認証情報の不正利用 ― 流出パスワードの再利用攻撃

過去の漏洩事件で流出した「IDとパスワードの組」は、地下市場で取引され続け、別のサービスへのログイン試行(リスト型攻撃)に何年も使われます。警察庁の観測では2026年上半期、不審なアクセスは1日あたり約13,700件と前年同期比 約5割増。これは脆弱性の事前確認を含む攻撃準備活動の活発化を示しており、認証情報攻撃と脆弱性攻撃の両方が連動しています。

「パスワードの使い回し」がこの攻撃を成立させています。利用者からすれば1サービスの漏洩が、生活する全サービスの口座開けに直結する構造です。2026年秋の国内事案でも、会員パスワード(ハッシュ化含む)の流出が公表されたケースが複数あり、再利用被害への注意喚起が公表内容に含まれています。

多要素認証(MFA)は有効ですが、MFA 疲れ攻撃(押し付けがましい承認要求を繰り返す)や AiTM 型フィッシングで突破されうるため、「MFA さえあればよい」ではなく、フィッシング耐性のある認証方式への移行が世界的な推奨です。

認証情報攻撃は「過去の漏洩」を燃料にするため、被害は一度きりで終わりません。2026年秋の国内ラッシュで流出した大量のメールアドレスとパスワード(ハッシュ含む)は、今後数年にわたりリスト型攻撃の材料になるとみられます。漏洩した側の企業には、パスワードリセットとセッショントークンの失効という対応が求められます。

個人にとって最も効く対策は、パスワードマネージャの導入と、重要サービスでの FIDO2/パスキー利用です。組織には、漏洩した認証情報の継続監視(ダークウェブ監視・認証情報流出チェック)と条件付きアクセス(いつもと違う環境からのログインを疑う)の運用が効きます。