盗まれた・弱いID/パスワードによる国内の被害事例(19件)と、まずやる対策
攻撃者は、システムの穴を突かなくても、正規のIDとパスワードでログインできれば入れます。偽のメールやサイトで入力させるフィッシング、他のサービスから漏れたIDとパスワードを機械的に試すリスト型攻撃、端末から認証情報を盗むマルウェア(インフォスティーラー)、推測しやすいパスワードなどが使われます。
この手口が効くのは、正規の利用者と見分けにくいからです。多要素認証を入れていても、例外のアカウントや私物の端末から入られることがあります。ワンタイムパスワードも、偽サイトでその場で入力させられれば防げません。
この一覧には、盗まれた・推測された認証情報が入口になったと公表された事案、従業員のアカウントの窃取が原因と公表された事案、顧客のアカウントが乗っ取られた事案を入れています。
該当する事案(19件)
新しい順です。日付は第1報の公表日です。1つの事案が複数の手口に当てはまることがあります。
- デジタルアーツ(「i-FILTER@Cloud」などクラウドサービスの運用環境)
クラウドサービスの運用に使う認証情報が盗まれ、運用環境に侵入。2025年7月ごろにさかのぼる痕跡も
クラウドサービスの運用に用いる認証情報が第三者に不正に取得され、これを使ってサービスの運用環境に侵入された(会社の発表)。認証情報が取得された経路は公表されていない
2026年の一覧で見る → - NEC(システム開発・保守の委託先。NECの顧客企業のシステムに波及)
委託先へのサイバー攻撃で盗まれた正規アカウントが悪用され、顧客のサーバのファイルが暗号化
システム開発・保守の委託先が2026年9月下旬にサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用された。顧客のシステム環境に、委託先の端末から正規アカウントで不正アクセスが行われた(会社の発表)。委託先が攻撃を受けた経路は公表されていない
2026年の一覧で見る → - 日本経済新聞社(システム開発に利用するクラウドサービス)
開発用クラウドの認証情報を盗まれ、約183万件の個人情報が漏えい
システム開発に利用するクラウドサービスにアクセスするための認証情報が、何らかの手段で窃取された(手段は未公表)
経緯・原因・対応を読む → - 楽天グループのクラウドストレージ「楽天ドライブ」
管理用アカウントの認証情報を悪用され、1万5,382アカウント分の保存データが閲覧・取得
一部システムの管理用アカウントの認証情報を不正に取得され、侵入された。認証情報が漏れた経緯は未公表
2026年の一覧で見る → - 日本経済新聞社(社員のGoogle Workspace・Microsoft 365アカウント)
社員アカウントへの不正ログインで1,646人分が漏えい。なりすましメール約9,000件も
外部からの不正ログイン。ID・パスワードなどの認証情報を得られた経緯は未公表。2025年のSlackの事案とは別
2026年の一覧で見る → - 日経BP(従業員のメールアカウント)
日経社員のアドレスから届いたフィッシングメールで認証情報を盗まれ、26件が漏えいのおそれ
従業員が、日本経済新聞社の社員のメールアドレスから届いたフィッシングメールで認証情報を入手された(会社の発表)
2026年の一覧で見る → - 大阪公立大学
基盤システムの保守・運用の委託先NECが開発・保守を再委託している事業者が2026年9月下旬にサイバー攻撃を受け、その再委託先が持つ正規のアカウントで大学のシステムに不正にアクセスされた(NECからの報告として大学が2026-10-21に公表)。大学は仮想化基盤の障害をランサムウェア攻撃によるものと判断している(2026-10-05公表)
経緯・原因・対応を読む → - YCC情報システム(委託元: 山形市など)
自治体の委託先がランサムウェア被害。山形市の健康情報約50万件などが対象
ネットワーク機器の管理者アカウントの認証情報を、攻撃者が推測または取得した(2026-05-20の第五報)
経緯・原因・対応を読む → - 東海大学(委託先: 東海ソフト開発)
委託先が持ち帰ったデータがランサムウェア被害に。延べ19万人分
委託先のサーバへの不正アクセス。学内で作業するルールだったが、委託先が大学のデータを社内に持ち帰っていた
経緯・原因・対応を読む → - 日本経済新聞社
社員の私物PCの感染からSlackに不正ログイン。1万7,368人分
社員の私物PCがウイルスに感染し、Slackの認証情報が流出した
経緯・原因・対応を読む → - アスクル(無印良品・ロフトのECに波及)
多要素認証の「例外」だった委託先アカウントから侵入。221億円の最終赤字
例外的に多要素認証をかけていなかった業務委託先向けの管理者アカウントのID・パスワードが漏れ、悪用された。攻撃者はEDRを無効化してからランサムウェアを展開。バックアップもランサムウェアを想定した構成になっていなかった(調査報告書)
経緯・原因・対応を読む → - PR TIMES
経緯の分からない許可IPと使っていない共有アカウントから侵入。発表前のリリースも
リモートワーク移行時に管理画面への許可IPアドレスを追加しており、そのうち追加の経緯が分からないIPから、普段使っていない共有アカウントで認証が通った
経緯・原因・対応を読む → - 証券各社(SBI証券、楽天証券ほか)
証券口座の乗っ取りが急増。2025年の不正取引は売買計約7,415億円
偽サイトに誘導するフィッシングや、端末から認証情報を盗むマルウェア(インフォスティーラー)で認証情報を盗まれた
経緯・原因・対応を読む → - 楽天モバイル
盗まれた楽天IDで1,000回線超が不正契約。中高生3人を逮捕
他のサービスから漏れたIDとパスワードの組み合わせを機械的に入力する「リスト型攻撃」。入力プログラムは生成AIを使って自作されていた
2025年の一覧で見る → - カシオ計算機
受発注・修理のシステムが止まり、決算発表を延期。身代金は拒否
フィッシングメール対策と、海外拠点を含むネットワークセキュリティ体制の不備を原因に挙げた
経緯・原因・対応を読む → - 東京ガスエンジニアリングソリューションズ
VPN経由の侵入で約416万人分。業務委託元51事業者に波及
VPN装置経由。ファイルサーバへのアクセスに必要な従業員のIDとパスワードが複数盗まれていた(日経クロステック)
経緯・原因・対応を読む → - JAXA
VPN装置を起点に侵入し、盗んだアカウントでMicrosoft 365へ
VPN装置の脆弱性を起点にサーバと端末に侵入し、アカウント情報を盗んでMicrosoft 365に正規ユーザーを装ってアクセスした
2024年の一覧で見る → - KADOKAWA/ドワンゴ
ニコニコが約2カ月停止。25万人分が流出し、特別損失約20億円
フィッシングなどで従業員のアカウント情報が盗まれたことが根本原因と公表。正確な経路は不明としている
経緯・原因・対応を読む → - DMM Bitcoin(委託先: Ginco)
委託先の社員を偽の採用試験でだまし、約482億円のビットコインを不正送金
攻撃者がリクルーターを装い、ウォレットソフト会社Gincoの社員に「採用前試験」として悪意あるスクリプトを送って端末を侵害。社員になりすましてDMM社員の正規の送金依頼を改ざんした(警察庁・FBIの公表)
経緯・原因・対応を読む →
事案に共通していること
多要素認証の例外と私物端末が入口になっています。アスクルの調査報告書は、例外的に多要素認証をかけていなかった委託先向けの管理者アカウントが悪用されたと指摘しています。日本経済新聞社では、社員の私物PCがウイルスに感染してSlackの認証情報が流出し、1万7,368人分の情報が流出した可能性があります。
顧客のアカウントの乗っ取りも大きな被害になりました。証券口座では、フィッシングやインフォスティーラーで認証情報が盗まれ、2025年の不正取引は9,860件、売買計約7,415億円でした(金融庁)。日本証券業協会と大手・ネット証券10社は補償の方針を公表し、パスキーなどフィッシングに強い認証の必須化が進みました。楽天モバイルでは、他のサービスから漏れたIDとパスワードによるリスト型攻撃で、1,000回線超が不正に契約されました。
従業員や管理者の認証情報が盗まれた事案も多くあります。KADOKAWAはフィッシングなどによる従業員のアカウント情報の窃取を根本原因と公表し、カシオ計算機はフィッシングメール対策の不備を原因に挙げました。JAXAと東京ガスエンジニアリングソリューションズでは、VPN経由の侵入で盗まれたアカウントが使われました。DMM Bitcoinでは委託先の社員になりすまされ、PR TIMESでは普段使っていない共有アカウントで、YCC情報システムでは推測または取得された管理者の認証情報で入られました。
まずやる対策
- 1
多要素認証を例外なくかける
管理者、委託先、保守業者、システム連携用のアカウントも含めて、例外をなくします。例外が必要なら、理由と期限を記録して定期的に見直します。
- 2
重要なシステムはフィッシングに強い認証にする
管理者のアカウントや顧客向けのサービスは、パスキーなど、偽サイトでは使えない方式の認証にします。
- 3
私物端末から業務用クラウドに入れる設定を見直す
チャット、メール、ファイル共有に、会社が管理していない端末から入れる設定になっていないかを確かめます。
- 4
共有アカウントと使っていないアカウントをなくす
複数人で使うアカウントは、誰が使ったか分からず、退職しても変わりません。個人ごとのアカウントに分け、使っていないものは止めます。
- 5
普段と違うログインに気づけるようにする
深夜や海外からのログイン、短時間の大量のログイン失敗を担当者に知らせます。顧客向けサービスでは、ログイン試行の回数を制限し、新しい端末からのログインを本人に通知します。
自社で確認すること
- 1 多要素認証が、管理者・委託先・保守用のアカウントを含めて例外なくかかっていますか
- 2 私物のPCやスマホから、業務用のクラウド(チャット、メール、ファイル共有)に入れる設定になっていませんか
- 3 複数人で使う共有アカウントや、使っていないアカウントが残っていませんか
当社がお手伝いできること
当社はAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。当社がお手伝いできるのは、下のような、システムを作り直す側の仕事です。
自社の顧客向けサービスや業務システムへの、パスキーなどの認証の組み込みをお手伝いできます。
入口とアカウントの棚卸し
社外から入れる機器・管理画面・クラウドのアカウントと権限を洗い出します。使っていないもの、多要素認証の例外、共有アカウントを一覧にします。
認証の強化の組み込み
自社の顧客向けサービスや業務システムに、パスキーなどフィッシングに強い認証を組み込みます。
VPNを使わない接続への置き換え
当社が自社で使っているCloudflareのゼロトラスト(Cloudflare One)で、VPN機器を置かずに社内システムへ入れる構成を作ります。
持つデータを減らす
退会者や古い取引のデータを、決めた期間で自動で消す仕組みを作ります。
気づける仕組み
ログを集め、大量のデータの取り出しや深夜のログインなど、普段と違う動きを担当者に知らせる仕組みを作ります。
よくあるご質問
- 多要素認証を入れていれば安全ですか
- 例外があれば、そこから入られます。アスクルでは、委託先向けの管理者アカウントだけが多要素認証の例外でした。証券口座の乗っ取りでは、偽サイトでワンタイムパスワードまで入力させる手口が使われました。例外をなくすことと、重要なところをパスキーなどフィッシングに強い方式にすることが必要です。
- パスキーとは何ですか
- パスワードの代わりに、スマホやPCに保存した鍵と、指紋・顔・PINなどの本人確認でログインする方式です。鍵は登録したサービスと結び付いているため、偽サイトでは使えません。2025年の証券口座の乗っ取りを受けて、証券会社で必須化が進みました。
関連する手口・解説
この手口の被害かもしれない、何から手を付けるか迷ったら、まず相談してください。
不審なメールが来た、不正アクセスかもしれない、漏えいの通知が届いた、取引先が被害に遭った。いまの状況を一言で送ってください。 状況を伺い、最初にやること、どこに頼むか(公的な窓口・専門会社の種類)、当社でできることを整理して、2営業日以内にメールでお返しします。無料です。いま被害が起きている場合は、フォームより先にIPA・警察・事故対応の専門会社・加入しているサイバー保険の事故窓口へ連絡してください。
- 1
状況を送る
フォームの送信は1分です。「社員が怪しいメールを開いた」「取引先から漏えいの連絡が来た」といった一言で十分です。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。会社のドメインを書いていただければ、なりすましメール対策(SPF・DKIM・DMARC)の設定も公開情報で確かめます。
- 2
2営業日以内にメールで返信
お返しするのは次の3点です。①最初にやること ②どこに頼むか(公的な窓口・専門会社の種類) ③当社でできること。確認作業をAIで回す仕組みなど当社が手伝える部分があれば、その範囲と費用の目安もお返しします。
- 3
必要なら1時間のオンライン相談
返信を読んで終わりにしてかまいません。続けて話したい場合は、1時間のオンライン相談を無料で承ります。
ご相談後に、こちらからしつこく営業することはありません。相談の内容は、ご相談者の同意なく第三者に渡しません。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。