「あなたのパスワードが流出した可能性があります、と通知が来た」
「どのサイトのパスワードから変更すればいいの？」
「同じパスワードを何か所も使っているけれど、全部変える必要がある？」
突然こんな通知が届いたら、不安になりますよね。
特にメール、ネット銀行、通販サイト、SNSなどで同じパスワードを使っていると、どこから手をつければいいのか迷ってしまいます。
結論からいうと、パスワードの流出が確認された場合は、まず流出元のサービスで変更し、同じパスワードを使っているほかのサービスも速やかに変更する必要があります。
ただし、届いた通知が本物かどうかの確認も重要です。パスワード流出を装って偽サイトへ誘導する詐欺にも注意してください。
この記事では、まず今すぐ取るべき対応と変更の優先順位を紹介し、その後でパスワードが流出する仕組み、使い回しの危険性、安全な管理方法まで解説します。
【先に結論】パスワードが流出したら何をする？
最初に、急いで答えを知りたい人向けに対処方法をまとめます。
流出したパスワードは使い続けず、同じものを使っているサービスも変更する。これが最も重要な対策です。
30秒で分かる対処法
| 状況 | 取るべき対応 |
|---|---|
| 流出通知が届いた | 通知のリンクではなく公式サイトから事実確認 |
| パスワードの流出が確認された | 該当サービスで速やかに変更 |
| 同じパスワードを使い回している | 同じものを使う全サービスで変更 |
| メールや銀行で同じパスワードを使っている | 特に急いで変更し、履歴を確認 |
| 不審なログイン履歴がある | セッション解除や登録情報の確認 |
| パスワードを変更できない | 公式のアカウント復旧機能を利用 |
| 不正購入や送金がある | 金融機関・カード会社などに直ちに連絡 |
なお、パスワードが流出したことと、実際にアカウントへ不正ログインされたことは別です。
流出していても、まだ悪用されていない場合があります。
だからこそ、被害が確認される前に変更することが大切です。
今すぐやることはこの5つ
- 公式アプリや公式サイトで流出情報を確認する
- 流出したパスワードを、使い回していない新しいものへ変更する
- 同じパスワードを使う別のサービスも変更する
- 多要素認証やパスキーを利用できるか確認する
- ログイン履歴、購入履歴、登録情報に不審な変更がないか確認する
もし端末のマルウェア感染が疑われる場合は、安全な別の端末からパスワードを変更するなど、端末の安全にも注意してください。
すでにアカウントを操作された形跡がある場合は、不正ログインされたらどうする？乗っ取りの確認方法と今すぐできる復旧手順も参考にしてください。
PR
パスワードを変更する優先順位は？
複数のサービスで同じパスワードを使っていた場合、すべて変更する必要があります。
ただし、サービスが多いと一度に対応できないこともあるでしょう。
そんなときは、被害が起きた場合の影響が大きいアカウントから、優先して保護することが重要です。
最優先はメールと金融関係のアカウント
一般的に優先度が高いのは、メールアカウントと、銀行・証券・決済などの金融関係です。
メールアカウントは、ほかのサービスのパスワード再設定に使われることがあります。
そのため、メールが不正利用されると、別のサービスのアカウントを取り戻す手続きにも影響する場合があります。
銀行や証券、決済サービスは、不正送金や不正利用など金銭的な被害につながる可能性があります。
ただし、変更の優先順位は目安です。実際に不審な取引がある場合は、変更作業より先に金融機関への連絡を優先してください。
次に通販・SNS・クラウドなどを確認する
通販サイトには、住所や電話番号、支払い方法などが登録されている場合があります。
SNSでは、乗っ取りによって勝手な投稿やDMが送られる可能性があります。
また、クラウドサービスには仕事の書類や写真など、大切なデータが保存されている場合があります。
これらも、同じパスワードを使い回しているなら変更が必要です。
使い回していたサービスは漏れなく変更する
例えば、次のような使い方をしていたとします。
- サービスA：パスワード「同じもの」
- サービスB：パスワード「同じもの」
- サービスC：パスワード「同じもの」
この場合、サービスAから流出したパスワードだけを変更しても、サービスBとCでは古いパスワードが使われ続けています。
第三者がその情報を使って、ほかのサービスへログインを試みる可能性があります。
そのため、最終的には使い回しているすべてのサービスで、別々の新しいパスワードへ変更することが重要です。
パスワード流出の通知は本物？確認方法
「パスワードが流出しました」という連絡が届いても、すぐにメール内のリンクを開くのは避けましょう。
本物の注意喚起と、偽物の通知を区別する必要があります。
メールやSMSのリンクからログインしない
パスワードの流出を装ったフィッシング詐欺では、「今すぐ確認」「24時間以内に変更」といった文言で利用者を急がせることがあります。
リンクを開くと、本物のサイトに似せた偽ページへ誘導される場合があります。
そこでIDやパスワードを入力すると、流出を防ぐつもりが、逆に認証情報を盗まれるおそれがあります。
重要なのは、メールの文章が本物らしいかどうかではありません。
自分で公式アプリを開くか、あらかじめ確認した正しい公式サイトから情報を調べることです。
サービスの公式発表やセキュリティ画面を確認する
流出の可能性がある場合は、利用しているサービスの公式サイトで発表がないか調べましょう。
また、サービスによっては、セキュリティ設定画面で不審なログインやパスワードの状態を確認できる場合があります。
ただし、ニュースで「情報流出」と報じられていても、流出した情報の種類は事件によって異なります。
メールアドレスだけが流出した場合と、パスワードまで流出した場合では、必要な対応も変わります。
パスワード管理機能の警告も確認する
ブラウザやパスワード管理サービスには、保存しているパスワードが既知の流出情報に含まれている可能性を警告する機能があります。
例えば、Googleパスワードマネージャーでは、保存したパスワードの安全性を確認できます。
ただし、こうしたチェック機能ですべての流出が検知できるわけではありません。
警告が出ていなくても、サービス側が流出を公表した場合には、公式案内に従って対応しましょう。
なぜパスワードを使い回すと危険なの？
パスワードの使い回しが危険だと言われても、なぜ一つの流出で別のサービスまで被害を受けるのか、分かりにくいですよね。
ここでは身近なたとえで説明します。
同じ鍵を何か所にも使っている状態になる
例えば、自宅、倉庫、自転車の鍵が全部同じだったとします。
もし誰かにその鍵を複製されたら、一つの場所だけでなく、ほかの場所にも入られるかもしれません。
パスワードの使い回しもこれに似ています。
一つのサービスでIDとパスワードが漏れた場合、その組み合わせを別のサービスでも試される可能性があります。
パスワードリスト攻撃で別のサービスも狙われる
流出したIDやパスワードの組み合わせを利用し、ほかのサービスへのログインを試みる手口は、パスワードリスト攻撃と呼ばれます。
例えば、通販サイトのログイン情報が流出したとしても、その情報がSNSやメールサービスに使われる可能性があります。
攻撃者は、元のサービスだけを狙うとは限りません。
IPAも、不正ログインの原因の一つとしてパスワードの使い回しに注意を呼びかけています。
少しだけ文字を変えても推測される場合がある
「通販サイトは末尾に1、SNSは末尾に2を付ける」
このように、一部分だけを変えてパスワードを使っている人もいるかもしれません。
しかし、規則性が分かると、別のサービスのパスワードも推測される可能性があります。
名前、誕生日、サービス名などを使って単純なパターンを作ることも避けましょう。
パスワードはなぜ流出するの？
パスワードが漏れる原因は、利用者の操作ミスだけではありません。
サービス事業者側への攻撃など、自分では防ぎにくい原因もあります。
利用しているサービスへの不正アクセス
通販サイトやクラウドサービスなどがサイバー攻撃を受け、利用者情報が外部に持ち出される場合があります。
ただし、情報流出が起きた場合でも、保存されていたパスワードがそのまま読める形式だったのか、保護された形式だったのかなどによって、悪用される可能性は異なります。
また、サービス側で「パスワードは流出していない」と説明される場合もあります。
公表内容を確認し、何が漏れたのかを区別することが大切です。
偽サイトに入力してしまう
フィッシング詐欺では、実在するサービスに似せたサイトへ誘導し、利用者自身にパスワードを入力させます。
例えば、銀行や通販サイトから届いたように見えるメールのリンク先が、偽サイトである場合があります。
この場合、サービス事業者に情報流出がなくても、利用者の認証情報が盗まれることがあります。
詳しくは情報漏えい後にフィッシング詐欺が増えるのはなぜ？で説明しています。
パソコンやスマホから盗まれる
パソコンやスマートフォンがマルウェアに感染し、保存されている認証情報などが盗まれる場合もあります。
また、クラウド環境に保存されていた取引ツールの認証情報などが不正利用される可能性もあります。
2026年10月にはGMOのお名前.com デスクトップクラウドで不正アクセスが公表され、取引口座の認証情報などへの影響が問題となりました。
事件の内容はGMOお名前.comで何が起きた？サイバー攻撃とFX不正操作・補償を解説で詳しく解説しています。
安全なパスワードの作り方と管理方法
パスワードを変更するときは、再び流出や使い回しによる被害を受けにくくすることが大切です。
しかし、たくさんの長いパスワードを自分で覚えるのは難しいですよね。
そこで、管理方法も一緒に考えましょう。
長く、推測されにくく、使い回さない
IPAは、パスワードを「できるだけ長く」「複雑で」「使い回さない」ものにすることを勧めています。
例えば、短い単語や誕生日、名前などは推測されやすい場合があります。
また、同じパスワードを少しだけ変えて複数のサービスで使うのも避けましょう。
重要なのは、サービスごとに異なる、推測されにくいパスワードを設定することです。
パスワード管理機能を活用する
すべてのパスワードを記憶しようとすると、かえって使い回しや単純なパスワードにつながる場合があります。
そのため、ブラウザやOSのパスワード管理機能、パスワードマネージャーなどを利用する方法があります。
パスワード管理機能では、サービスごとに異なるパスワードを生成・保存できるものがあります。
ただし、管理機能を利用するためのアカウントや端末自体を安全に保つことも必要です。
紙に書いて管理する方法もある
パスワードを紙に書くことは、必ずしも禁止されているわけではありません。
国家サイバー統括室の解説でも、パスワードを使い回すくらいなら、安全な場所に紙で記録する方法が紹介されています。
ただし、誰でも見られる場所に置いたり、スマホやパソコンに貼り付けたりするのは避けましょう。
家族や他人が簡単に見られない場所で保管するなど、管理方法に注意してください。
多要素認証やパスキーは流出対策になる？
パスワードを強くするだけでなく、ログインの仕組みを見直す方法もあります。
ここで役立つのが、多要素認証とパスキーです。
多要素認証はパスワード以外でも本人確認する
多要素認証は、異なる種類の認証要素を組み合わせて本人確認する方法です。
例えば、パスワードに加えて、認証アプリのコードなどを使用する仕組みがあります。
これにより、パスワードが第三者に知られても、それだけではログインできないようにすることが可能です。
ただし、認証コードを偽サイトに入力させる手口などもあるため、すべての攻撃を完全に防げるわけではありません。
パスキーは偽サイトに強い認証方式
パスキーは、パスワードを入力する代わりに、公開鍵暗号などの仕組みを使って本人確認する方法です。
対応するサービスでは、スマホの画面ロック解除などと組み合わせて利用できます。
パスキーは、利用するWebサイトなどに結びついた認証の仕組みを使うため、偽サイトにパスワードを入力してしまうタイプの攻撃に強い特徴があります。
ただし、パスキーが設定できるかどうかはサービスによって異なります。
パスキーを使っていても確認することはある
パスキーを設定していても、従来のパスワードでログインできる設定が残っている場合があります。
その場合、流出したパスワードを放置してよいとは限りません。
また、アカウントの復旧方法や登録端末の管理も重要です。
パスワードや認証方法の変更が必要な場合は、各サービスの公式案内に従ってください。
パスワード流出後に確認したい被害と二次被害
パスワードを変更したら、それで対応が完全に終わりとは限りません。
流出から変更までの間に、不正な操作が行われていなかったか確認することも重要です。
ログイン履歴と登録情報を確認する
利用しているサービスにログイン履歴や端末管理機能があれば、不審な端末や操作がないか確認しましょう。
また、登録メールアドレス、電話番号、配送先住所、外部アプリとの連携なども確認します。
身に覚えのない変更があった場合は、サービス提供者の公式サポートへ相談してください。
購入・送金などのお金の動きを確認する
通販サイトや金融サービスで流出が疑われる場合は、注文履歴や取引履歴も確認しましょう。
知らない注文、送金、引き出しなどがあれば、早めに金融機関やカード会社へ連絡してください。
なお、パスワード流出が確認されたからといって、必ず金銭被害が発生しているわけではありません。
また、アカウントの不正利用が確認された場合には、不正ログインされたらどうする？乗っ取りの確認方法と今すぐできる復旧手順で、復旧の流れを詳しく説明しています。
流出情報を利用した偽メールや電話に注意する
メールアドレスや名前などが漏れると、それを利用した偽メールや不審な電話につながる可能性があります。
例えば、「あなたのパスワードが流出したので確認が必要です」と連絡し、偽サイトへ誘導する手口が考えられます。
相手が自分の名前やメールアドレスを知っていても、それだけで本物の担当者とは限りません。
関連：個人情報を知られている電話は本物？名前・住所を言われたときの対処法
パスワードの流出についてよくある質問
Q. メールアドレスだけ流出した場合もパスワードを変えるべきですか？
メールアドレスだけの流出と、パスワードの流出は異なります。
メールアドレスのみが漏れた場合、それだけでパスワードが第三者に知られたとは限りません。
ただし、偽メールや不審なログイン試行が増える可能性があります。
サービスの公式案内に従い、使い回しや弱いパスワードがないか確認しましょう。
Q. パスワードを変更したのに、また流出警告が出ます。なぜですか？
保存している古いパスワードがチェック対象になっていたり、変更後の情報がまだ反映されていなかったりする場合があります。
また、別のサービスで同じパスワードを使っている可能性もあります。
どのアカウントに対する警告なのか確認してください。
Q. 同じパスワードを使っていたサイトは全部変更する必要がありますか？
はい。流出したパスワードを使い回していた場合は、そのパスワードを使っているほかのサービスでも変更してください。
ただし、新しいパスワードを別のサービスで再び使い回さないようにしましょう。
Q. パスワードを変更すれば不正ログインを完全に防げますか？
必ずしも完全ではありません。
すでにログインしたセッションが残っていたり、端末がマルウェアに感染していたりする場合もあります。
不審なログインが確認された場合は、セッション解除や登録情報の確認なども必要です。
Q. パスキーを設定すれば流出したパスワードは放置してもいいですか？
いいえ。
サービスによっては、パスキーを設定した後も従来のパスワードでログインできる場合があります。
流出したパスワードが引き続き使えるなら、公式案内に従って変更などの対応をしてください。
Q. パスワードは定期的に変更した方がいいですか？
流出や不正利用の疑いがない場合、機械的な定期変更より、長く強いパスワードを使い回さずに管理することが重要とされています。
一方、流出が判明した場合や、第三者に知られた可能性がある場合には、速やかに変更してください。
Q. パスワードが流出したかどうか、完全に調べる方法はありますか？
すべての流出を完全に確認する方法はありません。
パスワード管理機能の警告やサービス事業者の公表情報などが参考になりますが、警告が表示されていないことだけで安全だと断定することはできません。
日頃からパスワードの使い回しを避け、多要素認証を設定しておくことが重要です。
まとめ｜パスワードが流出したら、使い回しまで確認しよう
パスワードが流出した場合、最も重要なのは、流出した情報を使い続けないことです。
そして、同じパスワードを使い回していた場合は、別のサービスにも影響が広がる可能性があります。
今回のポイントを整理すると、次の5つです。
- 流出通知は公式サイトや公式アプリから確認する
- 流出したパスワードを速やかに変更する
- 使い回しているほかのサービスもすべて変更する
- 多要素認証やパスキーを利用する
- ログイン履歴や金銭的な被害がないか確認する
パスワード流出の対策は、「一つ変えたから終わり」ではありません。使い回しをなくすことが、別のアカウントへの被害拡大を防ぐ重要なポイントです。
まずは、メールアカウントと金融関係のサービスで、流出したパスワードを使っていないか確認してみましょう。
関連記事｜パスワード・不正ログイン・情報漏えい対策
- 不正ログインされたらどうする？乗っ取りの確認方法と今すぐできる復旧手順
- 個人情報が流出したらどうなる？何をすべきかを種類別に解説
- 情報漏えい後にフィッシング詐欺が増えるのはなぜ？
- GMOお名前.comで何が起きた？サイバー攻撃とFX不正操作・補償を解説
- クラウドとは何？なぜ自分のパソコンを使わないの？
- 個人情報を知られている電話は本物？名前・住所を言われたときの対処法
- 本人確認書類が流出すると何が危険？
参考資料
- IPA｜自分の個人情報等が漏えいした際の「対処」と「日頃の対策」（2026年10月26日）
- IPA｜インターネットサービスへの不正ログインによる被害が増加中
- IPA｜不正ログイン対策特集ページ
- 国家サイバー統括室｜パスワードの管理方法について
- 任天堂｜不正ログインを防ぐために
※この記事は2026年10月29日時点の公的機関などの案内に基づいています。流出の有無や必要な対応は、サービスの公表内容や被害状況によって異なります。
