その被害は、ひとごとではない——2026年のサイバー攻撃を数字で読む

コラム：いまさら聞けないQ&A

パスワード、2段階認証、パスキーについて、よくある疑問に答える。

Q1　パスワードを使い回すと、なぜ危ないのか

攻撃者は、どこかのサイトから漏れたIDとパスワードの組を手に入れると、それをほかのサイトのログイン画面に機械で次々と入れていく。これが「リスト型攻撃」である[52]。

使い回しの怖さは、自分に落ち度がなくても起きる点にある。漏れたのは、何年も使っていない昔の通販サイトかもしれない。それでも同じパスワードを使っていれば、メールもSNSもネット銀行も、1本の合鍵で開いてしまう。家と自転車と職場のロッカーの鍵を全部同じにしておき、1本を落としたら全部が開く、という状態に近い。

特に危ないのは、メールのパスワードである。多くのサービスは「パスワードを忘れた方」の手続きをメールで行う。メールに入られると、そこからほかのサービスのパスワードまで作り直されてしまう。

「パスワードは定期的に変えるべきだ」と言われることがあるが、総務省は、漏れた事実がないなら定期的に変える必要はないとしている。むしろ定期的に変えることで作り方が単純になったり、使い回しが増えたりするほうが問題だという[55]。大切なのは変える回数ではなく、サービスごとに違うパスワードにすることである。そして漏れたと知らされたら、そのサービスと、同じパスワードを使っていたほかのサービスを、すぐに変える。

IPAとJPCERTコーディネーションセンターは、2014年に「STOP!! パスワード使い回し!!」と呼びかけた[58]。10年以上たった今も、同じ呼びかけが要る。

Q2　「2段階認証」とは何か

ログインのとき、パスワードに加えてもう一度、本人であることを確かめる仕組みである。よくあるのは、パスワードを入れたあとに、スマートフォンにショートメッセージで届く数字や、認証用のアプリに表示される数字（確認コード）を入れる方式である。

似た言葉に「多要素認証」がある。本人を確かめる手がかりには、「知っているもの」（パスワードなど）、「持っているもの」（スマートフォンなど）、「本人自身に関するもの」（指紋や顔など）の3種類がある。このうち2種類以上を組み合わせるのが多要素認証で、2種類なら2要素認証と呼ぶ[54][55]。2段階認証は確認の「回数」に注目した言葉で、パスワードのあとに「秘密の質問」に答えるように、同じ種類を2回使うものも含む。スマートフォンに届くコードを使う方式なら、2段階であり、2要素でもある。

パスワードが漏れても、攻撃者の手元にはあなたのスマートフォンがない。合鍵を手に入れても、もう1つの鍵がなければ扉は開かない。

ただし、万能ではない。偽のサイトにパスワードと確認コードを続けて入れてしまえば、攻撃者はそれを本物のサイトでそのまま使えてしまう。また、自分でログインしていないのに確認コードが届いたら、誰かがあなたのパスワードを試しているのかもしれない。コードは誰にも教えず、そのサービスのパスワードを変える。

設定は、各サービスの「セキュリティ」や「ログイン」の設定画面から行う。まずはメール、ネット銀行、通販、SNSといった、乗っ取られると困るものから始めたい。

Q3　「パスキー」とは何か。使い回してもよいのか

パスキーは、パスワードの代わりに、スマートフォンやパソコンのロックを解くときと同じ指紋や顔、PINでサインインする仕組みである[53]。

鍵にたとえるとこうなる。サービスに登録するとき、手元の機器の中で、対になる「錠前」と「鍵」が作られる。サービスの側に預けるのは錠前だけで、鍵はサービスに渡さない。サインインのときは、機器が「この鍵で錠前が開く」ことを示す。その鍵を使う前に、指紋や顔で持ち主かどうかを確かめる。サービスの側には鍵そのものがないので、サービスから情報が漏れても、それだけではサインインに使えない。鍵は登録したサイトでしか使えないため、偽のサイトにもだまされにくい[53]。

使い方は簡単である。対応しているサービスの設定画面などで「パスキーを作成」を選び、指紋や顔で確かめる。次からは、パスワードを入れる代わりに、指紋や顔でサインインできる。

「使い回してよいか」には、2つの意味がありうる。1つは、同じパスキーを複数のサービスで使えるか。これはできない。パスキーはサービスごとに別々に作られるので、使い回しはそもそも起きない[53]。もう1つは、同じパスキーを複数の機器で使えるか。これはできる。AppleのパスワードやGoogleパスワードマネージャーなどに保存したパスキーは、同じアカウントでサインインしている機器のあいだで、暗号化されたまま同期される。機器を買い替えても使い続けられる。一方、セキュリティキーのように、鍵が1台の機器から出ない型もある[56][57]。

注意したいのは、その同期の元になるアカウント（AppleアカウントやGoogleアカウントなど）が、すべての鍵をまとめた鍵束になることである。このアカウントには、ほかで使っていない長いパスワードと、2段階認証を必ず設定しておきたい。

Q4　アカウントとパスワードは、どう管理すればよいか

サービスごとに違う長いパスワードを、すべて覚えるのは無理である。総務省も、覚える必要のないパスワード管理ツールを使うことを勧めている。スマートフォンやブラウザの標準の機能でも、専用のアプリでもよい[55]。管理は、次の4つの段階で考えるとわかりやすい。

1. 守る順番を決める：最初に守るのは、メール、AppleアカウントやGoogleアカウント、そしてパスワード管理ツールそのものである。ここが破られると、ほかのすべてに広がる。この3つには、ほかで使っていない長いパスワードと2段階認証を設定する
2. 管理ツールに任せる：新しくパスワードを作るときは、管理ツールの自動作成の機能を使い、そのまま保存する。管理ツールは、マスターパスワードや機器のロック（指紋や顔）で守る[55]
3. 少しずつ置きかえる：一度に全部を変えなくてよい。ログインしたついでに、使い回していたパスワードを1つずつ新しいものに変えていく。パスキーに対応していれば、パスキーを作る
4. 使わないアカウントを片づける：何年も使っていないサービスは退会しておく。使っていなくても、登録した情報は残っており、漏れうる。ただし、退会しても、取引の記録などのために情報を一定の期間残すサービスもある。退会するときは、削除や保存の方針も確かめておきたい

もう1つ忘れがちなのが、「もしも」の備えである。スマートフォンをなくしたり壊したりしたときに、管理ツールやアカウントに戻れるよう、各サービスが用意している回復用のコードなどを控えておく。紙に書いた場合は、鍵のかかる引き出しなど、人目に触れない場所にしまう。総務省も、やむを得ずパスワードをメモしたときは、鍵のかかる机や金庫で保管するよう求めている[55]。

コラム：用語ミニ解説

本稿に出てきた言葉のうち、ITやAIに詳しくない人が引っかかりそうなものを、短く説明する。

• ランサムウェア：データを暗号化して使えなくし、元に戻すことと引き換えに金銭（身代金）を要求する不正なプログラム。最近は暗号化の前にデータを盗み、「払わなければ公開する」と二重に脅す手口が主流である。暗号化せずに盗むだけの「ノーウェアランサム」もある[6]
• 脆弱性：ソフトウェアや機器の作りに潜む欠陥で、攻撃に悪用されうる弱点。作った会社が直すための更新（パッチ）を出すので、早く当てることが守りの基本になる。まだ直し方が出ていない弱点を突かれることもある
• VPN：Virtual Private Network の略。会社の外から社内のネットワークへ、暗号化した通り道でつなぐ仕組み。在宅勤務や機器の保守に使われる。社内への「玄関」にあたるため、機器の脆弱性や盗まれたアカウントが悪用されると、攻撃者の入口になる[7]
• API：Application Programming Interface の略。システムとシステムがデータをやり取りするための、決まった形の窓口。アプリが天気や地図の情報を取ってくるのも、多くはAPIを通している。便利な反面、窓口の守りが弱いと、そこからデータが抜かれうる。JPCERTコーディネーションセンターは10月、API経由のアクセスへの対策を勧めた[22]
• サプライチェーン攻撃：狙った組織を直接攻めるのではなく、取引先や委託先、使っているソフトやサービスを経由して入り込む攻撃。本稿の「委託先経由」は、これより広い。委託先を踏み台にして狙った組織へ入り込む攻撃だけでなく、委託先が預かっていた情報が、委託先への攻撃で漏れた被害も含めている。IPAの「情報セキュリティ10大脅威 2026」では、組織向けの2位だった[24]
• 8-K：米国の上場企業が、重要な出来事があったときに米証券取引委員会（SEC）へ出す臨時の報告書。2023年に決まったルールで、重大なサイバー攻撃は、重大と判断してから4営業日以内に届け出ることになった（外国の企業は別の様式「6-K」）。誰でもSECのサイトで読める[26]
• AIエージェント／OpenClaw：AIエージェントは、指示を受けたAIが、調べる、ファイルを操作する、ほかのサービスとやり取りするといった作業を、自分で段取りを組んで進める仕組み。OpenClaw は、自分のパソコンやサーバーで動かし、ふだん使うチャットアプリからAIエージェントに作業を頼めるようにする、オープンソースの仕組みである[59]。道具そのものは攻撃用ではないが、台湾の数位発展部は、政府機関への攻撃で攻撃者が OpenClaw などのAIエージェントを組み合わせていたと発表した[32]

典拠

1. 日本郵政・日本郵便「郵便局アプリへの不正アクセスについて」2026年9月29日 https://files.japanpost.jp/assets/34d9d11432734cfaa759e78fe395b688/18239b871f714763aa7eb15c25e7b30b/20260929_01.pdf
2. 京王電鉄「ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び」2026年9月26日 https://www.keio.co.jp/news/update/announce/nr260926v13404/
3. 佐川急便「お荷物問い合わせサービスへの不正アクセスについて」2026年9月30日〜（第4報 10月9日） https://www2.sagawa-exp.co.jp/information/detail/426/
4. 横須賀市「【横須賀市ふるさと納税】佐川急便株式会社に対する不正アクセスに伴う個人情報の漏えいのおそれについて」2026年10月7日 https://www.city.yokosuka.kanagawa.jp/4430/nagekomi/20261007.html
5. IDCフロンティア「【第3報】当社サービスの一部システムへの不正アクセスによる障害について」2026年10月8日 https://www.idcf.jp/news/topics/20261008001
6. 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」2026年9月10日 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
7. 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」統計データ（Excel） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08kami_jousei_data.xlsx
8. 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」2026年3月 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
9. 日本医科大学武蔵小杉病院「当院へのサイバー攻撃による個人情報漏洩に関するご報告とお詫び（第5報）」2026年2月27日 https://www.nms.ac.jp/kosugi-h/news/_28850.html
10. デジタル庁「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」2026年9月11日 https://www.digital.go.jp/news/2026-0911-01
11. パーク24「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）」2026年9月29日 https://www.park24.co.jp/news/2026/09/20260929-1.html
12. 物語コーポレーション「『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び」2026年10月5日 https://www.monogatari.co.jp/news/261005_news
13. 両毛システムズ「当社社内システムへの不正アクセスに関するお知らせ（第3報）」2026年9月 https://www.ryomo.co.jp/news/202609_02.html
14. 伊勢崎市「本市委託先への不正アクセスによる情報漏洩の可能性について」2026年9月28日更新 https://www.city.isesaki.lg.jp/soshiki/kyoikubu/shisetsu/23971.html
15. 大東ガス「システムサービス提供事業者へのサイバー攻撃に伴うお客さま情報流出の可能性について」2026年9月28日 https://www.daitogas.co.jp/info/170
16. 手間いらず「当社システムへの不正アクセスに関する調査状況および対応について」2026年10月9日 https://www.temairazu.co.jp/pdf/1212/ir-news
17. ニチレイ「当社グループでのシステム障害発生について」（第7報）2026年9月18日 https://www.nichirei.co.jp/news/2026/524.html
18. ニチレイ「2026年12月期 第1四半期決算説明会資料」2026年8月 https://www.nichirei.co.jp/sites/default/files/inline-images/ir/pdf_file/pres/260807kettsan.pdf
19. ニチレイ「当社グループでのシステム障害発生について（第5報）」2026年7月24日 https://www.nichirei.co.jp/news/2026/517.html
20. 京王ストア「決済方法の一部復旧に関するお知らせ」2026年9月30日 https://www.keiostore.co.jp/info/pdf/system_outage_announcement20260930.pdf
21. 京王プラザホテル「ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び」2026年9月26日 https://www.keioplaza.co.jp/news/45681
22. 経済産業省「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼」2026年10月9日 https://www.meti.go.jp/policy/netsecurity/pdf/20261009_chuuikanki.pdf
23. IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」2026年10月9日 https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html
24. IPA「情報セキュリティ10大脅威 2026」2026年1月29日 https://www.ipa.go.jp/security/10threats/10threats2026.html
25. 手間いらず「当社システムへの不正アクセスについて」2026年9月28日 https://www.temairazu.co.jp/pdf/1206/news-update
26. SEC「SEC Adopts Rules on Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure by Public Companies」2023年7月26日 https://www.sec.gov/news/press-release/2023-139
27. Stryker Corporation「Form 8-K」2026年3月11日 https://www.sec.gov/Archives/edgar/data/310764/000119312526102460/d76279d8k.htm
28. Hasbro, Inc.「Form 8-K」2026年4月1日 https://investor.hasbro.com/static-files/2b0ed4ce-8a34-451f-8b29-637e73344b57
29. DentaQuest「Notice of Data Breach」2026年5月26日（7月16日更新） https://www.dentaquest.com/en/notice-of-data-breach
30. 韓国 外交部 報道資料（国立外交院 オンライン教育システムへのハッキング）2026年7月20日 https://www.mofa.go.kr/www/brd/m_4080/view.do?seq=377429
31. 韓国 個人情報保護委員会 報道資料（教元グループの申告）2026年1月 https://www.korea.kr/common/download.do?fileId=198327415&tblKey=GMN
32. 台湾 数位発展部 資通安全署 新聞稿 2026年8月13日 https://moda.gov.tw/ACS/press/news/press/20394
33. 中央社 記事（友訊科技の重大訊息の報道）2026年9月18日 https://www.cna.com.tw/news/afe/202609180244.aspx
34. Instructure「Incident Update」2026年5月 https://www.instructure.com/incident_update
35. シンガポール CSA「Largest Multi-Agency Cyber Operation Mounted to Counter Threat Posed by APT Actor UNC3886 to Singapore’s Telecommunications Sector」2026年2月9日 https://www.csa.gov.sg/news-events/press-releases/largest-multi-agency-cyber-operation-mounted-to-counter-threat-posed-by-advanced-persistent-threat–apt–actor-unc3886-to-singapore-s-telecommunications-sector/
36. Duopharma Biotech「Bursa Announcements：Cybersecurity Incident Response / Operational Resilience」2026年9月11日 https://duopharmabiotech.com/investor-relations/bursa-announcements/
37. AYA Bank「AYA Bank Statement Regarding a Data Security Incident」2026年6月25日 https://www.ayabank.com/about-aya/news-room/announcements/AYA_bank_statement_Regarding_a_Data_Security_Incident
38. フィリピン 情報通信技術省（DICT）公式Facebook投稿 2026年9月25日 https://www.facebook.com/DICTgovph/posts/1518926036938686/
39. VietNamNet「Hacker đang tấn công đánh cắp dữ liệu ở 2 cơ quan cấp bộ ở mức độ nghiêm trọng」2026年5月22日 https://vietnamnet.vn/hacker-dang-tan-cong-danh-cap-du-lieu-o-2-co-quan-cap-bo-o-muc-do-nghiem-trong-2518297.html
40. Canon U.S.A.「Notice of Data Breach」（カリフォルニア州司法長官への届出資料）2020年11月 https://oag.ca.gov/system/files/Canon – California Notification Material.pdf
41. 富士フイルム「当社サーバーへの不正アクセスについて」2021年6月2日（6月4日更新） https://www.fujifilm.com/jp/ja/news/list/6642
42. オリンパス「当社一部地域のITシステムに対する不正アクセスについて」2021年9月11日 https://www.olympus.co.jp/news/2021/an02200.html
43. オリンパス「（復旧のお知らせ）米州における当社ITシステムに対する不正アクセスへの対応状況について」2021年11月16日 https://www.olympus.co.jp/news/2021/nr02250.html
44. アドバンテスト「サイバーセキュリティインシデントに関するお知らせ」2026年2月19日 https://www.advantest.com/ja/news/2026/20260219.html
45. 旭化成「宮崎県延岡市の工場施設の譲渡について」2025年12月 https://www.asahi-kasei.com/jp/news/2025/el251224
46. ソニーセミコンダクタマニュファクチャリング「オフィス環境」（熊本テクノロジーセンターの生産品目） https://www.sony-semicon.com/ja/jobs/env/office/sck.html
47. ソニーセミコンダクタソリューションズ「2026年7月28日発生の熊本県熊本地方を震源とした地震の影響について」2026年7月29日 https://www.sony-semicon.com/ja/info/2026/2026072901.html
48. ソニーセミコンダクタソリューションズ「令和8年熊本地震の影響について（第2報）」2026年7月31日 https://www.sony-semicon.com/ja/info/2026/2026073101.html
49. キヤノン「ものづくり拠点のご紹介」 https://global.canon/ja/mfg/f-01.html
50. ニコン「グループ会社」 https://www.nikon.com/company/corporate/group
51. キヤノン「「image.canon」の画像データ一部消失について」2020年8月7日 https://global.canon/ja/news/2020/20200807.html
52. IPA「インターネットサービスへの不正ログインによる被害が増加中」2025年8月28日 https://www.ipa.go.jp/security/anshin/attention/2025/mgdayori20250828.html
53. FIDO Alliance／Passkey Central「パスキーの紹介」 https://www.passkeycentral.org/ja/introduction-to-passkeys/
54. 総務省 国民のためのサイバーセキュリティサイト「推測できる簡単なパスワードを利用しないようにしよう」 https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/01/
55. 総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」 https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/business/staff/06/
56. FIDO Alliance／Passkey Central「パスキーの種類」 https://www.passkeycentral.org/ja/introduction-to-passkeys/passkey-types
57. FIDO Alliance／Passkey Central「ユーザーサポート」 https://www.passkeycentral.org/ja/resources-and-tools/customer-support
58. IPA・JPCERT/CC「STOP!! パスワード使い回し!! パスワードリスト攻撃による不正ログイン防止に向けた呼びかけ」2014年9月17日 https://www.jpcert.or.jp/pr/2014/pr140004.html
59. OpenClaw Docs（日本語） https://docs.openclaw.ai/ja-JP
60. Microsoft サポート「Outlook.com でメール エイリアスを追加または削除する」 https://support.microsoft.com/ja-jp/outlook/add-or-remove-an-email-alias-in-outlook-com
61. パーク24「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」2026年9月28日 https://www.park24.co.jp/news/2026/09/20260928-1.html
62. 東日本旅客鉄道「IDC フロンティア社で発生した不正アクセスに伴うメール配信用外部サービスからのメールアドレス等の漏えい可能性について」2026年10月9日 https://www.jreast.co.jp/press/2026/20261009_ho02.pdf
63. Stryker「Customer Updates: Stryker Network Disruption」2026年3月〜4月1日 https://www.stryker.com/us/en/about/news/2026/a-message-to-our-customers-03-2026.html
64. Hasbro, Inc.「Form 8-K」2026年4月23日 https://investor.hasbro.com/static-files/8399ba61-a6ae-4788-a938-afae007277bc
65. The Straits Times「Students’ names, IDs may have been exposed in cyber attack but passwords, marks uncompromised: NUS」2026年5月（報道） https://www.straitstimes.com/singapore/students-names-ids-may-have-been-exposed-in-cyber-attack-but-passwords-marks-uncompromised-nus