「あなたのメアド、いくらで売られている？」ダークウェブのプライスリスト公開

インターネット上で日常的に利用されるメールアドレスや各種アカウント情報は、私たちが思っている以上に“商品”として扱われています。特にダークウェブと呼ばれる匿名性の高い領域では、漏洩したアカウント情報が売買され、サイバー犯罪の起点として利用されています。

本記事では、ダークウェブにおけるアカウントの価格相場や、複数情報をまとめた「コンボリスト」の実態を解説し、企業として取るべき対策について整理します。

ダークウェブで売買される「アカウント情報」とは

ダークウェブ上で取引される情報は多岐にわたりますが、特に価値があるとされるのは以下のようなデータです。

・メールアドレスとパスワードの組み合わせ
・クラウドサービスのログイン情報
・ECサイトのアカウント
・金融系サービス（銀行・決済）の認証情報
・SNSアカウント
・VPN・リモートアクセス情報

これらの情報は単体でも売買されますが、複数の情報が組み合わさることで価値が飛躍的に高まります。

アカウント種別ごとの販売価格相場

ダークウェブのマーケットでは、アカウント情報は“種類”と“信頼性”によって価格が変動します。以下は一般的な相場イメージです。

メールアドレス（個人・一般企業）
・数円〜数十円／件

ECサイト・サブスクリプションアカウント
・数十円〜数百円／件

SNSアカウント
・数百円〜数千円／件

クラウドサービス（企業アカウント）
・数千円〜数万円／件

金融系アカウント
・数万円〜数十万円／件

なぜメールアドレスが“安くても危険”なのか

メールアドレス単体の価格は低いにも関わらず、サイバー攻撃において極めて重要な役割を担っています。

その理由は以下の通りです。

・パスワードリセットの起点になる
・多くのサービスでIDとして利用されている
・フィッシング攻撃のターゲットリストとして活用される

つまり、安価なメールアドレスの大量流通は、攻撃者にとって“攻撃対象リストの整備”そのものを意味します。

最大の脅威「コンボリスト」とは何か

コンボリストとは、漏洩した複数のアカウント情報（メールアドレス＋パスワード）をまとめたデータセットのことを指します。

コンボリストの特徴
・数万〜数千万件単位で販売される
・価格は数百円〜数千円と非常に安価
・過去の漏洩データを再利用して作成される

一見すると価値が低いように見えますが、攻撃者にとっては極めて効率の良い“攻撃素材”です。

コンボリストが引き起こす攻撃手法

コンボリストは主に以下の攻撃に利用されます。

クレデンシャルスタッフィング攻撃

使い回されたID・パスワードを他サービスに試行する攻撃です。
成功率は数％でも、件数が膨大なため被害が拡大します。

アカウント乗っ取り

メールやクラウド、社内システムへの不正ログインが行われ、機密情報の窃取や不正操作が実行されます。

ビジネスメール詐欺（BEC）

侵害されたメールアカウントを利用し、取引先に対して送金指示などの詐欺が行われます。

企業にとってのリスクは「単体漏洩では終わらない」

多くの企業が見落としがちなのは、「1つのアカウント漏洩が連鎖的な被害を生む」という点です。

例えば以下のようなシナリオが考えられます。

１．従業員の個人メールが漏洩

２．同じパスワードで業務サービスにログイン可能

３．社内システムへ侵入

４．取引先情報や機密データが窃取

このように、単価の低い情報でも組み合わせることで重大なインシデントに発展します。

企業が取るべき現実的な対策

ダークウェブの実態を踏まえ、企業としては以下の対策が不可欠です。

パスワードの使い回し禁止
・社内ポリシーとして明確に禁止
・パスワード管理ツールの導入を検討

多要素認証（MFA）の導入
・クラウドサービスやVPNは必須
・管理者アカウントは特に強化

アカウントの権限管理
・最小権限の原則を徹底

・不要アカウントの定期削除

ログ監視と異常検知
・不審なログインの検出

・海外IPや異常時間帯のアクセス監視

従業員教育
・フィッシング対策訓練

・パスワード管理の重要性の周知

見えないリスクにどう対応するか

最大の課題は、「自社の情報がすでにダークウェブに流出しているかどうかは通常の手段では確認できない」という点です。

攻撃者はすでに流通している情報を前提に攻撃を仕掛けてくるため、企業側がそれを把握していない場合、防御は後手に回ります。

ダークウェブ監視という新たな防御の考え方

近年、多くの企業が取り入れ始めているのがダークウェブ監視です。

これは、以下のような情報を継続的に監視する仕組みです。

・自社ドメインのメールアドレス

・従業員の認証情報
・漏洩したパスワード
・不正に売買されているアカウント情報

ダークウェブ監視を導入することで、インシデントが顕在化する前に対処できる可能性が高まります。

まとめ：アカウントは「資産」であり「攻撃入口」

メールアドレスは数円で売買される一方で、その情報が引き金となり数千万円規模の被害につながるケースも珍しくありません。

重要なのは、「価値が低い情報＝リスクが低い」という認識を改めることです。

ダークウェブにおける価格はあくまで“市場価格”であり、“リスクの大きさ”とは必ずしも一致しません。

だからこそ企業は、見えている範囲の対策だけでなく、「見えていない漏洩リスク」にも目を向ける必要があります。

もし、自社のメールアドレスやアカウント情報がすでに流通していた場合、どのように把握し、どのタイミングで対処できるでしょうか。

その答えの一つが、ダークウェブ監視の活用です。
まずは現状の可視化から始め、自社のリスクを正確に把握することが、実効性のあるセキュリティ対策の第一歩となります。