データ漏洩：サービスがハッキングされたとき、あなたのパスワードはどうなるか

侵害？スクレイピング？クレデンシャルスタッフィング？

侵害では、サービス自体のシステムが破られ、保存データ（時にはパスワードのハッシュ）が盗まれます。スクレイピングでは、公開・半公開のデータが露出したインターフェース経由で収集されるだけで、パスワードは盗まれません。クレデンシャルスタッフィングは逆方向で、他所で漏れたパスワードがそのサービスに対して試されます。ニュースはこの3つをほとんど区別しませんが、あなたの対応は区別すべきです。

漏洩したパスワードハッシュはどうなるか

まともなサービスはパスワードを読める形ではなくハッシュで保存します。しかし漏れたハッシュは毎秒数兆回の試行でオフライン攻撃でき、短く予測しやすいパスワードは数時間で復元されます。盗まれたデータが「暗号化されていた」としても、長さとランダム性が重要な理由はここにあります。

使っているサービスが被害に遭ったら

被害を受けたサービスのパスワードを変更し、同じパスワードを使い回していたすべての場所でも変更した上で、使い回し自体をやめましょう。二要素認証を有効に。そしてその後の標的型フィッシングに注意してください。漏れたメールアドレスと名前は、本物そっくりの偽「パスワードをリセットしてください」メールに使われます。

大手サービスで実際に起きたインシデント

• 2026Instagram — 2026年、公開状態のインターフェース経由で約621.5万件のInstagramアカウントのデータが収集されました（氏名、メールアドレス、電話番号、プロフィールデータ）。パスワードは盗まれていません。
• 2023Discord — 2023年、外部委託先のインシデントにより、Discordの限定的なユーザーデータが流出しました（メールアドレス）。
• 2023Duolingo — 2023年、公開状態のインターフェース経由で約260万件のDuolingoアカウントのデータが収集されました（メールアドレス、氏名、プロフィールデータ）。パスワードは盗まれていません。
• 2023Facebook — 2023年、外部委託先のインシデントにより、Facebookの限定的なユーザーデータが流出しました（メールアドレス、氏名、パスワード）。
• 2022PayPal — 2022年、他の漏洩から使い回されたパスワードによるクレデンシャルスタッフィング攻撃で、約3.5万件のPayPalアカウントが乗っ取られました。
• 2022Roblox — 2022年、外部委託先のインシデントにより、Robloxの限定的なユーザーデータが流出しました（メールアドレス、氏名）。
• 2022X (Twitter) — 2022年、公開状態のインターフェース経由で約540万件のX (Twitter)アカウントのデータが収集されました（メールアドレス、電話番号、プロフィールデータ）。パスワードは盗まれていません。
• 2021EA (Electronic Arts) — 2021年、攻撃者がEA (Electronic Arts)のソースコードを盗みました。ユーザーのパスワードへの影響はありません。
• 2020Spotify — 2020年、他の漏洩から使い回されたパスワードによるクレデンシャルスタッフィング攻撃で、約30万件のSpotifyアカウントが乗っ取られました。
• 2019Facebook — 2019年、公開状態のインターフェース経由で約5.3億件のFacebookアカウントのデータが収集されました（電話番号、氏名、プロフィールデータ）。パスワードは盗まれていません。
• 2019Instagram — 2019年、公開状態のインターフェース経由で約4900万件のInstagramアカウントのデータが収集されました（プロフィールデータ、電話番号、メールアドレス）。パスワードは盗まれていません。
• 2018Facebook — 2018年、Facebookはデータ漏洩に見舞われ、約5000万件のアカウントが影響を受けました（プロフィールデータ）。
• 2016Epic Games — 2016年、Epic Gamesはデータ漏洩に見舞われ、約25.2万件のアカウントが影響を受けました（メールアドレス、ハッシュ化パスワード）。
• 2016Roblox — 2016年、Robloxはデータ漏洩に見舞われ、約5.2万件のアカウントが影響を受けました（メールアドレス、プロフィールデータ）。
• 2014iCloud Mail — 2014年、iCloud Mailアカウントは標的型フィッシングとパスワード推測攻撃を受けました。iCloud Mail自体のシステムは侵害されていません。
• 2014Snapchat — 2014年、公開状態のインターフェース経由で約460万件のSnapchatアカウントのデータが収集されました（ユーザー名、電話番号）。パスワードは盗まれていません。
• 2013Ubisoft — 2013年、Ubisoftはデータ漏洩に見舞われました（ユーザー名、メールアドレス、ハッシュ化パスワード）。
• 2011PlayStation — 2011年、PlayStationはデータ漏洩に見舞われ、約7700万件のアカウントが影響を受けました（氏名、メールアドレス、ハッシュ化パスワード、プロフィールデータ）。
• 2011Steam — 2011年、Steamはデータ漏洩に見舞われ、約3500万件のアカウントが影響を受けました（メールアドレス、ハッシュ化パスワード、支払い情報）。

公開報道とベンダー声明から精選。インシデントの種類は上の定義に従います。各サービスはそれぞれのパスワードガイドにリンクしています。