ニュースにならない情報漏えいがあります。情報窃取型マルウェアで盗まれたIDとパスワードは、闇市場で売買され、時間をおいてアカウント乗っ取りや不正送金、ビジネスメール詐欺、ランサムウェアとして表に出ます。警察庁・IPA・栃木県警の公式情報をもとに、隠れ漏えいの仕組みと、情シスが今日からできる認証まわりの対策を図解で整理します。
この記事のまとめ
大きな事故は、ニュースで流れます。でも、ニュースにならない情報漏えいもあります。盗まれたIDとパスワードが、しばらくたってから、ある日突然に悪用される。この記事は、そんな「隠れ漏えい」の仕組みと、情シスの備えを整理します。
情報漏えいは、会社が持つ個人情報や機密の情報が、本来見てはいけない人の手に渡る(渡ったおそれがある)ことです。外部からの攻撃、設定のミス、内部の持ち出しなど、原因はいくつもあります。漏れたことや漏れた仕組みを一通り知りたい方は、相次ぐ情報漏えい、漏れたとなぜ分かる?漏れたら何が起きる?もあわせてお読みください。
この記事で扱うのは、その中でも「認証情報」が盗まれる形です。認証情報とは、サービスにログインするためのIDとパスワード、それにひもづくアクセスの鍵のことです。鍵が盗まれると、攻撃者は正規の利用者のふりをして入れます。壁を壊すのではなく、本物の鍵で正面から入るイメージです。
いちばんの問題は、「漏れても気づけないことがある」ことです。盗まれても気づかない。気づいても表に出ない。理由を整理します。
まず、自社が気づいていない場合です。ログや監視がないと、侵入されても検知できません。攻撃者は、わざと目立たないように動き、長く居座ります。次に、攻撃が静かな場合です。情報窃取型マルウェア(インフォスティーラー)は、画面に異変を出さないまま情報を送ります。栃木県警察の注意喚起でも、画面に変化が出ない点が特徴として挙げられています。
表に出ない理由は、気づけないことだけではありません。漏えいの報告や公表には、一定の条件があります。個人情報保護委員会への報告が義務になるのは、要配慮個人情報、財産的被害のおそれ、不正の目的による行為、本人の数が1,000人を超える漏えいなどです。件数が少ない漏えいは、公表に至らないこともあります。さらに、委託先・取引先で漏れると、連絡が来るまで自社では分かりません。IPAの「情報セキュリティ10大脅威 2026」でも、サプライチェーンや委託先を狙った攻撃は、組織の脅威の2位に挙げられています。
盗まれたIDとパスワードは、すぐには使われないことがあります。盗まれた時と、悪用される時はずれます。だから「最近は何も起きていない」は、安心の理由になりません。
流れを追います。はじめに、情報窃取型マルウェアに感染します。栃木県警察によると、感染の入り口は、偽のエラー画面やCAPTCHA、業務連絡や請求書を装ったメールの添付、海賊版ソフトなどです。感染すると、ブラウザに保存したIDとパスワード、クレジットカード情報、暗号資産の情報が、静かに外部へ送られます。
次に、盗まれた認証情報は、攻撃者の間で売買されます。警察庁の資料には、ランサムウェアの攻撃で、標的企業のネットワークに侵入するための認証情報を売買する者が存在し、複数の関与者が役割を分担している、と書かれています。侵入用の鍵を用意する人、実際に攻撃する人、仕組みを貸す人(RaaS)に分かれます。この分業で、攻撃者の裾野が広がっています。
そして、時間をおいて悪用されます。警察庁の令和6年の資料では、ランサムウェアの侵入経路のうち、VPN機器やリモートデスクトップからの侵入が、感染経路の8割以上を占めます。その原因として、IDやパスワードが非常に安易だったことや、不要なアカウントが管理されずに残っていたことが挙げられています。盗まれた弱い認証情報が、後日の侵入の入り口になります。
| 悪用の形 | 公的な位置づけ(2026年) |
|---|---|
| アカウント乗っ取り・不正ログイン | 個人向けの脅威に選ばれている(IPA「情報セキュリティ10大脅威 2026」) |
| 不正送金・カードの不正利用 | 盗んだ情報を使った二次被害 |
| ビジネスメール詐欺(BEC) | 組織の脅威 10位(IPA「情報セキュリティ10大脅威 2026」) |
| ランサムウェア | 組織の脅威 1位・令和6年の被害報告 222件(警察庁) |
ここで初めて、「漏えい」が表に出ることが多くあります。入り口になった最初の漏えいは、気づかれないままのことも少なくありません。
攻撃者の立場で考えると、認証情報は効率のよい狙いです。脆弱性を一つひとつ探すより、本物の鍵で入るほうが静かで速いからです。警察庁の分析でも、海外支社の機器が管理できておらず、そこから侵入されて国内の本社が被害に遭う例や、試験用に作ったアカウントの安易な認証情報を使われた例が把握されています。
認証情報は、使い回しがあると価値が上がります。一つのパスワードが、別のサービスでも通るかもしれないからです。盗んだ情報をまとめて試す攻撃(リスト型攻撃)で、成功したところだけを売る、という動きもあります。だからこそ、攻撃者にとっては「安く手に入り、長く使える鍵」が狙われます。
公開しているシステムからサーバを狙う攻撃も、認証やアクセスの管理が甘いところを突きます。公開アプリを入り口にした攻撃は、公開アプリからサーバを狙う「A2B攻撃」とは NICTの注意喚起を解説で整理しています。
隠れ漏えいに気づくきっかけは、多くが「あとから」です。身に覚えのないログインの通知、取引先からの「おかしなメールが届いた」という連絡、クレジットカードの不正利用の検知、ランサムウェアの攻撃者からの脅迫などです。闇サイトに自社のデータが出ているのを、監視サービスが見つけることもあります。
被害の形も、一つではありません。個人では、アカウントの乗っ取りや不正送金です。会社では、ビジネスメール詐欺が典型です。取引のやり取りに割り込み、振込先を偽の口座に変えさせます。さらに、盗まれた認証情報が侵入口になり、ランサムウェアの被害に発展することもあります。令和6年のランサムウェアの被害報告は222件で、中小企業の被害は令和5年と比べて37%増えました。規模の小さい会社ほど、対策が手薄で狙われやすい傾向が指摘されています。被害の影響も、長期化・高額化しています。警察庁のアンケートでは、調査・復旧に1か月以上を要した組織は令和5年の44%から49%に、1,000万円以上の費用を要した組織は37%から50%に増えました。ある大手企業の例では、25万人分を超える個人情報や企業情報の漏えいが確認され、調査・復旧費用等として20億円を超える損失の計上見込みが公表されています。最初の小さな鍵の漏れが、ここまで大きくなることがあります。
一度に全部はできません。盗まれても悪用させない、不要な鍵を残さない。この2つを軸に、できるところから始めます。
隠れ漏えいは、気づきにくいからこそ、起きた後に大きくなります。大事なのは、漏れていないと信じることではなく、漏れても悪用されない形を先に作っておくことです。認証まわりの基本は、今日から少しずつ進められます。
2026年10月14日時点の内容です。制度や統計の最新の内容は、各公的機関の資料で確かめてください。
A規模に関わらず狙われます。警察庁の資料では、ランサムウェアの中小企業の被害報告が令和5年と比べて37%増えています。攻撃者は特定の会社を狙うより、弱いところを広く探します。むしろ対策が手薄な会社ほど入られやすくなります。
Aパスワードの変更は大切ですが、それだけでは足りません。使い回しをやめる、多要素認証を付ける、盗む側(情報窃取型マルウェア)への感染を防ぐ、という組み合わせが要ります。管理者アカウントやVPNなど、入られると被害が大きいものから手を付けます。
A「漏れていないと確かめる」のは難しいので、「漏れても悪用されない」状態を先に作ります。多要素認証と使い回しの解消で、盗まれた認証情報だけでは入れないようにします。あわせてログインの監視と、不要アカウントの棚卸しを進めます。
チェック済み。この記事は監修者によってチェックされました。(2026年10月14日)
執筆
情シスのミカタ編集部AIにより執筆
書いた AI: AI記者(解説)
法令・官公庁の発表・企業の公式発表などの一次情報を調べて、情シス向けの解説・比較・テンプレの記事を書きます。数字と日付は出典と照らして確かめ、記事の最後に出典を載せています。使っているAI: Anthropic Claude。
監修
佐々木 航株式会社Game
代表取締役。工学部出身で、21歳で起業してからシステム会社の経営一筋で8期目。アプリの受託開発から始め、いまはAIを使ったシステムソリューションを手がけています。150社以上の企業とのプロジェクトで培った開発と情報システムの現場の経験と声を形にし、激動の時代を乗り越えたいと考えています。
メモ: 掲載時に自動で(しばらくの間)
記事は AI が一次情報を調べて書き、機械の検査を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。
