アカウント乗っ取りから事業危機まで、今こそ知りたい「パスワードの新常識」【#セキュ裏 5】
本記事は、EGセキュアソリューションズが配信するPodcast「セキュリティの裏側まで読み解くラジオ」第5回を再構成したアーカイブ記事です。
「パスワードは定期的に変更すべきだ」。この古い常識はいま、多くの公的機関で見直されている。だが、パスワードを狙う脅威自体は消えていない。決済サービス「セブンペイ」は、パスワード機能の仕組みの不備を突かれ、信用を失い、稼働からわずか3ヶ月でサービス終了に追い込まれた。さらに、どれほど複雑なパスワードを設定しても、それだけでは防げない攻撃も増えている。パスワードを取り巻く常識と脅威は、想像以上に姿を変えている。
今回は、パスワードを狙う4つの攻撃手口と具体的な事例から、パスワードの新常識を解き明かしていく。
🎙️ 今回の Podcast を聴く
🎙 解説陣について
徳丸 浩（専門家）：EGセキュアソリューションズ最高技術責任者（CTO）。Webセキュリティの先駆者。
高畑 哲平（経営者）：IT・Webマーケティング分野で豊富な実績を持つ経営者。
香川 ほのか（ナビゲーター）：若手社員。セキュリティコンサルタント兼Web脆弱性診断士。
はじめに：「定期的なパスワード変更」の古い常識のアップデートから
香川： 皆さん、今日もパスワード管理に悩まされてませんか？新しいサービスに登録するたびに、パスワードを考え、やっと決めたと思ったら「記号を含めてください」と怒られ、さらには、仕事のシステムを開けば「パスワードの有効期限が切れました。変更してください」という通知。正直、「またか」とうんざりした経験あるのではないでしょうか？でも、実は今、その定期的なパスワード変更が、多くの公的機関では不要とされていることをご存知でしょうか？今回は、私たちを悩ませる「パスワード」をテーマに、古い常識のアップデート、個人と会社を守る最新の仕組みまでを分かりやすく紐解いていきます。
「本人確認」と「認証」、IT専門家でも混同する
一般に、システムは「認証」、つまりIDとパスワードの組み合わせによって、その人が本当にそのアカウントの利用者であるかを確認している。しかし、これは「本人確認」とは別のものだ。攻撃者が正しい認証情報を手に入れてしまえば、システムはその攻撃者を本人として扱ってしまう可能性がある。これが、パスワード攻撃を理解するための出発点となる。
香川： そもそもパスワードって私たちにとって一体何のために必要で、何を証明するためのものなんでしょうか？
徳丸： パスワードは、会員登録のある仕組みの中で「登録されている誰であるか」を特定するものです。
銀行が一番分かりやすいんじゃないかと思います。口座からお金を引き出したいとなれば、その口座の持ち主であることを証明しなければいけない。銀行なら預金通帳と届け出印を使うわけですが、オンラインではIDとパスワードで持ち主であることを証明するわけです。
香川： IDとパスワード、全アプリケーションで使ってます（笑）。
徳丸： これは「本人確認」みたいな言われ方をすることもあるんですが、実は専門的に言うと、本人確認と、パスワードによる確認（認証と言います）は違うんですね。
銀行で口座を作る際には、マイナンバーカードや免許証といった本人確認書類を求められます。「確かに実在する徳丸という人物で、住所はこれこれ」。これが本人確認です。
そして、いざ口座ができたら、「確かにその口座の持ち主である」ことをパスワードで確かめる。これが認証です。この2つは違うもので、ITの専門家でもごっちゃになっている人が多いんですが、せっかくの機会なので説明しておきたいと思います。
パスワードを狙う手口①②：推測と辞書攻撃
攻撃者はパスワードをどう破るのか。徳丸さんが挙げる手口は4種類。まずは、有名人のインスタ乗っ取りにも使われた「パスワード推測」と、「辞書攻撃」から。
パスワードを狙う手口その1：パスワード推測
香川： そのIDとパスワードについてお伺いしたいんですけれども、例えば覚えやすいからといって、生年月日プラス自分の名前みたいな、123456のような簡単なものにしたり、同じものを使い回したりすると、具体的に何が駄目なんですかね？
徳丸： はい、これは、パスワードを狙う手口っていうのがいろいろありまして、そのどれかでやられてしまうということなんですね。ですから、これからしばらく、パスワードを狙う手口、今日はちょっと多いかもしれませんが、4種類。
まず1個目は、特定の有名人や知り合いの人を狙う手口で、「パスワード推測」と言ったりするんですが。例えば、香川さんを狙いたいというような輩がいたとして、香川さんの氏名、あるいは誕生日、これを組み合わせてパスワードを作るわけですね。で、いろいろ試してみる。香川さんはね、セキュリティの会社のエンジニアなんで、そういうことはないって、まさかとは思うんですが。
香川： まさか（笑）。
徳丸： しかし、著名な芸能人がインスタのパスワードを破られちゃいました、みたいな事件が定期的にあるんですね。その報道をよく見ると、本名と誕生日を組み合わせてパスワードを設定していた、なんて書いてあったりする。だからこれ、私が推測で言ってるんじゃなくて、裏取りのある報道された情報なんですね。
これ、実はそういうのが得意な人がいまして。通常、推しの芸能人の秘密の情報を見たい、そういう動機で始まると思うんですが、やってるうちにもう楽しくなってしまうようで、別に推しじゃない人までやっちゃうみたいで。これでその犯罪をね、より余計に重くしてしまったりするようですね。これがパスワード推測というものです。
パスワードを狙う手口その2：辞書攻撃と専門用語の誤用
徳丸： 次は「辞書攻撃」。辞書ってのは、漢和辞典とか国語辞典の辞書ですね。これは実は、多くの人がよく使いがちなパスワードって決まってるんですね。毎年そういうランキングが発表されてるんですが、その常連が、123456（笑）。あるいは、passwordという単語そのもの。こういうのが多い。
香川： 覚えやすいですもんね。
徳丸： 英字と数字を組み合わせてくださいって言われたら、password1（笑）。これ、冗談じゃなくて本当に多いです。
ですから、どうせそういうのを使ってるだろうということで、パスワードの辞書っていうのが、いろんなとこにあるんですが、そういうものを持ってきて、ユーザーID「香川」、でパスワードは123456、password、何とか、みたいな順番に試していく。これが辞書攻撃ですね。
私、実は用語にうるさいタチでありまして。よく「総当たり攻撃」とか「ブルートフォース攻撃」って言われるんですが、総当たりっていうのは、あらゆる可能性を全部試す、文字通りの総当たりなので、これは違うだろうと。あんまり大きな声で言ってもいけないので、小声で。いつもつぶやいています。
で、昔からのパスワードを破る手口では、この2つが2大手口だったんですが、今は違います。残り2つが2大手口です。
手口③ パスワードリスト攻撃：仕組みと、日本から始まった歴史、そして経営リスク
過去の問題はパスワードが単純すぎることだった。しかし今の問題は、正しいパスワードそのものが手に入ってしまうことにある。その代表的な手口が2つある。1つ目がパスワードリスト攻撃だ。
辞書攻撃が「使いがちなパスワード」を試すのに対し、パスワードリスト攻撃が使うのは漏洩した本物のID・パスワードのセットである。本来「ものすごく低い」はずのパスワードが当たる確率は、使い回しによって桁違いに跳ね上がる。
つまり、自社から情報が漏れていなくても、不正ログインの被害は起こり得る。話は楽天モバイルのeSIM不正転売、そしてセブンペイ（7pay）のサービス終了にまで及ぶ。
パスワードリスト攻撃の仕組みと桁違いの成功率
徳丸： 「パスワードリスト攻撃」という名前にパスワードって付いてるんですが、これ、実はIDとパスワードのリストです。
いろんなWebサイトなどから情報漏洩が起きる際に、IDとパスワードも漏洩することがあるんですね。山田さんのIDとパスワードはこれこれ、田中さんはこれこれというリストを持っておいて、それをそっくりそのまま順番に試していく。さっきのパスワード辞書はIDを固定してパスワードだけを変えていくのに対して、パスワードリスト攻撃は、特定のある人のIDとパスワード、別の人のIDとパスワードを次々に試すんですね。
香川： IDとパスワードのセットだと、攻撃が成功する確率は高いですよね。
徳丸： おっしゃる通りです。実は専門家も、そういう攻撃ができることには気づいていました。でも、試せない。私はセキュリティの専門家だから、研究という正当な目的で、漏れたIDとパスワードを別のサイトで試してみたいと思っても、不正アクセス禁止法があるから、試せない。でも、悪いやつらが試したんです。
日本では2013年以降急増します。IPA（情報処理推進機構）という日本の国立の機関が「パスワードリスト攻撃」と新たに名前を付けるほど流行ったんですが、当たりやすいという確率の話ですね。ひどいときには1%を超え、数パーセントになる。低い場合でも0.01%、1万分の1。
1万分の1というと少ないみたいですが、そもそもパスワードが当たる確率というのは、ものすごく低いわけです。低くないと使えないですからね。なんですが、パスワードリスト攻撃は極めて成功率が高い。
日本から世界へ、「パスワードリスト攻撃」という名前の歴史
徳丸： 日本では最初に被害があった、あるいは被害を公表したのは、ガンホーという有名なゲームの会社ですね。これが2011年10月ぐらい。攻撃が流行したのは2013年以降ですが、それより2年前に、もう被害のリリースを出しているんですね。
IPAが「パスワードリスト攻撃」と名付けた。これ、珍しいんですよ。サイバー攻撃は普通、海外で先に流行って、後で日本でも流行る、という順番なんですが、パスワードリスト攻撃は、実は日本が早いんですよ。
その後、米国などでも話題になって、まあ米国なので、日本の名付けなんて全然気にしてなくて（笑）。グローバルでは、「クレデンシャルスタッフィングアタック」と言います。用語が違うので、皆様がもし興味を持って海外の文献を見たときに「あれ、名前が違う。これとこれはどうなんだ」となったら、参考になさってくださるといいかなと思います。
パスワードリスト攻撃のビジネスへの甚大な影響：楽天モバイルとセブンペイの事例
高畑： パスワードリスト攻撃は漏洩がトリガー？
徳丸： はい。元々は漏洩がトリガーだったんですが、今や、そういうものをいろいろ集めた詰め合わせセットみたいなものが、ブラックマーケットで売られてるんです。
昨年（2025年）、実は楽天モバイルがこれで相当やられたんですね。パスワードリスト攻撃で楽天のアカウントに入れる。そうすると、楽天モバイルのユーザーならeSIM（デジタルのSIM）を発行できる。それを勝手に他人のアカウントで発行し、ブラックマーケットで売る輩が、複数のグループから現れた。
徳丸： ですから、パスワードが破られると何がまずいのか。よく「個人情報が漏洩する」と言われますが、パスワードリスト攻撃の場合、あなたの情報は実はもうすでに漏れてる。IDとパスワードが悪用されてるくらいですからね。
漏れてるんだけど、さらにそれが金銭的な被害になる。これは実際のところ大きいですよね。例えば、皆さん、セブンペイというQRコード決済を覚えておられるでしょうか。
香川： はい、不正利用で、もう大変な騒ぎになって。
徳丸： はい。経営的に言うと「ダメージコントロール」と言うんですが、実は被害金額は数千万円と言われていて、数千万ってでかいけど、セブン＆アイ・ホールディングスにとってみたら、はした金ですよね。だけど、記者会見などがあまりうまく行かず、「こんなもので大切なお金の決済なんか任していいのか」ということで、セブンペイというサービスは終了、停止。そのための専門の会社を作っていたのに、その会社が清算、廃業。
だから、もう事業継続という点では非常に大損害ですよね。だってセブン＆アイの、デジタルの旗頭になるはずだったわけですからね。
香川： もう1つのサービスが終わったってことですもんね。
徳丸： サービスが終わったし、いわゆる風評被害ですね。「あそこでまた新しいデジタルサービスをやろうとしてるけど、本当に大丈夫なのか」みたいに、痛くもない腹を探られるようなことがあるわけです。
実は金銭的な被害は大企業であれば、最終的には戻ってくる、補償されて戻ってくることが多いんですが、これ多くの方、精神的なショックがすごく大きいと思うんですね。
徳丸： その数万円と言えども大切なお金だし、不安が不安を呼んで、もう夜も寝られない。ということが起こりますから、非常に気をつけたいところではないかなと思いますね。これがパスワードリスト攻撃です。
手口④ フィッシング：今、最も被害が大きい脅威とその対策
パスワードリスト攻撃と並ぶ、現代のもう1つの主要手口がフィッシングだ。徳丸さんが「今一番ホットな話題」と呼ぶこの手口は、システムではなく人間の心理を突く。どれほど複雑なパスワードでも、本人が自ら教えてしまえば意味をなさない。その被害額は、これまでとは比べものにならない規模に達している。
フィッシングの手口：宅配業者の不在通知から銀行の偽サイトへ
徳丸： で、今一番ホットな話題というのは、フィッシングというやつです。そういうの来ます？
高畑： フィッシングは来てるかな？結局スパム判定で、見る機会は少ないかなとは思うんですけど。
徳丸： はい、そうですよね。それは大変いいことです。私、そういうのを見るのもちょっとお仕事のうち、あるいは興味半分と言いますか、面白いので、迷惑メールのフォルダを覗くと、もう、うじゃうじゃうじゃっといっぱいあるわけですよ。
例えば、「なんとかカードの支払いが滞納してます」みたいな。え、俺そのカード持ってないけど、みたいな（笑）。
そうやって、電子メール、あるいはSMSですね、ショートメッセージで送ってくる。「銀行の何かの確認をしてください」とかですね。一時期よくあったのは、「荷物のお届けに上がりましたがご不在でしたので持ち帰りました」。
香川、高畑： ああ、ありましたね。
徳丸： で、それを覗いてみると、宅配業者だと思うじゃないですか。そうではなくて、なんとか銀行からのお知らせが出てきたりするんですよ。全く別の。ところが、それでも引っかかる人は引っかかるんです。これがフィッシングです。
オンライン証券の不正取引：取引パスワードまで盗まれる仕組み
徳丸： 昨年は、これが本当に多額の被害を出してしまいました。オンライン証券の不正取引です。もう、一大事件でしたよね。一時期テレビでもやってました。ひどい月は1,500億円の被害という、日本のセキュリティ被害としては非常に大きな金額で、実は今でも完全に終息はしてません。パスワードリスト攻撃のところでも「実は金銭被害が」と言いましたが、今までのとは比べものにならないくらい大きな被害が出てるのが、このフィッシングなんです。
徳丸： メールやSMSに、URL（HTTPSコロンで始まるアドレス）が書いてある。そこにアクセスすると、何々銀行、何々証券という、本物そっくりの、実は偽物のサイトが現れる。そこにIDとパスワードを入力すると、入力した文字列が盗まれてしまう。犯人はそのIDとパスワードを使って本物のサイトにアクセスすれば、まんまと被害者になりすましてログインできる、と。
で、証券会社の場合は、通常のIDとパスワードに加えて、株式などを売買するときに、ログインするときとは別の「取引パスワード」を要求されるんです。大抵。ところが、それも一緒に盗まれちゃうんですね。
どうするかというと、IDとパスワードと取引パスワード、この3点セットを入力させる。それ、おかしいんです。
取引パスワードはあくまで取引をするときのものですから、最初に聞かれるのはおかしいんですが、宅配業者のはずだったのにオンラインバンキングで騙される人がいるぐらいですから、そのぐらいは躊躇なく入れちゃう。躊躇するぐらいだったら気がつきますからね（笑）。ということで、これは今、主要な問題になっています。
フィッシングとウイルスの混同および巧妙化する手口
高畑： すごい難しいですよね。私のあくまで身の回りでこの前聞いて、「あ、なるほどな」と思ったんですけど、フィッシングメールと、若干ウイルスが混同されてる方もいて。
フィッシングっていうのは情報を取るためにやる仕組みですけど、一昔前って自分で言うのもあれですけど、私の世代なんかは「クリックすると感染するよ」と言われてる世代なので、フィッシングメールは感染目的ではないじゃないですか。でもクリックした瞬間にパニックになって、「感染したかな」みたいな。身の回りにそういう詳しい方がいないと、フィッシングとウイルスがまず混同している。
フィッシングも、結構なりすましが高度っていうのもあるんですけど、この前思ったのが、何かの銀行口座の振り替え代行とかって、銀行でもキャッシュカードの暗証番号を入力させるんですよね。
なので、「あれ？」って一瞬思う。リアルなものとフィッシングの境目が、分かってる人は分かるんでしょうけど、本当に高度だな、っていうのは最近すごく感じるところで。
フィッシングへの対策：ドメイン確認の限界とブックマーク
高畑： これといった打開策っていうのは、やっぱりドメインとかになるんですかね？
徳丸： はい。「ドメイン名を確認しろ」ということになる。ドメイン名というのは、アドレスの一番頭、なんとか.comとか、なんとか.co.jpって書いてある部分なんですが、じゃあそれを確認しますかっていうと、難しいですよね。だって、覚えてないじゃないですか。仮に覚えていても、一文字だけ違うとか、数字の1と小文字のLの違いとか、パッと見は分かんない。
高畑： まあ、そうですね。
徳丸： それはもう無理。ですから、メールやSMSで来たURL、そのアドレスは、もうクリックするな、と。お知らせはお知らせとして受け取っておいて、「何々銀行からのお知らせ」であれば、そのメールのURLは使わずに、自分のパソコンやスマホにあらかじめ登録してあるブックマークからログインして、そのお知らせを見てみる。
特に来ていない、というならガセだろう。あるいは実際に来ていたなら、対応しようか。それが正しい対応なのだが、言葉で言うとそんなに難しくない、いざそうしたメールが来ちゃったらついつい。
香川： メールからね、行っちゃいますよね。
徳丸： 行っちゃいますよね。面倒くさいし。
高畑： 利便性っていう問題がね。結局あとからブックマークのところに行って何をお知らせされてたのか分からなくなったみたいな（笑）。そんな話も聞くことがありますからね。
まとめ：パスワードの常識は、攻撃とともに更新される
パスワードは、変更の頻度ではなく「どう狙われるか」から考える。「定期的な変更は不要」という新しい常識の背景には、今回見てきた攻撃側の変化がある。誕生日からの推測と辞書攻撃の時代から、漏洩したIDとパスワードをそのまま流用するパスワードリスト攻撃へ、そして本人にパスワードを入力させるフィッシングへ。攻撃が「弱いパスワード」ではなく「使い回しと人の心理」を突くものに変わった以上、守り方の常識も変わる。
その中で、徳丸さんが「正しい」と語る行動は明快だ。メールやSMSで届いたURLは開かず、あらかじめ登録したブックマークから公式サイトにアクセスして確認する。また、ログイン時に「ID・パスワード・取引パスワード」の3点セットを求められた際も注意したい。取引パスワードはあくまで実際の取引時に使うものであり、最初に聞かれるのはおかしいからだ。面倒でも、この一手間と少しの注意が、アカウントと口座を守る現実的な鍵になる。パスワードの常識は、これからも攻撃とともに更新されていく。
次回予告：パスワードの正解は、自分で決めないこと
次回は、パスワード管理の混乱を整理するための「実践・応用編」をお届けする。徳丸氏自身が「もう自分では決めない」と判断してツールに委ねた背景と、現在広く普及している「2段階認証」をリアルタイムに突破するハッカーの巧妙な手口（中継型フィッシング）の仕組みを解説する。
そして、金融庁も推奨し始めている、パスワード不要の次世代セキュリティ「パスキー」への移行期において、私たちが今取るべきロードマップを提示する。
「今の設定で本当に大丈夫？」という疑問に、一歩踏み込んだ技術と実践の視点からお答えする。最新の内容をいち早く知りたい方は、まずは以下のポッドキャストからどうぞ。
🎙️ セキュリティの裏側を読み解くラジオ｜Spotify | Apple Podcast | Amazon Music
補足情報・参照資料
株式会社セブン＆アイ・ホールディングス（7pay）の公式リリース：「7pay（セブンペイ）」 サービス廃止のお知らせとこれまでの経緯、今後の対応に関する説明について
本文中で言及した用語・事例に関する補足:
セブンペイ事件: セブンペイ事件は、パスワードリスト攻撃に加え、パスワード再設定機能の仕様上の不備が突かれたことに端を発する。2019年の不正利用事件における直接的な金銭被害額は約3,860万円であった。大企業にとって補償可能な金額だが、記者会見等での対応不備も重なり「セキュリティへの不信感」という致命的な風評被害を招き、サービスはわずか3ヶ月で終了に追い込まれた。運営会社は2025年に清算結了している。
ダメージコントロール (Damage Control): 危機 (インシデント) 発生時に、被害や損失、および企業ブランド・社会的信用への悪影響を最小限に食い止めるための事後対応や広報活動のこと 。
IPA (独立行政法人情報処理推進機構): 日本のITセキュリティなどを牽引する公的機関。
パスワードリスト攻撃 (Credential Stuffing): どこからか漏洩したIDとパスワードのリストを用いて、別サイトへの不正ログインを試みる手口。多くの人が「パスワードを使い回す」傾向を突くため、成功率が高い。
eSIMの不正発行 (SIMスワップ攻撃):楽天モバイルなどで発生した事件の背景にある手口。フィッシング等でIDとパスワードを窃取し、被害者の電話番号を攻撃者のスマートフォン上のeSIMに不正に再発行する。2025年だけでも複数の異なる犯行グループによる事案が相次いで発生しており、一過性の事件ではないことがうかがえる。
オンライン証券の不正取引事件: フィッシングによって通常のログインパスワードだけでなく「取引パスワード」まで窃取され、勝手に株式を売買される被害。2025年以降、被害総額が数千億円規模にのぼるなど、極めて甚大な金銭被害を生み出している。
