「ウイルスに感染していないから安全」と考えていませんか。近年、企業への不正アクセス被害の多くは、ウイルスファイルの実行を伴わず、漏洩したID・パスワードを使った正規ログインの形で発生しています。
この記事では、実際に公表された漏洩・不正ログインの事例を挙げたうえで、侵入口になったアカウントに共通していた点、漏洩が起きる経路、どうやって発覚するのか、そして企業が今すぐ確認すべき対策を解説します。
公表されている漏洩・不正ログインの事例
企業が公式に発表した事例のうち、ID・パスワードが起点になったものを挙げます。いずれも各社の公表内容に基づくものです。
事例1：委託先の管理者アカウントが侵入口になったケース
2025年10月、アスクル株式会社は、業務委託先が使用していた管理者アカウントの認証情報が漏洩し、多要素認証が適用されていなかったことが侵入口になったと公表しています。窃取したID・パスワードでVPN経由で社内ネットワークに侵入され、個人情報約74万件が流出したと報告されました。
この事例の要点：自社の従業員のアカウントではなく、委託先が使っていたアカウントが起点でした。自社内の管理が行き届いていても、外部に発行したアカウントが同じ基準で管理されていなければ意味がありません（委託先・ベンダーアカウントの管理）。
事例2：使い回されたパスワードによるリスト型攻撃
2025年6月、株式会社パルグループホールディングスは、外部サービスから流出したID・パスワードを使ったリスト型攻撃により、約172万件のログイン試行のうち19万4,307件が成功したと公表しました。会員の氏名・住所・電話番号等が閲覧された可能性があると報告されています。
この事例の要点：攻撃者はパスワードを推測していません。他社から漏れた正しい組み合わせを、そのまま試しているだけです。パスワードを複雑にしても防げない経路です（リスト型攻撃）。
事例3：管理者権限の奪取による事業停止
2025年9月、アサヒグループホールディングスは、拠点のネットワーク機器を経由して社内ネットワークに侵入され、データセンターでパスワードの脆弱性を突かれて管理者権限を奪取されたことが原因と報告しました。ランサムウェアによりシステムが停止し、取引先・従業員情報約11万5,000件の漏えいが確認されました。
この事例の要点：侵入そのものより、侵入後に管理者権限まで到達できたことが被害を決定づけています（権限管理・最小権限の原則、Windows Serverの特権アカウント管理）。
公的統計を含めた主要インシデントの年表と出典は 不正アクセス・ランサムウェア被害の統計と実例【2026年版】にまとめています。
事例に共通していること
- 侵入口になったのは、多要素認証が適用されていなかったアカウントだった
- 権限の大きいアカウント（管理者・委託先用）が狙われている
- 攻撃者は正しいID・パスワードで、正規の入口から入っている
- ウイルス対策ソフトや境界防御では止まらない経路が使われている
ID・パスワードはなぜ漏洩するのか
ID流出（ID・パスワードが第三者の手に渡ること）が起きる経路は、主に次のようなものがあります。
- フィッシングメール・偽サイトによる詐取 — 本人が正しく入力してしまうため、パスワードの強度では防げません（フィッシングによるID・パスワード窃取）
- 別サービスから流出したID・パスワードの使い回し — 個人利用のサービスの漏洩が、業務システムの入口になります
- ダークウェブで売買される漏洩データベース — 過去に漏れた認証情報が長期間流通し続けます
- マルウェアによる端末内の認証情報の窃取 — ブラウザに保存されたIDとパスワードがまとめて持ち出されます
- 機器の脆弱性の悪用 — VPN機器などの弱点から、認証情報を含む内部情報が抜かれます（VPN機器の脆弱性）
- 端末の紛失・盗難 — 保存された認証情報とログイン状態がそのまま渡ります（持ち出し端末のID管理）
これらは自社のセキュリティ対策とは無関係に、取引先や利用しているサービス側から漏れるケースも多く、「自社は気をつけているから大丈夫」では防ぎきれないのが実情です。パスワードの強度で対処できるのは、機械的に試される総当たり攻撃だけです。
漏洩はどうやって発覚するのか
事例を見ると、多くの企業は自社の監視で気づいていません。実際の発覚経路は次のようなものです。
- 業務が止まって初めて分かる — ランサムウェアでファイルが開けなくなる、システムが停止する
- 取引先や顧客からの連絡 — 「あなたの会社名でおかしなメールが届いた」という指摘
- 攻撃者からの通告 — 身代金要求のメッセージが最初の通知になる
- ログの事後確認 — 別の調査の過程で、過去の不審なログインが見つかる
つまり、「今のところ何も起きていない」ことは、漏洩していない証拠にはなりません。異常の兆候を自ら見つける方法は ログインの異常をどう見つけるか、記録の残し方は アクセスログの監査で解説しています。
漏洩後に起こりうる被害
漏洩したID・パスワードを使い、攻撃者が正規の利用者になりすましてPCやサーバーにログインすると、次のような被害につながります。
- 会計データ・顧客情報・給与情報など重要データの窃取
- ランサムウェアの設置による業務停止・身代金要求
- 取引先へのなりすましメール送信（サプライチェーン攻撃）
- 社内システムの改ざん・破壊
- 個人データが含まれる場合の報告・通知義務への対応
特にサーバーは会計・顧客・給与などの重要情報が集約されやすく、侵入された場合の影響が大きくなる傾向があります。被害の全体像と初動の手順は パスワードが漏洩したらどうなる？企業への影響と初動対応で詳しく整理しています。
今すぐ確認すべき対策
1. パスワードのみに依存したログインになっていないか
Windows PCやWindows Serverへのログインが、ID・パスワードのみで完結している場合、パスワードが漏洩した時点で不正ログインを防ぐ手段がなくなります。 Windows OSログインの2要素認証を導入することで、この状態を解消できます。
2. 多要素認証（MFA）の導入状況
ハードウェアキーやソフトウェアキーによる多要素認証を導入していれば、パスワードが漏洩しただけでは突破されません。詳しくは 多要素認証（MFA）とは？の解説記事もあわせてご覧ください。
3. 管理者アカウントの共有をしていないか
管理者IDを複数人で共有していると、漏洩経路の特定が難しくなり、被害拡大のリスクも高まります。個人ごとにIDを発行することが望まれます（共有アカウントの廃止）。
4. 委託先・ベンダーに発行したアカウントを把握しているか
事例1の通り、侵入口は自社の従業員のアカウントに限りません。外部に発行したアカウントが、いくつあり、誰が使い、いつまで有効なのかを把握できていない状態は、そのまま侵入経路になります（委託先・ベンダーアカウントの管理）。
5. 使われていないアカウントが残っていないか
退職者のアカウントや、一時的に作って放置されたアカウントは、誰も使っていないため不正に使われても気づかれません。棚卸しは費用をかけずにできる対策です（退職者アカウントの削除、アカウントの棚卸し）。
取引先や委託先を経由するサプライチェーン攻撃も、多くはID・パスワードの窃取が起点になっています。
よくある質問
Q. ウイルスに感染していなければ安全ですか？
A. いいえ。近年の企業への不正アクセス被害の多くは、ウイルスファイルの実行を伴わず、漏洩したID・パスワードを使った正規ログインの形で発生しています。ウイルス対策だけでは防げません。
Q. 自社で気をつけていれば漏洩は防げますか？
A. 完全には防げません。ID・パスワードの漏洩は、フィッシングや使い回しのほか、取引先や利用しているサービス側から漏れるケースもあり、自社のセキュリティ対策とは無関係に発生することがあります。公表事例でも、委託先が使っていたアカウントが侵入口になったケースがあります。
Q. 実際の漏洩事例に共通点はありますか？
A. あります。公表された事例では、侵入口になったのが多要素認証が適用されていなかったアカウントであり、かつ管理者権限や委託先用など権限の大きいアカウントだったという共通点が見られます。攻撃者は正しいID・パスワードで正規の入口から入っています。
Q. 漏洩したことにどうやって気づけますか？
A. 多くの企業は自社の監視では気づかず、業務停止・取引先からの連絡・攻撃者からの通告で初めて把握しています。ログインの記録を残し、普段と異なる時間帯・場所からのアクセスを確認できる状態にしておくことが、自ら気づくための前提になります。
Q. パスワードが漏洩すると、具体的にどのような被害がありますか？
A. 会計データ・顧客情報・給与情報などの窃取、ランサムウェアの設置による業務停止・身代金要求、取引先へのなりすましメール送信、社内システムの改ざん・破壊などにつながる可能性があります。個人データが含まれる場合は、報告・通知の義務への対応も発生します。
Q. 多要素認証を導入していれば、パスワード漏洩は問題になりませんか？
A. ハードウェアキーやソフトウェアキーによる多要素認証を導入していれば、パスワードが漏洩しただけでは突破されません。あわせて管理者アカウントの共有をやめ、個人ごとにIDを発行すること、委託先に発行したアカウントも同じ基準で管理することが重要です。
自社の状況をまず把握する
以上のような対策ができているかどうかは、実際に自社の環境を確認してみないと分かりません。applippliが提供する無料診断では、約3分の質問に回答するだけで、ID・パスワード窃取リスクのレベルと、国主導の SCS評価制度への対応状況を確認できます。
※ 掲載した事例は各社が公表した内容に基づきます。分類・要点の整理は当サイトによるもので、各社の公式見解ではありません。最新の状況は各社の発表をご確認ください。