Sorabun

セキュリティ

あなたのパスワード、漏れてない？ 最大2,252万件の流出から考える、使い回しをやめる方法【2026年】

公開 ・ 読了の目安 約21分 ・ Sorabun 編集部

あなたのパスワード、漏れてない？ 最大2,252万件の流出から考える、使い回しをやめる方法【2026年】

2026年の秋、パスワードを含む会員情報の流出が相次いでいます。ソースネクストは最大で約2,252万件、ふるさとチョイスは約445万件の流出を発表しました。

同じパスワードを、ほかのサービスでも使っていませんか。私たちは、各社の発表と国の指針を読み、漏れたパスワードの一覧を、実際に調べました。

先に結論を書きます。

1. 何が漏れた？

ソースネクスト：対象は22,519,960件。項目に「パスワード」

ソースネクストは2026年10月15日、会員情報を管理するシステムに不正アクセスがあり、お客様の情報が流出したと発表しました。10月9日から、会員情報を取得する API が不正に使われていた、としています。

ソースネクストの発表の「流出した可能性のあるお客様情報」。対象件数は22,519,960件、対象となる情報はメールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報
ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（2026年10月15日）

発表には「すべてのお客様について上記すべての情報が流出したわけではございません」とあります。一方で、パスワードがどんな形で保存されていたか（暗号化・ハッシュ化など）は、発表にもよくある質問にも書かれていません。

報道によると「読める状態」で流出

パスワードの状態は、報道が同社に問い合わせて伝えています。会社の発表と、報道で分かったことを分けて並べます。

分かったこと 出どころ
対象の項目に「パスワード」が含まれる ソースネクストの発表（10月15日）
漏洩対象に含まれるパスワードを無効化した。ログインのときに再設定が必要 ソースネクストのよくある質問
「パスワードは暗号化して保存していた」「暗号化されたパスワードを復号するための鍵にアクセス可能なシステム（API）に対して、不正アクセスが行われた」「パスワードが復号された状態で外部に流出したことを確認している」 ITmedia NEWS の取材（10月19日）
「元の文字列を判読できる状態で流出したことが確認されている」 INTERNET Watch の追記（10月20日）

同社は「暗号化して保存していた」と説明しています。「平文（そのまま）で保存していた」と認めたわけではありません。 ただ、鍵を使えるシステムが不正に使われたため、結果として読める状態で外に出た、ということです。

そして、同社自身がこう書いています。

ソースネクストの発表の「(2)他のサービスで同じパスワードをご利用の場合」。流出した可能性のあるメールアドレスとパスワードの組み合わせを用いて、第三者が他のサービスへのログインを試みるおそれがある、当社サービスと同じ組み合わせを他のサービスでも利用している場合は、該当するサービスのパスワードも変更してほしい、と書かれている
ソースネクストの発表（2026年10月15日）

ソースネクストのパスワードは無効になっていますが、同じメールアドレスとパスワードを、ほかのサービスで使っていれば、そちらが危ないのです。

ふるさとチョイス：4,454,097件。「ハッシュ化されたパスワード」

10月20日には、ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクも、4,454,097件の流出を発表しました。

トラストバンクの発表の「２．現時点で流出が確認されている個人情報」。対象サービスは「ふるさとチョイス」の会員情報、件数は4,454,097件、情報項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額
トラストバンク「不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ」（2026年10月20日）

こちらは「ハッシュ化されたパスワード」と書いています。ハッシュ化とは、パスワードを、元に戻しにくい決まった長さの文字列に変えて保存することです。同社も、同じ組み合わせをほかのサービスで使っている場合は、ほかのサービスのパスワードを変えるよう呼びかけています。

2. パスワードの書き方は、会社ごとに違う

この秋に流出を発表した会社の、パスワードについての書き方を並べました。

2026年秋の流出で、各社がパスワードについてどう書いたかを並べた表。ソースネクストは保存の形の記載なし（報道では判読できる状態）、ふるさとチョイスはハッシュ化されたパスワード、skyticket はハッシュ化したが解析によりパスワードが判明、ブックオフはパスワードのハッシュ値、タイムズカーは復元できない形式で保管、焼肉きんぐとミスターマックスはパスワードは漏えい・流出していない
各社の発表（2026年9〜10月）を Sorabun が並べた
会社（公表日） 件数（会社の表記） パスワードについての会社の書き方
ソースネクスト（10/15） 22,519,960件 対象に「パスワード」。保存の形は書かれていない（報道では「判読できる状態」）
ふるさとチョイス（10/20） 4,454,097件 「ハッシュ化されたパスワード」
skyticket（10/9） 約1,464万件（うちパスワードを含むもの約413万件） 「ハッシュ化」して保存していたが「解析によりパスワードが判明」
ブックオフ（10/13） 6,427,735件 「パスワードのハッシュ値」
タイムズカー（9/28） 約660万件 「パスワードは復元できない形式で保管」
焼肉きんぐ（10/5） 10,788,963件 ログインパスワードは「漏えいはございません」
ミスターマックス（10/6） 最大1,735,154人 パスワードは「流出していないことを確認」

件数は各社の表記のままで、「件」と「人」が混ざり、流出の「可能性」を含むものもあります。足し算はしません。「漏えいしていない」は、各社が発表した時点での確認です。

3. ハッシュ化されていれば、安心？

ブックオフは「パスワードのハッシュ値は、パスワードを一定の方式で変換した情報であり、そのままでは元のパスワードを読み取ることはできません」と書いています。では、ハッシュ化されていれば、漏れても安心でしょうか。

答えは「安心ではない」です。 旅行予約の skyticket は、自社の発表でこう書いています。

skyticket の発表の「不正ログイン（上記1（1）の会員様）」。ログインパスワードは、元のパスワードに戻すことが困難な形（ハッシュ化）に変換して保存していたが、解析によりパスワードが判明し、skyticket や、同じパスワードを使っている他のサービスへの不正ログインに悪用されるおそれがある、と書かれている
アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（skyticket、2026年10月9日）

ハッシュは元に戻せなくても、攻撃者は「よく使われるパスワード」を同じ方式でハッシュにして、一致するものを探せます。よく使われる短いパスワードほど、ハッシュにしても当てられやすいのです。

4. 使い回しは、実際に狙われている

他社で漏れた組み合わせで、実際に不正ログイン

スクウェア・エニックスは10月19日、他社で流出したとみられる組み合わせによる不正ログインを確認したと発表しました。

スクウェア・エニックスの重要なお知らせ「不正アクセスとアカウント管理に関するご注意」（2026/10/19 12:40）。他社のオンラインサービスで流出したと思われるメールアドレス／アカウントIDおよびパスワードを組み合わせて、スクウェア・エニックス アカウントへの不正なログインが行われているケースがあることを確認している、と書かれている
スクウェア・エニックス「不正アクセスとアカウント管理に関するご注意」（2026年10月19日）

同社は、生年月日や同じ文字の繰り返しなど、推測しやすいパスワードも危ないと書いています。なお、「他社」がどこかは書かれていません。

警察庁の統計：手口の1位は「パスワードの設定・管理の甘さ」

警察庁の統計では、他人のパスワードを使った不正アクセス（識別符号窃用型）で検挙した事件の手口のうち、最も多いのは「パスワードの設定・管理の甘さにつけ込んで入手」でした。

警察庁の「不正アクセス行為に係る手口別検挙件数（識別符号窃用型）」の円グラフ。令和8年上半期の総数124件のうち、パスワードの設定・管理の甘さにつけ込んで入手が47件で最も多く、フィッシングサイトから入手14件、識別符号を知り得る立場12件、利用権者からの聞き出し・のぞき見9件などが続く
警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」統計編166ページ
期間 検挙した事件の数 「パスワードの設定・管理の甘さにつけ込んで入手」
2025年（令和7年） 399件 84件（1位）
2026年上半期（令和8年） 124件 47件（1位）

これは検挙した事件の手口で、不正アクセス全体の数ではありません。また、「ネットに流出・公開されていたパスワードを入手」という項目は、2025年が9件、2026年上半期が2件で、統計の上で「使い回しが1位」とまでは言えません。言えるのは、推測しやすい・管理が甘いパスワードを突かれたものが一番多いということです。

5. 実際に数えた：「複雑そう」でも漏れていた

では、よくあるパスワードは、どれくらい漏れているのでしょうか。過去の漏えいで出回ったパスワードを集めた Have I Been Pwned の一覧（Pwned Passwords）で、2026年10月21日に実際に数えました。

漏れたパスワードの一覧に載っていた回数の表。123456は210,461,208回、password は52,372,427回、qwerty は30,812,897回、iloveyou は7,007,935回、P@ssw0rd は6,421,042回、password123 は2,266,543回、sakura は683,950回、Password1! は584,516回、Sorabun2026 と kumo-sora-hikari-2026 は0回
Have I Been Pwned（Pwned Passwords）で Sorabun が数えた（2026年10月21日）
パスワード 漏れた一覧に載っていた回数 ひとこと
123456 210,461,208回
password 52,372,427回
qwerty 30,812,897回 キーボードの並び
iloveyou 7,007,935回
P@ssw0rd 6,421,042回 大文字・小文字・数字・記号
password123 2,266,543回
sakura 683,950回
Password1! 584,516回 4種類の文字で10文字
Sorabun2026 0回 載っていない。でも短く、サービス名と年で推測しやすい
kumo-sora-hikari-2026 0回 載っていない（長い言葉のつなぎ）

「P@ssw0rd」のように、a を @ に、o を 0 に替えるのは、攻撃者もよく知っている置き換えです。「大文字・小文字・数字・記号を混ぜる」だけでは、漏れた一覧から外れません。

また、0回は「一覧に載っていない」というだけで、強いとは限りません。「Sorabun2026」のように、サービスの名前や年を入れたものは推測されやすいので使いません。ここに出したパスワードも、もう使わないでください。

パスワードそのものは送らずに調べられる

調べるとき、パスワードそのものは送っていません。パスワードを SHA-1 という方法でハッシュにして、先頭の5文字だけを送ります。

sha1("P@ssw0rd") = 21BD1 2DC183F740EE76F27B78EB39C8AD972A757
GET https://api.pwnedpasswords.com/range/21BD1
-> 2DC183F740EE76F27B78EB39C8AD972A757:6421042

返ってくるのは、同じ先頭5文字を持つ数百件の候補と、その回数です。どれが自分のものかは手元で照らし合わせるので、相手には分かりません（k-匿名性）。運営者の Troy Hunt と Cloudflare が、この仕組みを公開しています。

国家サイバー統括室のハンドブックも Have I Been Pwned を紹介していますが、「あくまでも民間のサービス」で、信頼できないサイトにパスワードを入れると、かえって流出を招くおそれがある、とも書いています。ふだんは、次の章のスマホやブラウザの機能で確かめるのが手軽です。

6. 国の答え：使い回さない・長く・定期変更は不要

国の指針は、そろって同じことを言っています。

指針 出どころ
使い回しは「絶対に」しない。1か所から漏れれば、すべてのサービス等でログイン可能になってしまう 国家サイバー統括室「インターネットの安全・安心ハンドブック」
複雑なパスワードを1つ決めて、おしりに数字などを付けるのも、2つ以上漏れれば推測される 同上
長くする。理想的には「最低でも10文字以上」 総務省「国民のためのサイバーセキュリティサイト」
定期的な変更は基本は必要なし。ただし流出したら速やかに変える 国家サイバー統括室・総務省
覚えきれないので、スマホやブラウザ、専用アプリのパスワード管理機能を使う 総務省
「まず、パスワードの使いまわしをやめる」 デジタル大臣の記者会見（2026年10月6日）
国家サイバー統括室のハンドブックの「3.3 機器やサービス間でのパスワード使い回しは『絶対に』しない」。同じパスワードを使い回さない、似たパスワード、単純な法則性のあるパスワードも×、として、PASSPPOI を3つのサービスで使う例（1個漏れたら一網打尽）と、USAGIPPOI・OSARUPPOI・NEKOPPOI の例（法則性がばれたらおしまい）が並んでいる
国家サイバー統括室「インターネットの安全・安心ハンドブック Ver 5.10」第1章32ページ（見出しと図を1枚に寄せた）

米国の基準（NIST SP 800-63B-4）

アメリカの国立標準技術研究所（NIST）が2025年7月に公表した基準は、サービスを作る側に、次のことを求めています。

NIST SP 800-63B-4 の要求 原文（抜粋）
パスワードだけでログインさせるなら、15文字以上を必須に "a minimum of 15 characters in length"
作るとき・変えるとき、漏れたパスワードなどの一覧（blocklist）と照らす "compare the prospective secret against a blocklist"
文字の種類の組み合わせを強制しない "SHALL NOT impose other composition rules"
定期的な変更を求めない。侵害の証拠があれば変えさせる "SHALL NOT require subscribers to change passwords periodically"
パスワードマネージャーと自動入力を許す "SHALL allow the use of password managers and autofill functionality"

これはサービスを提供する側への要求で、個人への決まりではありません。それでも、「4種類の文字を混ぜても漏れていた」という5章の結果は、組み合わせを強制するより、長さと一覧との照合が大事だ、という考え方とつながっています。

7. 警察庁：「パスワードだけの認証はもう限界です」

警察庁は、2026年10月の「サイバー警察局便り」で、利用者に次のように呼びかけています。

警察庁「サイバー警察局便り」2026 Vol.20 の「サービス利用者の皆様へ ～被害に遭わないために～」。メール内のリンクを安易にクリックしない、ID・パスワードの使い回しをしない、パスキーその他多要素認証を活用する
警察庁「サイバー警察局便り」2026 Vol.20（R8.10）

9月の号では、サービスを提供する会社に向けて「パスワードだけの認証はもう限界です。」と書き、パスキーの導入をすすめました。

警察庁「サイバー警察局便り」2026 Vol.12（R8.9）の題字と見出し「パスワードだけの認証はもう限界です。」「自社サービスにパスキーを導入し、安全で快適なログインを実現しましょう！」
警察庁「サイバー警察局便り」2026 Vol.12（R8.9）

パスキーは、指紋や顔、端末のロック解除でログインする方式です。国家サイバー統括室のハンドブックは、パスワードの大量流出について「サービス側に盗むべきパスワードがない場合は、この攻撃は成功しません」と書いています。IPA も、パスキーは「パスワードの漏えいリスクが無く」と説明しています。ただし、使えるのはサービスが対応している場合だけです。

8. 今日やること

今日やること やり方・理由
漏れた・使い回したパスワードを確かめる Google は「パスワード チェックアップ」（Chrome の Google パスワード マネージャー、または passwords.google.com）。iPhone は「パスワード」アプリの「セキュリティ」
使い回していたら、サービスごとに別のパスワードに変える 1か所から漏れれば、同じ組み合わせのサービスすべてが危ない
新しいパスワードは、管理機能に長く作らせる 覚えなくてよいので、長くできる。総務省も管理ツールをすすめている
変えるときは、公式アプリ・公式サイトから入る 流出に便乗した偽のお知らせメールがある。メールのリンクからは入らない（国家サイバー統括室）
使えるところは、パスキーか2段階認証にする パスワードが漏れても、それだけではログインされにくい

「定期的に全部変える」必要はありません。流出の知らせが来たサービスと、同じパスワードを使っているサービスを、優先して変えます。

9. WordPress でサイトを持っている人へ

WordPress は、2025年4月の 6.8 から、利用者のパスワードを bcrypt という、解析に時間がかかる方式で保存するようになりました。保存された値の先頭が $wp$2y$ になります（それまでは $P$ で始まる phpass）。古い形は、更新後に初めてログインしたとき、またはパスワードを変えたときに、自動で作り直されます。サイトの持ち主も利用者も、特別な作業は要りません。

ただ、保存の方式が強くても、漏れた一覧に載っているパスワードは、攻撃で最初に試されます。 NIST が「作るとき・変えるときに漏れた一覧と照らす」ことを求めているのは、そのためです。

10. ソラブンでできること

WordPress の AI プラグイン Sorabun（ソラブン） には、記事づくりの機能に加えて、パスワードを決めるときに、漏れた一覧に載っていないかを確かめる機能があります。

ソラブンのセキュリティ画面の「漏洩したパスワード」の設定。他のサイトから漏れたパスワードを使わせない。パスワードを決めるときに、過去に漏洩して出回っているものなら断る。ログインしたときにも確かめ、漏れていれば変更をすすめる。確かめには Have I Been Pwned を使い、パスワードそのものは送らない（暗号化した値の先頭5文字だけを送り、手元で照合する）
ソラブンのセキュリティ画面（手元のデモサイト）。既定はオフで、チェックを入れて使う

手元のデモサイトで、プロフィールのパスワードを「P@ssw0rd」に変えようとすると、WordPress の強さの表示は「非常に脆弱」。保存しようとすると、ソラブンが断ります。

WordPress のプロフィールの「新しいパスワード」に P@ssw0rd を入れ、強さの表示が「非常に脆弱」になっている画面と、保存しようとして「このパスワードは、過去に他のサイトから漏れたパスワードの一覧に 6,421,042 回載っています。攻撃で最初に試されるので、別のパスワードにしてください。」と断られた画面
ソラブンを入れた手元のデモサイト

漏れていない長いパスワードなら、そのまま保存できます。問い合わせに失敗したときは、確かめられないことを理由にログインや変更を止めません。

設定のしかたはマニュアル（セキュリティ）にあります。どれもクラウド版に標準で入っていて、最初の3記事は無料で試せます。

よくある質問

ソースネクストを使っていました。何をすればいいですか？

同社のパスワードは無効になっていて、ログインのときに再設定が必要です（同社のよくある質問）。それより大事なのは、同じメールアドレスとパスワードの組み合わせを使っているほかのサービスのパスワードを、それぞれ別のものに変えることです。変えるときは、メールのリンクではなく、公式のアプリやサイトから入ってください。

パスワードは定期的に変えたほうがいいですか？

国家サイバー統括室と総務省は、十分に複雑で使い回しのないパスワードなら、定期的な変更は基本的に要らない、としています。ただし、流出の知らせが来たり、乗っ取られたりしたら、すぐに変えます。

記号を入れれば、強いパスワードになりますか？

それだけでは足りません。私たちが数えると、大文字・小文字・数字・記号を使った「P@ssw0rd」は642万回、「Password1!」は58万回、漏れた一覧に載っていました。長くすること、サービスごとに別にすること、管理機能に作らせることが大事です。

自分のパスワードが漏れていないか、どこで確かめられますか？

Google の「パスワード チェックアップ」か、iPhone の「パスワード」アプリの「セキュリティ」が手軽です。どちらも、パスワードそのものを相手に見せない仕組みで照らし合わせる、と説明しています。

ハッシュ化されていたなら、変えなくていいですか？

変えてください。skyticket は、ハッシュ化して保存していたパスワードが「解析により判明」したと発表しています。特に、同じパスワードをほかで使っているなら、そちらも変えます。

まとめ

出典（2026年10月21日に確認）

パスワードの状態（「判読できる状態」「復号された状態で流出」）は、報道（ITmedia NEWS・INTERNET Watch）が同社に取材して伝えたものです。スクウェア・エニックスの「他社」がどこかは、発表に書かれていません。haveibeenpwned.com のページは、robots.txt の指定に従って自動では取得していません（数えたのは公開の API です）。

関連するコラム

セキュリティ 【2026年】相次ぐ個人情報漏えい、何が起きている？ 原因の「事実」と今日やる対策 2026年9月から相次ぐ個人情報の漏えい（タイムズカー・ローソン・ソースネクストほか）。何が起きているのかを各社の発表と国の機関の資料で整理し、確認された手口、「AIのせい」は本当か、漏れたら個人が今日やること（免許証の本人申告）、サイトを持つ人の対策までまとめました。 セキュリティ スマホ乗っ取りの正体は「アカウント」だった。iPhone・Android・LINEで今日やる設定と確かめ方【2026年10月】 スマホの乗っ取りで実際に狙われているのは、スマホの中のアカウントと電話番号。警察庁・IPAの数字（ID盗用の検挙399件中スパイウェアは3件）、LINEの投票型乗っ取り、SIMスワップ、よく聞く話の確かめ、iPhone・Android・電話番号・LINEで今日やる設定、確かめ方ともしものときまで。 セキュリティ パスキーでも証券口座が乗っ取られた？ 本当の原因と今日やる設定【2026年10月】 パスキーでも証券口座が乗っ取られた？ 2026年9月末から相次いだ証券各社の注意喚起を、各社・Google・Apple・金融庁の一次情報で整理。パスキーは破られたのか、本当に狙われたGoogle・Appleのアカウント、Google・iPhone・証券口座で今日やる設定、乗っ取られたときの連絡先まで。

コラムの一覧へ