「他社のパスワードを変えて」と言われ続けた理由が、今日はっきりした

• 他社から漏れたIDとパスワードを使った不正ログインが確認された
• この10月に各社が出していた依頼が、現実になった
• いま変えるべきは、漏れた会社のではなく「同じものを使っている他社」

10月19日、複数のサービスで他社から流出したとみられるIDとパスワードを使った不正ログインが確認されたと公表された。

このサイトではこの10月、漏えいの発表を何十本も扱ってきた。そのほとんどに同じ依頼が書かれていた。今日の話は、その依頼の理由そのものになる。

何が起きたか

報じられている内容を整理する。

どちらも自社が破られたのではない。よそで漏れた組み合わせが、ここで試されたという形になる。

これが「リスト型」と呼ばれるもの

仕組みは単純だ。

1. どこかの漏えいで、メールアドレスとパスワードの組み合わせが大量に出る
2. 攻撃側が、その一覧を手に入れる
3. 別のサービスで、同じ組み合わせを片端から試す
4. 使い回している人の分だけ、通る

破っているわけではない。正しい鍵を、正しい手順で使っている。だから守る側から見ると、普通のログインと区別がつきにくい。

10月に何が漏れたか

このサイトで扱ったものだけでも、これだけある。

• ショップサーブ — 約2,335万人。暗号化されたパスワードを含む
• ソースネクスト — 2,251万件。項目に「パスワード」（形式の記載なし）
• コミックシーモア — ハッシュ化されたパスワード
• イエローハット — 1,797,124名。復元できない形式
• メール配信サービス — メールアドレス延べ約900万件

材料は、十分に揃っていた。使われ始めるのは時間の問題だった。

何を変えるべきか

ここを間違えやすいので、はっきり書く。

変えるのは、漏れた会社のパスワードではない。同じものを使っている他社のパスワードだ。

漏れた会社のほうは、たいてい向こうが止めてくれる。実際、コミックシーモアは再開時に全会員へ再設定を求めるとしているし、今回もログイン制限がかけられている。

誰も守ってくれないのが、使い回した先になる。そこの会社は漏えいに遭っていないので、何も案内が来ない。

変える順番

1. メール — 最優先。ここを取られると、他の再設定が全部通る
2. お金が動くもの — 決済、通販、銀行、証券
3. 本人として発信するもの — SNS、仕事の連絡先
4. その他

この順番はソースネクストの件で書いたものと同じになる。理由も同じで、パスワードを忘れたときの再設定はメールに届くからだ。

ハッシュ化されていても

「自分が使っているところは、ハッシュ化されていると書いてあった」という場合でも、安心材料にはなるが免除にはならない。

今月の各社の書き方を並べると、こうなっていた。

真ん中と下に当たるなら、変える側になる。

根本的には、使い回しをやめるしかない

同じ作業を漏えいのたびに繰り返すのは現実的ではない。

• サービスごとに違うパスワードにする — 覚えられないので、道具に任せる
• 二段階の確認を入れる — パスワードが通っても、そこで止まる
• 重要なところから順に — 全部を一度にやろうとすると終わらない

2番目が、今回の形にはいちばん効く。正しい鍵で入られても、もう一段あれば通らない。

まとめ

• 複数のサービスで他社から漏れた組み合わせによる不正ログインが確認された
• 自社が破られたのではない。よそで漏れた鍵が、ここで試された
• 破っていないので普通のログインと区別がつきにくい
• この10月に材料は十分に揃っていた
• 変えるのは、漏れた会社ではなく「同じものを使っている他社」
• 順番はメール → お金が動くもの → 発信するもの
• 根本の対処は使い回しをやめることと、二段階の確認

出典

• スクウェア・エニックスの公表内容については、スポニチアネックス（2026年10月19日配信）の報道による
• 日本郵政の公表内容については、時事通信（2026年10月19日配信）の報道による

本記事は2026年10月19日時点の報道に基づく。件数などの具体的な数値は、いずれも公表されていない。本記事は法的な助言ではない。