メールアカウントの盗難

最近になって世界中で企業で保管している個人情報が盗まれる事例がすさまじい勢いで増えている。

多くはメールアドレスが含まれているようだが、では盗んだハッカーはどのようにして悪用するのだろうか。

ここでは盗まれたメールアドレスがどように悪用されるか、これを防ぐ対策などを主にClaudeとのチャットで掘り下げた。

参照)2026年 国内の大規模な個人情報漏洩の事例まとめ|セキュリティ対策Lab

仮に自分のメールアカウントが盗まれたとして、その先はどのような危険な手口がかんがえられますか?

メールシステムに侵入する手口: メールアドレスだけが盗まれた場合、それだけではメールシステムに入れません。メールアドレスは、ログインIDにあたる部分で、鍵(パスワード)は別だからです。攻撃者は、パスワードを手に入れるか、別の方法でログインを突破する必要があります。

現実に使われる手口は、次のとおりです。

1. パスワードの推測・総当たり
推測されやすいパスワード(誕生日、電話番号、「password」系、短い数字など)は、よく使われる候補を機械的に試すだけで破られます。
パスワードスプレー:多数のアドレスに対して、よくあるパスワード数種類だけを少しずつ試す手口です。1つのアドレスに連続して失敗しないので、ロックされにくくなります。
長く使っているISPのメールは、弱いパスワードのままの人がいるため、狙われやすい面があります。

2. 別の漏えいで得たパスワードの流用(使い回し)
攻撃者は、あるサイトの漏えいで得た「アドレス+パスワード」の組を、メールにもそのまま試します(パスワードリスト攻撃)。
先ほどのECサイトの漏えいでパスワードも一緒に出た場合、そのパスワードをメールにも使っていれば、入られます。
過去の漏えいデータは、攻撃者の間で出回っています。今回アドレスだけが漏れても、昔の漏えいで別にパスワードが漏れていることがあります(HIBP*で確認できます *後述)。

3. フィッシングで本人に入力させる
盗まれたアドレスの持ち主に、「アカウント停止」「配送不能」「ログイン確認」などの偽メールを送り、偽のログイン画面にパスワードを入力させます。
ECサイトの漏えいなら、そのサービスや購入内容を知っているふりをした文面にでき、騙されやすくなります。
実際の被害では、技術的な侵入より、この騙して聞き出す手口が多いです。

4. パスワードの再設定手続きを悪用する
メールの「パスワードを忘れた」で、予備のメールアドレスや電話番号に認証コードが送られます。
予備のアドレスが乗っ取られている、古いアドレスが他人に再割り当てされている、SIMスワップで電話番号を奪われた場合は、そこを足がかりに入られます。
秘密の質問が使えるサービスでは、SNSなどから答えを調べられることがあります。

5. 端末のマルウェア
パソコンやスマホに、情報を盗むウイルス(インフォスティーラー)が入ると、保存されたパスワードや、ログイン済みの状態(セッション)ごと盗まれます。これは、アドレスの漏えいとは別の経路ですが、被害が大きい手口です。

6. サービス側の弱点
メールサービス自体の脆弱性や、二段階認証が使えない・設定されていないことが、突破される原因になることがあります。

まとめ
状況 ⇒ メールに入られる可能性
アドレスだけ漏えい、パスワードは強く使い回しなし ⇒ 低い(主にフィッシング迷惑メールが増える)
アドレスが漏えいし、そのパスワードをメールにも使い回している ⇒ 高い
弱いパスワードを使っている ⇒ 高い(推測や総当たりで破られる)
偽サイトにパスワードを入力してしまった ⇒ 高い
二段階認証・パスキーを設定している ⇒ 低くなる(パスワードを知られても突破されにくい)

実践的な守り方
メールのパスワードは、他のどこにも使っていない長いものにする。
二段階認証かパスキーを設定する(パスワードが知られても、ログインできなくなります)。
メールやSMSのリンクからログインしない。公式のブックマークやアプリから入る。
復旧用の電話番号と予備アドレスを、最新の自分のものにしておく。
HIBPで、自分のアドレスがどの漏えいに含まれているかと、漏れた項目にパスワードがあるかを確認する。

アドレスの漏えい自体は避けにくいので、アドレスが知られても、パスワードと認証で入られない状態にしておくことが、現実的な守り方です。

メールアカウントは「他のあらゆるサービスの鍵の束」になっているため、盗まれた場合の被害はメールそのものにとどまりません。ECサイトなどのサービス乗っ取りの考えられる手口を、被害が広がる順に整理します。

1. パスワードリセットによる他サービスの乗っ取り
最も怖いのがこれです。多くのサービスは「登録メールアドレスにリセットリンクを送る」(*)仕組みなので、メールを押さえた攻撃者は、ECサイト、SNS、クラウドストレージ、ネットバンキング、証券口座、携帯キャリアのアカウントなどを順に乗っ取れます。本人が気づく前に、パスワードと連絡先メールを書き換えて締め出されるケースもあります。
(* ログイン画面で「パスワードを忘れた方」⇒ 登録メールを入力 ⇒ 再設定用のリンクが送られてくる ⇒ 新しいパスワードを設定する)

2. 過去のメールの調査(下調べ)
受信箱や送信済みを検索し、次のような情報を集めます。

どのサービスに登録しているか(「ご登録ありがとうございます」「ご利用明細」などで検索)
取引先、家族、友人の連絡先と関係性
請求書、契約書、住所、電話番号、生年月日など、なりすましや本人確認に使える情報
銀行やカード会社からの通知(利用している金融機関の特定)

3. 本人になりすました詐欺
家族・知人への送信:「急にお金が必要になった」「ギフトカードを買って番号を送ってほしい」といった依頼を、本人のアドレスから送ります。いつもの相手から届くため、信用されやすいです。
取引先への送信(ビジネスメール詐欺):請求書の振込先口座を差し替える、支払いを急がせるなど。実際のやり取りの文面を真似るため、見抜きにくいです。
連絡先全員へのフィッシング:本人名義でマルウェアや偽サイトへのリンクを一斉送信します。

4. 痕跡を隠す工作
転送設定を勝手に追加し、以後のメールを攻撃者にも自動で届ける(気づきにくく、パスワードを変えても残る)
受信フィルタで、銀行やサービスからの警告メールを自動削除または既読にする
送信済みや削除済みのメールを消す

5. 二段階認証の突破・弱体化
SMSやメールで届く認証コードを受け取れてしまうため、メール経由の認証は無力化されます。また、攻撃者が自分の認証アプリや電話番号を追加登録し、居座ることもあります。

6. 恐喝・情報の転売
メールの中身(個人的なやり取り、写真、機密情報)を材料に金銭を要求したり、アカウント情報をほかの犯罪者に売ったりします。

7. 連鎖的な被害
同じパスワードを他サービスで使い回していると、攻撃者は自動ツールで一斉に試します(パスワードリスト攻撃)。メールを盗まれた時点で、使い回しているサービス全部が危険にさらされます。

備えとして有効なこと
・パスワードの使い回しをやめる(パスワードマネージャーの利用)
・メールアカウントにはパスキーか認証アプリ式の二段階認証を設定する(SMS認証より安全)
・定期的に確認する:転送設定、フィルタ、ログイン履歴、接続済みアプリ
・メールのパスワードは他のどのサービスよりも強く、独立したものにする
・万一盗まれたら、すぐにメールのパスワードを変更し、転送とフィルタを確認し、銀行やSNSなど重要なサービスのパスワードも順に変更する。金融関係は各社へ連絡する
・パスキーの記事を書かれているとのことなので、その文脈でも「メールアカウントこそ最優先でパスキー化すべき」という論点は説得力があると思います。

ECサイトに登録しているのが分かりますか

はい、分かります。メールの検索機能を使えば、攻撃者は数分で登録先の一覧を作れます。

登録サービスの特定方法
メールボックス内を次のようなキーワードで検索します。

「ご注文ありがとうございます」「ご注文確認」「注文番号」
「発送のお知らせ」「配送状況」「お届け予定」
「ご登録ありがとうございます」「会員登録完了」
「ご利用明細」「領収書」「請求書」
「パスワード再設定」「ログイン通知」
送信元アドレス(amazon.co.jp、rakuten.co.jp など)で絞り込めば、どのECサイトをどれくらいの頻度で使っているかも分かります。

攻撃者が読み取れる情報
・利用しているサイト名と利用頻度
・購入した商品(趣味、家族構成、健康状態などの推測材料にもなります)
・届け先の住所、氏名、電話番号
・支払い方法(カード会社名、カード番号の下4桁、コンビニ払い、代引きなど)
・ポイントやギフト券の残高が分かるお知らせ

その後に起こりやすいこと
・パスワードリセットで乗っ取り:ECサイトの「パスワードを忘れた場合」から再設定メールを受け取り、アカウントに入ります。
・不正購入:保存済みのカードやポイントを使って商品を購入し、配送先を自分の管理下の住所に変更します。転売しやすい家電、ギフトカード、電子マネーなどが狙われます。
・ポイント・ギフト券の窃取
・精度の高いフィッシング:実際に利用しているサイトの名前や、購入履歴に合わせた偽メールを送られると、本物と見分けにくくなります。「ご注文の商品が配送できません」などの文面に、過去の注文内容が入っていることもあります。

対策
・ECサイトにも固有のパスワードを設定し、可能なら二段階認証やパスキーを有効にする
・カード情報の保存を最小限にする。ECサイトの利用通知をカード会社のアプリで即時に確認できるようにする
・ECサイトの注文確認メールを、受信後に不要なら削除しておく(完全な対策にはなりませんが、露出する情報は減ります)
・メールアカウント自体の防御を最優先にする(前にお伝えした通りです)
・ECサイト側のログイン履歴や注文履歴を定期的に見て、覚えのない購入や配送先の追加がないか確認する習慣も有効です。

盗まれたことに気が付くきっかけはなんでしょうか?

気づくきっかけは、攻撃者が何をするかによって変わります。ただ、攻撃者は気づかれないように動くので、自分で確認しないと気づけないケースも多いのが実情です。

向こうから知らせが来るもの
・ログイン通知メール:「新しいデバイスからのログイン」「見慣れない場所からのログイン」といったGoogleやMicrosoftなどからの通知
・パスワード変更・再設定の通知:自分で操作していないのに届く
・認証コードのSMS・メール:自分が操作していないのに届く(攻撃者がログインやリセットを試している最中の可能性があります)
・ECサイトの注文確認・発送通知:覚えのない注文
・カード会社の利用通知:覚えのない決済(アプリの即時通知を設定していると早く気づけます)
・サービス側からのアカウント凍結・制限の連絡:不審な操作が検知されたとき

自分のメールボックスで気づくもの
・送信済みフォルダに身に覚えのないメールがある
・読んでいないはずのメールが既読になっている
・届くはずのメールが届かない(銀行やサービスからの通知が、攻撃者のフィルタで消されている可能性があります)
・受信箱のメールが勝手に削除・整理されている
・設定を開くと、知らない転送先やフィルタ、署名、返信設定が追加されている

他人からの連絡
・「変なメールが届いたけど」と家族や知人、取引先から連絡が来る
・「さっきのメールは本物ですか」という問い合わせ
・送信できなかったメールのエラー通知(宛先不明など)が、自分が出していない内容で大量に返ってくる

自分の端末・サービスで気づくもの
・ログインしようとしたらパスワードが通らない(変更されて締め出された)
・二段階認証の設定に、覚えのない端末や電話番号、認証アプリが登録されている
・アカウントのログイン履歴に、覚えのない端末、地域、時刻がある
・接続済みアプリに、覚えのない外部アプリが許可されている
・SNSに自分が投稿していない内容が出ている

被害が出てから気づくもの
・口座やクレジットカードの不正利用
・ポイントやギフト券の残高がなくなっている
・携帯キャリアのアカウントが乗っ取られ、SIMの再発行や機種変更をされる

恐喝のメールが届く

早く気づくためにできること
・通知を絞らず有効にする:ログイン通知、パスワード変更通知、カード利用通知をオンにしておきます。見逃しがちなので、通知メールを迷惑メール扱いにしないよう注意してください。
・月に一度は確認する:メールの転送設定、フィルタ、ログイン履歴、二段階認証の登録情報、接続済みアプリ。特に転送とフィルタは、攻撃者が最初に仕込む定番の場所です。
・メールのセキュリティ診断機能を使う:GoogleやMicrosoftのセキュリティチェックで、最近のログインや不審な操作を一覧できます。
・「Have I Been Pwned」などで流出確認をする:自分のメールアドレスが過去の情報漏えいに含まれていないか、定期的に調べます。

覚えのないものを一つでも見つけたら、まずメールのパスワードを変更し、ログイン中の全端末をサインアウトしてから、転送とフィルタを削除してください。順番が逆だと、攻撃者に居座られたままになることがあります。

Have I Been Pwnedについて説明してください

Have I Been Pwned(HIBP、ハブ・アイ・ビーン・ポーンド)は、自分のメールアドレスやパスワードが過去の情報漏えい事件に含まれていないかを調べられる無料のWebサービスです。

概要
オーストラリアのセキュリティ研究者トロイ・ハント氏が2013年に開設し、個人で運営されています。
「pwned」はハッカー用語で「やられた、乗っ取られた」という意味です。
世界中で発生した情報漏えい事件のデータを集め、検索できるようにしています。
公式サイトは英語ですが、操作は簡単です。アドレスは haveibeenpwned.com です。

主な機能

1. メールアドレスの検索(トップページ)
メールアドレスを入力すると、そのアドレスが含まれていた漏えい事件の名前、時期、漏れた情報の種類(パスワード、氏名、住所、電話番号など)が一覧で表示されます。含まれていなければ緑色で「Good news — no pwnage found!」、含まれていれば赤色で「Oh no — pwned!」と出ます。

2. パスワードの検索(Pwned Passwords)
そのパスワードが過去の漏えいデータに含まれていた回数が分かります。含まれていたパスワードは、攻撃者のリストに載っているため使うべきではありません。パスワード全体をサーバーに送らない仕組み(ハッシュの先頭5文字だけを送る方式)になっていますが、実際に使っているパスワードをWebページに手入力するのは避けるほうが無難です。多くのパスワードマネージャーには、この機能が自動で組み込まれています。

3. 通知登録(Notify me)
アドレスを登録し、確認メールのリンクで本人確認をしておくと、そのアドレスが新たに発覚した漏えい事件に含まれたとき、メールで知らせてくれます。

4. ドメイン検索
自社や自分のドメインのアドレスが漏えいしていないかを一括で確認する機能です。主に組織向けです。

結果の見方
載っていた場合:そのサービスのパスワードをすぐ変更します。同じパスワードを他で使い回していれば、そちらも変更します。可能なら二段階認証やパスキーも設定してください。
載っていなかった場合:安全が保証されたわけではありません。HIBPが把握している漏えい事件だけが対象で、未発覚の漏えいや、収録されていない事件は反映されません。
古い事件でも油断しない:何年も前の漏えいでも、そのときのパスワードを今も使っていれば危険が残ります。

注意点
偽サイトに注意:名前が有名なので、似せた偽サイトが存在する可能性があります。ブックマークするか、アドレスを確認してから開いてください。
パスワードとメールアドレスを同時に入力させるサイトは偽物です。HIBPはメールアドレスだけ、またはパスワードだけを調べます。
成人向けサイトなどの機微な漏えい事件は、検索結果に公開表示されません。メールで本人確認をしたうえで、本人にだけ知らされる仕組みです。
類似のサービス
Mozilla Monitor(旧Firefox Monitor):HIBPのデータを使っています。
Googleのパスワードチェックアップ:Googleアカウントやブラウザに保存したパスワードの漏えいを確認できます。
1Passwordなど多くのパスワードマネージャーにも、同様の漏えい確認機能があります。

まずはご自身のメールアドレスを一度調べ、通知登録もしておくと、早期に気づくきっかけになります。

メールアカウントが盗まれた場合について、メール自体またはメールサーバーに細工をしてPCなどにウィルスをばらまくようなことが想像されますが、この点に関してはどうですか?

はい、想像されている通り、その手口は現実にあります。ただし、「メールを開いただけで感染する」ケースは今ではかなり少なく、実際には「受信者に何かを操作させる」形が主流です。仕組み別に整理します。

1. 添付ファイルによる感染(最も多い)

乗っ取ったアカウントから、本人名義で添付ファイル付きのメールを送ります。

Office文書(Word・Excel)のマクロ:「請求書」「会報」などを装い、開くと「コンテンツの有効化」を促します。有効化するとマクロが動いてマルウェアをダウンロードします。
ZIPやパスワード付きZIP:セキュリティソフトの検査を避けるため、パスワードを本文に書いて送る手口です。日本では特に多く見られました。
ショートカットファイル(.lnk)、実行ファイル、スクリプト、ISOファイルなどを、文書に見せかけて送る手口もあります。
PDFに偽のボタンやリンクを埋め込む手口もあります。

乗っ取られたアカウントは相手が普段から信頼している人からのメールになるので、開いてしまう確率が格段に上がります。多くの人に送信している場合、1回の送信で多数の受信者に届くことになります。

2. 本文中のリンクによる感染・誘導

偽のログインページに誘導して、パスワードを盗む(フィッシング)。
マルウェアの配布サイトに誘導する。
「共有ファイルを確認してください」と、正規のクラウドサービスの共有機能を悪用して、本物のサービスのリンクから不正なファイルへ誘導する。

リンク先が正規のサービスの場合、見た目だけでは判別できません。

3. 過去のやり取りに返信する形での送信

過去のメールのスレッドに、自然な文面で返信するふりをして添付を送ります。実際の会話の続きに見えるため、非常に見抜きにくい手口です。過去に本物のメールを盗み見て、文面を真似ることもあります。

4. メールの表示そのものを狙う手口(稀)

HTMLメールの描画や、添付のプレビュー機能などのソフトウェアの脆弱性を突き、開いただけ、プレビューしただけで動作する攻撃も、理論上も実例としても存在します。

ただし、これらは一般に高度で費用のかかる攻撃で、標的型攻撃などに限られがちです。
OSやメールソフトを更新していれば、大半は防げます。更新を怠った古い環境ほど危険です。

5. メールサーバー側の細工について

ご質問の「メールサーバーに細工をして」という点は、2つに分けて考えると分かりやすいです。

(a) 攻撃者がISPなどのサーバー自体を乗っ取る
これは大規模な攻撃で、一般の利用者のアカウント盗難とは別の話です。実例は少なく、起きた場合はISP側が対処し、告知されます。

(b) アカウントを乗っ取った攻撃者が、自分の使えるアカウント内で設定を変える
こちらが現実的です。たとえば、

転送設定やフィルタを追加して、メールを盗み見る
自動返信や署名を書き換えて、すべての送信メールに悪意あるリンクを付ける
保存済みのメールの内容に細工する(過去のメールを書き換えることは通常できませんが、新規作成して受信箱に紛れ込ませることは可能です)

署名に仕込まれると、本人は気づかないまま、以後の送信メールすべてが感染の入り口になります。数千人に発信している人のアカウントでこれが起きると影響が大きいため、署名や自動返信の設定も定期的に確認する価値があります。

受信者(あなた)としてできる防御(メール配信グループの受信として)
・OSとメールソフト、ブラウザ、Officeを最新に保つ(自動更新を有効に)。
・セキュリティソフトを有効にし、定義ファイルを更新する。
・Officeのマクロは、原則として有効にしない。「コンテンツの有効化」を求められたら立ち止まる。
・知っている相手からの添付でも、予告のないものは疑う。発信者が普段添付を付けないなら、なおさらです。
・パスワード付きZIP、ショートカット、実行ファイルは開かない。
・メールのプレビューウィンドウをオフにする(設定による)。
・普段は管理者権限ではないアカウントで使う。
・疑わしいときは、メール内の連絡先ではなく別の手段で本人に確認する。
・万一開いてしまったら、ネットワークから切断し、セキュリティソフトでスキャン、パスワードを別の端末から変更する。
・発信者側が信頼を保つ工夫(前の話の続き)
・普段は添付を付けない(必要な資料はWebページに置いて、リンクで案内する)と決めておく。「添付付きは偽物の可能性が高い」と受信者が判断できます。
・署名と自動返信、転送の設定を定期的に確認する。

ご質問の点の結論は、「メールを開くだけで感染する攻撃」は稀ですが、「信頼された送信者からの添付やリンク」は現実に感染経路の主流だということです。そして、多くの人に配信している方のアカウントが乗っ取られると、その影響は受信者全員に及びます。