メールアドレス漏えいの真の脅威は？ ～情報をキャッチして二次被害を防ぐ～

多発するメールアドレスとパスワードの流出

2026年6月、大手通信事業者がサイバー攻撃を受け、1,223万件を超えるメールアドレスが漏えいし、約761万件にはパスワードを含む可能性があることが発表されました。この事件は、複数のISP（インターネット接続事業者）に提供していたメールシステムの基盤が攻撃を受けたため影響範囲が広く、ここ数年で発生したサイバー犯罪の中でも、特にインパクトが強いものです。

大きなニュースにはならなくとも、メールが狙われる犯罪は頻繁に起きています。ここ1～2カ月の間に絞っても、北陸地方のIT事業者が運用しているサーバーが攻撃を受け、保存されていたメール情報が流出した事件や、中京地区の農業団体が不正アクセスを受けてメールアドレスを盗まれ、大量の迷惑メールが発信された被害などが発生しています。

メールからリーチできる情報資産

メールが狙われやすい理由は、攻撃側の視点に立つと容易に推測できます。

法人の経理部門が使うメールには、金融機関のアカウントや利用履歴などが記されているはずです。経営層のメール本文からは、プロジェクトの進行と決済の可否、関連企業の役員名などが読み取れるでしょう。言うまでもなく、こうした情報はビジネスメール詐欺や標的型攻撃の起点になるものです。

 ビジネスメール詐欺のイメージ

出典：「ビジネスメール詐欺対策」の関連サイト　IPA（情報処理推進機構）

営業や総務部門が接する受発注管理システムやクラウド上の各種SaaSでは、メールアドレスがログインIDとして普通に使われています。攻撃者がアドレスを入手できれば、必ずやその企業が使う、使いそうなサービスへの侵入を試みます。

つまり、メールの内容を把握される実害に加えて、メールアドレスを起点に外部サービスが乗っ取られるリスクが膨らむのです。パスワードの使い回しをしていなくとも、いまの攻撃者は偽装サーバーを設置して、“パスワード再設定、パスワード忘れ”の仕組みへ巧みに誘いますから、決して油断はできません。

メール利用時の認証の仕組みは？

メールアドレスとパスワードの漏えいが起きると、社員同士の立ち話やSNSなどでも、“パスワードは暗号化されていない？”“ハッシュ化されていれば大丈夫？”といった疑問も行き交います。安全対策の土台の一つとして、この機会にメールの認証を保護する仕組みを復習しておきましょう。

メールや各種Webサービスでは、通常はアクセスに必要なパスワードはそのまま保存していません。メールの場合、必要な処理はユーザーからアクセスがあったときに、それが正しいかどうかを“照合”することで、パスワード自体は“記録”しておく必要がないからです。この仕組みは、入力された文字列から規則性のないデータを生成する「ハッシュ化」という技術がベースです。

メールの認証時は、入力されたパスワードをその場でハッシュ化し、保存済のハッシュ値と一致するかどうかを確認します。この方法で運用すれば、流出のリスクが伴うパスワードは保存する必要はないわけです。暗号化とハッシュ化の違いですが、暗号化は元に戻して内容を読む必要があるデータを保護するときに使います。一方のハッシュ化は、元の形に戻すことを前提とせず（一方向変換）、入力された値が同じかどうかを照合する仕組みです。

※注）サイバー攻撃の被害を伝えるニュースで、「メールアドレスとパスワード」が流出と表現されていても、実際は「メールアドレスとハッシュ化された認証情報」のケースが多い。稀に平文の状態もあるため、個別の事案ごとに発表内容を確認する必要がある。

暗号化とハッシュ化の違いと利用分野

ハッシュ化されていれば安全？

ハッシュ化した値から元のパスワードを引き出すことは、方式の強度にもよりますが非常に困難です。以前から使われてきた「MD5」「SHA-1」などの短い文字列を生成する方式には脆弱性も発見され、現在は大半のシステムで「Argon2id」「bcrypt」など強固なパスワード用ハッシュが使われています。

これらは堅牢な方式ですから、ハッシュ化自体の安全性は落ちてはいません。しかし、攻撃側の環境も整ってきたため、弱いパスワードなら短時間で見つけられてしまうリスクが膨らんできたのです。冒頭で触れた通信事業者における被害でも、主要ISP（インターネット接続事業者）は、エンドユーザーに期限付きでパスワード変更の要請を出し、期限が過ぎた後は強制的にリセットする措置も取っています。

解読ツールとGPUが犯罪グループを後押し

情報セキュリティの分野では、「Hashcat」などハッシュ値から元の文字列を探し出す、パスワード解析・復元ツールが使われています。攻撃者も当然、こうしたツールは常用しています。ダークウェブでは、改良版のツールや解析に関するノウハウも売買されているのです。

処理能力の向上も侮れません。単純な計算の繰返しに強く、AIの学習にも使われるGPU（Graphics Processing Unit）の利用環境も整ってきました。GPU搭載機やクラウドGPUも身近になり、以前は大きな組織しかできなかったような処理が、犯罪グループも手が届くようになってきています。このように環境が変化してきた中、一般企業が留意すべき点、すぐにでも着手できる行動を考えてみましょう。

メールシステムの裏側を再チェック

前述した通信事業者からの情報漏えいは、メール基盤を構成するシステムの一部に存在した脆弱性が原因でした。開発元が存在を把握していない、修正プログラムが提供されていない状態、いわゆる「ゼロデイ脆弱性」を突かれたもので、日常の点検・管理が行き届いていたとしても、防御が難しかった攻撃と言えるかもしれません。

一般企業がこれを教訓とするには、まず自社が使うシステムの点検が挙げられます。現在、メールに限らずWebサービス系のシステムの多くは、ソースコードが公開されるOSS（Open Source Software）や、ソフトメーカーが提供するライブラリ（ソフトウエアの部品集）などを組み合わせて構築されます。自社で把握できていないパーツは外部のベンダーにも確認し、脆弱性や攻撃が発生した状況をフォローしておけば、安全対策を強化できます。

芋づる式の侵害は絶対に阻止

個人レベルの行動は、ここでも基本に立ち返ることです。

まずはパスワードの強化。攻撃側の解析力は上がっていますが、強固なパスワードなら文字列の推測・割り出しは難しく、作業に相応の時間を要します。メールアドレスと認証情報の漏えい対策に限りませんが、攻撃側の負荷をできるだけ上げておくようにしましょう。

現在は、パターン推測を避けるためパスワード管理ツールの利用や、ランダムで十分に長い16桁以上のパスワード設定が推奨されています。

もう一つは、これもパスワード管理の基本作法ですが、メールアドレスとペアになるパスワードの使い回しを避けること。同じパスワードを複数のサービスで併用していると、「リスト攻撃」を呼び込んでしまいます。Microsoft 365をはじめ、Google Workspace、コンテンツ管理プラットフォームのBox、そしてリモートワークに使うVPNなど、中小企業の多くが日常的に接しているサービスが芋づる式に侵害されることになりかねません。

またメールを含む各種Webサービスでの対策として、多要素認証やパスキーが利用できる環境では、できる限り設定するようにしましょう。安全性と利便性はトレードオフの部分も残りますが、メール情報が漏えいしたときの損失には代えられません。

脅威インテリジェンスで悪用される前に検知を

繰返しになりますが、メールアドレスと認証情報が流出したとき、本当に怖いのは、攻撃者によるパスワードの再設定や企業システム、各種Webサービスへの不正ログインなどの二次被害です。一般企業もこれまでの攻撃の事例を踏まえ、ゼロデイ脆弱性を狙うなど防御が難しい攻撃、そして情報の流出は自社にも起こりうるものとして、できる限りの対策を進めるようにしてください。

システムの点検と管理、パスワード管理における基本の反復に加えて、一般企業の安全確保の大きな力になっているのが脅威インテリジェンスです。例えば、脅威インテリジェンスの稼働環境では、ダークウェブに登録された被害企業と情報の種別、売買されたデータ、そして攻撃の手口など、攻防の前線における状況がキャッチできます。

もし万一、自社に関係するデータの流出が発見できた場合、悪用されて二次被害が広がる前に、何らかの手を打つこともできるでしょう。

攻撃側の力が日々向上している状況において、脅威インテリジェンスは企業の防御力を維持・向上するツールとして欠かせないのです。