ①本物そっくりのフィッシング ②他サービスへのリスト型攻撃 ③Google/Appleアカウントの乗っ取りから金融口座へ、の3つの流れで使われる
- 今週やることは5つ、合計1〜2時間。漏れた後に「被害につながらない状態」を作ることが唯一できる防御
「自分も何かに登録していたかもしれない」と感じた人は多いはずです。この記事では、漏れた情報が実際にどう使われるのかを順を追って説明し、個人が今週中にできる対策を5つに絞ります。恐怖で煽るつもりはありません。
なぜ今、これほど相次いでいるのか
JPCERT/CC が10月8日に出した注意喚起によると、今回の一連の事案で確認された手口は大きく3つです。
共通するのは、狙われたのが「あなたのパスワードの強さ」ではなく、企業側のシステムの穴だということです。生成AIの普及で攻撃側の下調べや自動化のコストが下がったことも、件数増の一因として指摘されています。つまり、個人が「漏れないようにする」ことはできません。できるのは、漏れた後に被害につながらない状態を作っておくことです。
作成者 矢嶋漏れた情報は、こう使われる（3つの流れ）
1. 名簿化されて、本物そっくりのフィッシングが届く
複数の事件で漏れたデータは、闇市場で突き合わされて「氏名・住所・電話・メール・利用サービス」が揃った名簿になります。すると、「○○様、タイムズカーの本人確認が必要です」「焼肉きんぐのポイント補償のお手続き」のように、本名と実際に使っているサービス名入りの偽メール・SMSが作れます。漏えい公表の直後に、その企業を装うフィッシングが増えるのはこのためです。実際、9月下旬にはAmazonを装う「アカウントのご確認」メールの増加も確認されています。
2. メールアドレス＋パスワードの組が、他サービスで試される
多くのサービスはパスワードを復元できない形式で保管していますが、推測されやすいものは解析されますし、過去の別の事件で平文のまま漏れているケースもあります。攻撃者は「漏れたアドレス＋パスワード」の組み合わせを、Amazon・楽天・Google・各種ゲームやSNSに自動で総当たりします。これがリスト型攻撃で、パスワードを使い回している人だけが被害に遭います。
3. Google / Apple の乗っ取りから金融口座へ
2026年10月に新しく注意喚起されたのが、この連鎖です。SBI証券は10月2日、GoogleやAppleのアカウントをフィッシングで乗っ取り、そこにクラウド同期されたパスキーやパスワードのメモを悪用して、証券口座に不正ログインする手口に注意を呼びかけました（セキュリティ対策Lab）。その後、SBI証券自身の口座での被害は確認されておらず他社の事案だったと訂正されましたが（ITmedia）、手口そのものは現実のものです。
「パスキーが破られた」のではありません。破られたのは、パスキーを保管している土台のアカウントです。パスキーやパスワードマネージャーは正しい対策ですが、それを守る Google / Apple アカウントの防御が弱ければ、金庫ごと持っていかれます。
今週やる5つの対策（優先順）
対策1. Google と Apple のアカウントを最初に固める所要 20分
すべてのスマホの土台です。ここに2段階認証を設定し、できれば認証アプリ（Google Authenticator 等）か、物理的なセキュリティキーを使います。SMSによる認証は、SIMスワップ（電話番号の乗っ取り）で突破されることがあるため、最後の手段と考えてください。あわせて、アカウント復旧用のメールアドレスと電話番号が、今も自分が使っているものか確認します。
対策2. 「再登録」「確認」「補償」のリンクは踏まない0分・習慣
メール・SMSのリンクから「再登録」「確認」「補償」の手続きをする。パスキーの再登録や認証コードの入力をリンク先で求められても応じる
リンクを踏まず、自分で公式アプリか公式サイトを開いて同じ内容が表示されるか確認する。本物なら必ず公式側にも表示されている
企業からの本物と攻撃者の偽物は混ざって届きます。見分けようとしないのがコツです。
対策3. 使い回しのパスワードを主要サービスから変える所要 30分
全部を一度に変える必要はありません。優先順は、①メール（Google/Apple/キャリア）②金融（銀行・証券・決済）③買い物（Amazon・楽天）④SNS。この順で、サービスごとに別のパスワードにします。パスワードマネージャー（iPhone の「パスワード」アプリ、Google パスワードマネージャー、1Password、Bitwarden など）に自動生成させれば、覚える必要はありません。詳しくはパスワードの使い回しが危険な本当の理由。
対策4. 金融系は2段階認証とログイン通知をオンに所要 15分
ネット銀行・証券・決済アプリは、2段階認証に加えて「ログイン通知」「出金・振替の通知」を有効にします。被害は「気づくまでの時間」で決まります。通知が来れば、その場でパスワード変更と窓口連絡ができます。
対策5. 自分のアドレスが「どの事件で」漏れたかを知る所要 10秒
対策の優先順位は、自分のアドレスがすでに漏れているかどうかで変わります。当サイトの無料チェックにメールアドレスを入れると、世界の漏えい事件データベース（Have I Been Pwned）と照合して、どの事件に含まれていたか・何が漏れたか・危険度（S/A/B/C）をその場で表示します。登録不要、パスワードの入力は求めません。
2026年9〜10月の国内事件の多くは、公開データベースへの登録がまだ追いついていません（10月9日時点）。「出なかった」は「過去の公開事件には含まれていない」という意味です。逆に言えば、過去の事件で出たアドレスは、今回の名簿にも突き合わされている可能性が高い。そのアドレスから優先して、対策1〜4を進めてください。
企業の側で起きている変化
今回の連鎖で、企業側にも明確な教訓が出ています。タイムズカーでは、退会から7年間、免許証画像まで外部から到達できる場所に保管していたことが被害を拡大させました（時事通信）。JPCERT/CC は、APIのレート制限やアクセス制御の見直しと並んで、不要なデータの削除ポリシーを実行することを対策に挙げています。
利用者としてできることは2つです。使わなくなったサービスは退会し、可能なら本人確認書類の削除を依頼すること。そして、サービスを選ぶときに「退会後にデータをいつ消すか」を明記しているかを見ること。データを持たない企業からは、漏れようがありません。
まとめ
- Google / Apple アカウントに認証アプリか物理キーで2段階認証を設定した
- 「再登録」「確認」「補償」のリンクは踏まず、公式アプリから確認している
- メール→金融→買い物→SNSの順に、使い回しパスワードを変えた
- ネット銀行・証券・決済アプリのログイン通知・出金通知をオンにした
- 無料チェックで自分のアドレスがどの事件で漏れているかを確認した