パスワードの使い回しで被害が広がる流れと家庭でできる予防策

パスワードの使い回しで怖いのは、1か所で漏れた組み合わせが、別のサービスで次々に試されることです。 自分が気をつけていても、昔登録したサービスから漏れれば、同じ組み合わせを使う場所すべてが入口になります。

広がる順番が分かると、家庭で先に守る場所が決まります。 この記事では、公的な統計と事例から被害の広がり方を整理し、手を打つ順番をまとめます。 強いパスワードの作り方そのものは使い回さない強いパスワードを毎日の生活で作る方法で扱っています。

被害は3つの段階で広がる

使い回しの被害は、ある日いきなり全部のアカウントで起きるわけではありません。 多くは次の3段階をたどります。

1. どこか1つのサービスから組み合わせが漏れる

始まりは、利用者の操作ミスとは限りません。 登録したまま使っていないサービスから、IDとパスワードの組が外に出ることもあります。

ここで漏れるのは「そのサービスのパスワード」です。 使い回していなければ、同じ組み合わせを別のサービスで試される被害は防げます。 ただし、漏れたのがメールのアカウントなら、3で説明する再設定の経路から広がることがあります。

2. 同じ組み合わせが、別のサービスで試される

総務省は、流出したアカウント情報で他のサービスへの不正ログインを試す手口があると注意を呼びかけています。 漏れた組と同じものを使っていれば、そのサービスにも入られてしまいます。

この段階では、攻撃する側はパスワードを推測していません。 知っている答えを、別の扉で試しているだけです。 だから、長くて複雑なパスワードでも、使い回していれば防げません。

3. メールを取られると、再設定で次々に開かれる

いちばん広がりやすいのが、メールアドレスのアカウントに入られた場合です。 多くのサービスは、パスワードを忘れたときの再設定の案内を登録メールに送ります。

メールを読める人は、その案内を受け取れます。 つまり、メールのパスワードが使い回しだと、使い回していないサービスまで再設定で開かれるおそれがあります。

検挙された不正アクセスの手口の内訳

国家公安委員会・総務大臣・経済産業大臣は、毎年、不正アクセスの発生状況を公表しています。 令和6年に検挙されたもののうち、他人のIDやパスワードを使った型が511件ありました。 その手口の内訳は次のとおりです。

手口（報告書の区分）	件数（割合）
パスワードの設定・管理の甘さにつけ込んで入手	174件（34.1%）
識別符号を知り得る立場にあった元従業員や知人等による犯行	107件（20.9%）
他人から入手	67件（13.1%）
利用権者からの聞き出し、のぞき見	51件（10.0%）
フィッシングサイトにより入手	41件（8.0%）
インターネット上に流出・公開されていた識別符号を入手	11件（2.2%）
その他	60件（11.7%）

読むときは2点に注意してください。 1つは、これが検挙された件数の内訳で、起きた不正ログインの全体ではないことです。

もう1つは、最多の区分が「使い回し」だけを数えたものではないことです。 報告書は対策として、名前や生年月日など推測されやすいパスワードを避けることと、使い回さないことを並べて挙げています。

この表は、他人のIDやパスワードを使った型の中だけの内訳です。 型どうしを比べるには、同じ資料にある型別の検挙件数の表を見ます。

令和6年は、この型が511件、ソフトウェアの弱点を突く「セキュリティ・ホール攻撃型」が22件でした。 検挙された範囲では、技術的な抜け穴を突く手口より、他人のIDやパスワードを使う手口がずっと多いことになります。

内訳の上位には、身近な人が関わる手口も入っています。

身近な人が関わった事例

総務省の「国民のためのサイバーセキュリティサイト」には、家庭での被害事例が載っています。 パスワードに関わる2つを紹介します。

1つ目は、大学のメールのパスワードを同じサークルの学生に盗まれた例です。 その学生が本人になりすまし、就職先の担当者に内定を辞退するメールを送っていました。

2つ目は、話していない予定を同僚が知っていて、メールを盗み読まれているのではと気づく例です。 総務省は、こうした事件の原因に利用者の不注意もあると説明しています。 例として挙げるのが、設定を手伝ってもらうときに教えたパスワードをその後も変えていなかった場合です。

どちらの例でも、気をつける相手は遠くの誰かではなく、パスワードを知りうる近くの人です。 人に教えたり、入力を見られたりしたパスワードは、その後に変えておくのが基本です。

家庭で先に手を打つ順番

全部のアカウントを一度に直す必要はありません。 被害が広がる順番の逆から、次の順に固めます。

1. メールのアカウント: ほかと違うパスワードにし、多要素認証（パスワードに加え、スマホなど別の要素でも確かめる仕組み）を設定する
2. 再設定の届け先: 各サービスに登録したメールアドレスや電話番号が、今も自分のものか確かめる
3. よく使うSNS・買い物のサービス: メールと同じか、互いに同じパスワードなら、別々のものに変える
4. 使っていないサービス: 退会できるものは退会し、漏れたときの入口を減らす

1と3では、新しいパスワードを自分で考える手間がかかります。 パスワード生成ツールを使えば、サービスごとに別の文字列をすぐに作れます。

使い回しの洗い出しは、サービス名だけを書き出す形で十分です。 パスワードそのものを一覧に書くと、その紙やファイルが新しい漏えい元になります。

「漏れた」と分かったときの動き方

サービスから漏えいの知らせが届いたら、次の順で動きます。

1. 知らせのリンクは押さず、ブックマークや公式アプリからそのサービスを開く
2. そのサービスのパスワードを変える
3. 同じパスワードを使っていたほかのサービスも、それぞれ別のものに変える
4. メールに入られた心配があれば、設定画面で知らない転送先や連絡先が足されていないか見る

1を最初に置いたのは、漏えいの知らせを装ったフィッシングがあるためです。 先の公表資料も、SMSやメールに書かれたリンクを不用意に開かないよう注意を促しています。

3を飛ばすと、使い回しの被害はそこから続きます。 漏れたサービスだけを変えても、同じ組み合わせを使う別の扉は開いたままだからです。

定期的に変えるより、漏れたときにすぐ変える

以前は、パスワードを数か月ごとに変えるよう勧められていました。 総務省は現在、流出の事実がなければ定期的に変える必要はないと説明しています。

定期的な変更を続けると、作り方がパターン化したり、使い回しが増えたりしやすいためです。 大切なのは、サービスごとに違うパスワードにしておき、漏れたと分かったときにすぐ変えることです。

家族のアカウントをまとめて見直すときの分担や記録の置き場所は、家族のパスワード管理の決め方で整理しています。

関連記事

• 使い回さない強いパスワードを毎日の生活で作る方法 — 生成ツールの操作手順
• 家族のパスワード管理の決め方｜共有・記録・引き継ぎの分担 — 家庭での分担と記録の置き場所
• QRコードの中身を開く前に確かめる手順 — リンクの宛先を開く前に読む方法

参考・出典

• 不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（令和7年3月13日） — 国家公安委員会・総務大臣・経済産業大臣（警察庁掲載） （2026-10-07 閲覧）
• 推測できる簡単なパスワードを利用しないようにしよう（国民のためのサイバーセキュリティサイト） — 総務省 （2026-10-07 閲覧）
• 事例1 私の名前で誰かがメールを（国民のためのサイバーセキュリティサイト） — 総務省 （2026-10-07 閲覧）
• 事例13 メールが他人に読まれている？（国民のためのサイバーセキュリティサイト） — 総務省 （2026-10-07 閲覧）

本記事は上記の公的機関・公式情報源を参考にしています。最新の情報は各リンク先をご確認ください。