パスワードが漏洩したらどうなる｜変更の順番と使い回しの見直し方 2026

パスワードが漏洩したら、することは次の3つで、この順番です。1つ目、漏れたサービスのパスワードをすぐに変える。2つ目、同じパスワードを使っていたほかのサービスを、メール、Apple IDやGoogleのアカウント、銀行や決済、通販の順にすべて変える。3つ目、変えたサービスに2段階認証やパスキーを設定し、ログイン履歴に身に覚えのないものが無いかを確かめる。

パスワードが漏れたこと自体よりも、同じパスワードをほかでも使っていることのほうが、被害を大きくします。この記事では、漏れたら何が起きるのか、変える順番、使い回しを見つける手順を、各社の公式の案内で確かめた範囲で説明します。

パスワードが漏洩したら何が起きるのか

パスワードが漏れたときに起きることは、大きく分けて3つあります。

1つ目は、漏れたサービスそのものへの不正なログインです。登録しているメールアドレスやIDと一緒にパスワードが漏れていれば、他人がそのままログインできてしまいます。通販サイトなら登録したカードで買い物をされる、ポイントを使われる、配送先を書き換えられるといった被害につながります。

2つ目は、ほかのサービスへの広がりです。漏れたメールアドレスとパスワードの組み合わせを、別のサービスのログイン画面に機械で次々と入れて試す手口があります。これをパスワードリスト攻撃と呼びます。同じ組み合わせを使い回していれば、漏れていないはずのサービスにまで入られてしまいます。警察庁の「フィッシング対策」のページも、複数のサイトで同じIDとパスワードを登録していると、1つ盗まれただけで銀行、SNS、通販など全てのサービスが乗っ取られる被害に遭ってしまうと書き、サイトごとに違うものを登録するよう呼びかけています。

3つ目は、乗っ取ったアカウントを使った二次被害です。メールのアカウントを乗っ取られると、ほかのサービスの「パスワードを忘れた」の手続きでそのメールに届く再設定のリンクを使われ、連鎖的にアカウントを奪われるおそれがあります。SNSを乗っ取られると、本人になりすまして知人に詐欺のメッセージを送られることもあります。

つまり、パスワードの漏えいで本当に怖いのは、漏れた1つのサービスより、そこから広がる範囲です。変える順番を考えるときも、広がりを止めることを優先します。

「暗号化」「ハッシュ化」と書かれていた場合の考え方

漏えいの発表に、パスワードは「暗号化されていた」「ハッシュ化されていた」と書かれていることがあります。ハッシュ化とは、パスワードを元に戻しにくい別の文字列に変えて保管する方法のことです。

2026年10月28日に発表された花キューピットの情報漏洩では、ユーザーID、パスワード、メールアドレスが漏えいした項目とされ、パスワードは「そのままでは使用できない暗号化されたもの」と説明されています。花キューピットの公式発表のよくある質問は、パスワードを変えたほうがよいかという問いに、次のように答えています。

漏えいしたパスワードは復元・解読ができない形式（不可逆な暗号化）で保存されております。直ちに第三者によってアカウントが不正利用される可能性は低いと判断しております。 しかしながら、万全を期すため、パスワードのご変更を行っていただくことをお勧めいたします。 出典: hana-cupid.co.jp

同じ回答では、ほかのサービスでも同じログインIDとパスワードを使い回している場合は、そちらのパスワードも変えるよう勧めています。

ハッシュ化されたパスワードは、すぐに元のパスワードが分かるわけではありません。ただ、短いパスワードや、よく使われる単語のパスワードは、手間をかければ割り出されることがあります。会社が「不正利用の可能性は低い」と書いていても、変えておけば心配はなくなるので、発表に暗号化と書かれていても変更を済ませるのが確実です。

タイムズカーの情報漏洩の第5報でも、ハッシュ化された認証情報のデータについて、外部送信の痕跡が確認されたパスワードが4件あったと、件数を分けて載せています。このように、パスワードがどの形で保管されていたかは発表に書かれることが多いので、自分の対応を決める材料として読んでおきます。

パスワードが漏れたかどうかを確かめる方法

「漏れたかもしれない」と感じたとき、本当に漏れたのかを確かめる方法はいくつかあります。どれか1つで分かるとは限らないので、組み合わせて使います。

確かめ方	分かること
会社からの通知と公式発表	そのサービスで、パスワードが漏えいの項目に入っているか
iPhoneの「パスワード」アプリ、Googleのパスワード チェックアップ	保存しているパスワードが既知の漏えいデータに含まれているか
Have I Been Pwned	メールアドレスが過去の漏えい事件に含まれているか
各サービスのログイン通知、ログイン履歴	自分以外がログインした形跡があるか

会社の発表では、「漏えいした項目」の欄にパスワードが入っているかを見ます。花キューピットの発表のように、ID、パスワード、メールアドレスは対象だが、名前や住所、カード番号は漏えいしていないと、対象外の項目まで書かれていることもあります。対象外と書かれた項目については、過度に心配する必要はありません。

身に覚えのないログインの通知や、自分が操作していないのに届いた認証コードは、パスワードがすでに誰かに使われている兆しのことがあります。NTTドコモの被害時の案内も、操作していないタイミングで認証コードが届いた場合は、第三者が不正ログインを試みている可能性があるとして、ログイン履歴の確認とパスワードの変更を勧めています。こうした通知が届いたら、漏えいの発表を待たずに変更に進んでください。

パスワードを変える前に、端末の安全を確かめる

パスワードを変える順番と同じくらい大事なのが、変える作業をする端末の安全です。スマートフォンやパソコンに不正なアプリが入っていると、新しく入力したパスワードもそのまま盗まれてしまいます。

次のどれかに当てはまる場合は、パスワードを変える前に端末を確かめます。

• 偽のSMSやメールのリンクから、アプリやプロファイルを入れた覚えがある
• 知人から「あなたの番号から変なSMSが来た」と言われた
• 入れた覚えの無いアプリがある、電池の減りや通信量が急に増えた

NTTドコモの被害時の案内では、Androidで不正なアプリを入れてしまった場合はセキュリティアプリでスキャンして削除し、提供元不明のアプリを入れない設定にすること、iPhoneの場合はアプリを削除し、「設定」>「一般」>「VPNとデバイス管理」から不正な構成プロファイルを削除することを案内しています。端末の安全に自信が持てない場合は、別の安全な端末からパスワードを変えるのも1つの方法です。

OSとアプリを最新の版に更新しておくことも、警察庁のフィッシング対策のページが勧めている基本の対策です。古い版のまま使っていると、弱点を突かれて偽サイトに誘導されることがあります。

変更する順番：影響の大きいものから

使い回していたサービスが多いと、どこから手をつけるか迷います。広がりを止めることを優先して、次の順に変えます。

順番	サービスの種類	先に変える理由
1	漏れたサービスそのもの	他人がそのままログインできる状態を止める
2	メールのアカウント	ほかのサービスのパスワード再設定のリンクが届く場所なので、奪われると連鎖する
3	Apple IDやGoogleのアカウント	端末の位置情報、写真、保存したパスワードなどにまとめてつながっている
4	銀行、証券、スマホ決済、クレジットカードの会員サイト	お金の被害に直結する
5	通販サイト	登録したカードで買い物をされる、配送先を書き換えられる
6	SNS、メッセージアプリ	なりすましで知人に被害が広がる
7	そのほかのサービス	使っていないものは退会も検討する

順番の2つ目にメールを入れているのは、メールが「合鍵の置き場所」になっているからです。多くのサービスは、パスワードを忘れたときに、登録したメールアドレスへ再設定のリンクを送ります。メールのアカウントを先に守っておけば、ほかのサービスを乗っ取られても取り戻しやすくなります。

すべてを1日で終えられなくても構いません。1から4までをその日のうちに済ませ、残りは数日かけて進めるだけでも、被害が広がる道の多くを塞げます。

パスワードの変え方と、新しいパスワードの作り方

パスワードを変えるときは、漏れたことを知らせるメールのリンクからではなく、公式アプリやブックマークした公式サイトから、ログインして変更の画面を開きます。漏えいの報道に合わせて、「パスワードの変更が必要です」という偽のメールが送られることがあるからです。花キューピットの発表も、同社からメールや電話で個人情報やパスワードを尋ねることは一切ないと明記しています。

新しいパスワードは、次の点を守って作ります。

• サービスごとに別のパスワードにする
• 前のパスワードの数字だけを変えたものにしない（「abc1」を「abc2」にするような変え方は、推測されやすい）
• 名前、誕生日、電話番号など、調べれば分かる情報を入れない
• できるだけ長くする

パスワードと一緒に、「秘密の質問」の答えを登録しているサービスもあります。母親の旧姓や出身地のように、調べれば分かる答えにしていると、パスワードを変えても、その質問からアカウントを取り戻す手続きを悪用されるおそれがあります。パスワードを変えるついでに、秘密の質問の答えも、ほかの人が推測できないものに変えておきます。

サービスごとに別の長いパスワードを覚えるのは、人には無理があります。そこで使うのが、パスワードを作って保存してくれる仕組みです。iPhoneには「パスワード」アプリがあり、Googleには「Google パスワード マネージャー」があります。どちらも、サイトでパスワードを新しく作るときに、推測されにくいパスワードを自動で作って保存できます。警察庁のフィッシング対策のページも、IDやパスワードを覚えられない場合はパスワード管理アプリなどを使うよう勧めています。

パスワード管理の考え方や、アプリの選び方は、IDとパスワード管理を安全にする方法とパスワード管理アプリのおすすめの選び方で詳しく説明しています。

使い回しを見つける：iPhoneの「パスワード」アプリ

どのサービスで同じパスワードを使っていたかを思い出すのは難しいものです。端末に保存したパスワードがあれば、使い回しや漏えいを自動で見つけてくれる機能が使えます。

iPhoneの場合は、Appleの「iPhoneで安全性の低いパスワードまたは侵害されたパスワードを変更する」に手順があります。iPhoneに保存したパスワードについて、推測されやすい、複数回使われているといった弱点を自動で見つけ、既知の漏えいデータに含まれている場合は警告します。

1. iPhoneで「パスワード」アプリを開く
2. 「セキュリティ」をタップする
3. 安全性が低い、または侵害されたパスワードのアカウントに、問題を説明するメッセージが表示される
4. アカウントをタップし、「パスワード」の欄をタップして「パスワードをコピー」をタップする（変更の画面で古いパスワードを求められたときに貼り付けるため）
5. 「パスワードを変更」をタップし、そのサイトやアプリでパスワードを変える

漏えいの検出が働いているかは、「設定」アプリを開き、「アプリ」>「パスワード」と進んで、「漏洩の危険があるパスワードを検出」がオンになっているかで確かめられます。サイトがパスキーや「Appleでサインイン」への切り替えに対応している場合は、パスワードを変える代わりに切り替えることもできると、同じページに書かれています。

もう使っていないサイトの警告が出た場合は、「パスワード」アプリの「すべて」でそのアカウントを左にスワイプして削除できます。ただし、サイトにアカウントが残っている場合は、先にサイトの側で退会しておくほうが安全です。

使い回しを見つける：Googleのパスワード チェックアップ

AndroidのスマートフォンやChromeでパスワードを保存している場合は、Googleの「パスワード チェックアップ」を使います。Googleの「Google アカウントの不正使用されたパスワードを変更する」によると、保存したパスワードについて、漏洩している、脆弱である、複数のアカウントで使用されている、の3つの状態を確かめられます。

パソコンのChromeから使う手順は次のとおりです。

1. Chromeを開き、右上のその他アイコンから「パスワードと自動入力」>「Google パスワード マネージャー」を選ぶ
2. 左側の「チェックアップ」を選ぶ
3. 表示された結果のうち、不正使用されたパスワードから順に変更する

Chromeを使っていない場合は、ほかのブラウザで passwords.google.com を開き、「パスワード チェックアップに移動」>「パスワードを確認」の順に選びます。

Googleは、不正使用されたパスワードとユーザー名の組み合わせはオンラインで公開されているため安全ではないとして、早急に変えるよう勧めています。同じパスワードを複数のアカウントで使うとハッキングの危険が高まるため、アカウントごとに異なるパスワードを使うことも強く勧めています。

端末に保存していないパスワードは、この機能では見つかりません。手帳やメモ帳に書いていたパスワードがある場合は、その一覧も合わせて見直してください。

パスワードを変えた後に起きることと、続けてすること

パスワードを変えると、いくつかの変化が起きます。慌てないように、先に知っておきます。

1つ目は、ほかの端末からのログアウトです。サービスによっては、パスワードを変えると、ほかの端末やブラウザのログインが切れます。自分の別の端末で再びログインを求められたら、新しいパスワードで入り直します。逆に、ログアウトの選択肢があるサービスでは、「ほかのすべての端末からログアウトする」を選んでおくと、他人が入っていた場合にも追い出せます。

2つ目は、自動入力の更新です。iPhoneの「パスワード」アプリやGoogle パスワード マネージャーに保存しているパスワードは、変更の画面で新しいものに置き換えて保存されるのが通常ですが、うまく更新されないこともあります。変更が終わったら、保存されているパスワードが新しいものになっているかを確かめます。

3つ目は、ほかのアプリとの連携です。メールのアカウントのパスワードを変えると、パソコンのメールソフトや、カレンダーの連携、ほかのサービスとのつながりが切れることがあります。届くはずのメールが届かない場合は、各アプリで新しいパスワードを入れ直してください。

変更が終わったら、変えたサービスの一覧を手元に残しておくと、後で漏れが無いかを見返せます。一覧にはサービス名と変更した日付だけを書き、パスワードそのものは書かないようにします。

家族と共有しているアカウントと、仕事のアカウント

自分だけで使っていないアカウントは、変えるときに一手間かかります。

家族と共有している動画の配信サービスや通販のアカウント、家のWi-Fiの管理画面などは、パスワードを変えると家族の端末からも入れなくなります。変える前に家族に伝え、新しいパスワードは、iPhoneの「パスワード」アプリの共有の機能など、安全な方法で伝えます。メッセージアプリに新しいパスワードをそのまま書いて送ると、そのメッセージが残り続けるので避けたほうが安全です。

勤め先や取引先から渡された仕事のアカウントは、自分だけで判断して終わらせないことが大切です。仕事で使っているメールアドレスやパスワードが漏えいに含まれていた場合や、仕事のアカウントと同じパスワードを私用のサービスで使っていた場合は、パスワードを変えたうえで、勤め先の情報システムの担当者や取引先の窓口に知らせます。会社の側で、ログの確認やほかの社員のアカウントの見直しが必要になることがあるからです。知らせずにおくと、後から不正なログインが見つかったときに、対応が遅れる原因になります。

2段階認証とパスキーで、漏れても入られにくくする

パスワードを変えたら、同じことが起きても被害が出にくいように、ログインの仕組みを強くします。

2段階認証とは、パスワードに加えて、スマートフォンのアプリに表示される数字や、登録した端末での確認など、別の確認を求める設定のことです。パスワードが漏れても、2つ目の確認を通れなければログインできません。設定の場所はサービスごとに違いますが、多くは「セキュリティ」や「ログインと認証」といった名前の画面にあります。

パスキーは、パスワードの代わりに、端末の顔認証や指紋認証、画面ロックを使ってログインする方式です。パスワードそのものを入力しないので、偽サイトに入力して盗まれる、サービスから漏れる、といった被害を受けにくくなります。iPhoneの「パスワード」アプリも、サイトがパスキーに対応していればパスワードからの切り替えを案内します。

2段階認証を設定するときは、スマートフォンをなくしたり買い替えたりしたときに、どうやってログインを取り戻すかも合わせて確かめておきます。サービスによっては、予備のコードを発行したり、回復用のメールアドレスや電話番号を登録したりする仕組みがあります。案内に従って控えを作り、パスワードとは別の安全な場所に保管してください。

設定を進める順番は、パスワードを変えた順番と同じで、メール、Apple IDやGoogleのアカウント、銀行や決済を先にします。2段階認証の確認の方法を選べる場合は、SMSで届くコードより、認証アプリやパスキーのほうが、偽サイトや番号の乗っ取りの影響を受けにくい方法です。2段階認証の種類と選び方は、MFA（多要素認証）導入のメリットと製品比較でも説明しています。

ログイン履歴と、書き換えられやすい設定を確かめる

パスワードを変えても、それより前に誰かが入っていた場合は、その間に設定を書き換えられていることがあります。パスワードを変えたサービスでは、次の項目を確かめます。

• ログイン履歴、利用履歴に、身に覚えのない日時や場所、端末からのログインが無いか
• 信頼済みの端末やブラウザの一覧に、知らない端末が無いか
• 連絡先のメールアドレスと電話番号が、自分のものから書き換えられていないか
• 通販サイトの配送先に、知らない住所が登録されていないか
• 外部のサービスとの連携の一覧に、覚えの無いものが無いか
• メールのアカウントに、知らない転送の設定や自動で振り分ける設定が作られていないか

たとえばNTTドコモは、dアカウントのIDやパスワードを入力してしまった人に向けて、「万が一被害に遭ったら」のページで、信頼端末の一覧、利用履歴、連絡先の電話番号とメールアドレス、配送先、連携サービスの確認を案内しています。項目の名前はサービスごとに違いますが、確かめる場所の考え方は同じです。

メールの転送の設定は見落とされやすい項目です。乗っ取った側が、届いたメールを自分のアドレスに転送する設定を作っておくと、パスワードを変えた後もメールの中身が流れ続けます。メールのサービスの設定画面で、転送とフィルタの一覧を開いて確かめてください。

漏れたパスワードは二度と使わない、使わないサービスは退会する

一度漏れたパスワードは、漏えいデータの一覧に載った状態で出回り続けると考えておきます。パスワードを変えた後で、覚えやすいからと別のサービスで同じものを使い直したり、数か月後に元のパスワードへ戻したりすると、また同じ組み合わせで試されるおそれがあります。漏れたパスワードは、どのサービスでも二度と使わないと決めておきます。

見直しの途中で、長く使っていないサービスがたくさん見つかることがあります。使っていないサービスのアカウントは、パスワードを変えるより退会するほうが、漏えいの入口そのものを減らせます。退会の前に、次の点を確かめます。

1. 登録したカード情報や、残っているポイント、購入した中身（電子書籍や動画など）の扱い
2. 退会した後も、会社が一定期間情報を保管すると書いていないか（プライバシーポリシーやよくある質問）
3. 退会の手続きを、公式アプリやブックマークした公式サイトから行えるか

退会した後の情報の扱いは会社ごとに違います。花キューピットの発表では、退会済みの人であっても漏えいが確認された場合は個別に案内を進めているとし、退会済みのアカウントはログインができない状態になっていると説明しています。退会したからといって、過去に預けた情報がすぐに消えるとは限らない点は覚えておいてください。

パスワードを使い回していないかを定期的に見直す習慣も役に立ちます。iPhoneの「パスワード」アプリやGoogleのパスワード チェックアップは、新しく見つかった問題をその都度知らせてくれるので、警告が出たときにその場で直すだけで、使い回しの少ない状態を保てます。

すでに乗っ取られていたときにすること

ログインできない、パスワードが勝手に変えられている、知人に身に覚えのないメッセージが送られている、といった場合は、すでに乗っ取られている可能性があります。

1. そのサービスの「パスワードを忘れた」「アカウントを回復する」の手続きを、公式アプリやブックマークした公式サイトから試す
2. 回復できない場合は、そのサービスのサポートに、公式サイトに書かれた窓口から連絡する
3. 同じパスワードを使っていたほかのサービスを、すぐにすべて変える
4. SNSが乗っ取られた場合は、別の手段で知人に「自分の名前で届いたメッセージに応じないで」と知らせる
5. カードや決済のサービスで身に覚えのない支払いがあれば、カード会社や決済サービスに連絡する
6. お金の被害が出た場合は、最寄りの警察署か、都道府県警察のサイバー犯罪相談窓口に相談する

手順の詳しい流れは、アカウントが乗っ取られたときの対処法にまとめています。ウイルスや不正アクセスについて技術的な助言がほしい場合は、IPA（情報処理推進機構）の「情報セキュリティ安心相談窓口」が、主にウイルスや不正アクセスに関する一般の人からの相談に助言しています。緊急ではない警察への相談は、警察相談専用電話の#9110で受け付けています。

「パスワードが漏洩しました」という偽のメールに注意する

パスワードの漏えいが話題になると、それに便乗した偽のメールやSMSが届きます。「あなたのパスワードが漏洩しました。今すぐ変更してください」と書き、リンクから偽のログイン画面に誘って、新旧のパスワードを入力させる手口です。

見分けるための考え方は1つで、メールのリンクからは変更しないことです。本当に漏えいがあったなら、公式アプリや公式サイトにログインした画面や、公式サイトのお知らせにも同じ案内が出ています。花キューピットのように、会社からメールや電話でパスワードを尋ねることは一切ないと明記している会社もあります。パスワードを聞いてくる連絡は、それだけで偽物と考えてよい材料になります。

「あなたのパスワードを知っている。お金を払わなければ秘密をばらす」と脅すメールもあります。過去の漏えいで出回ったパスワードを件名や本文に書いて、本当に何かを握られていると思わせる手口です。書かれたパスワードが本物でも、相手が持っているのは漏れたパスワードだけのことが多く、支払う必要はありません。そのパスワードを今も使っているサービスがあれば、すぐに変えてください。

偽のメールの見分け方は、フィッシング詐欺メールの見分け方で、開いてしまった後の対処まで含めて説明しています。

次の漏えいに早く気づく仕組み

パスワードの漏えいは、会社の発表より先に自分で気づけると、被害を小さくできます。設定しておくと役に立つ仕組みを挙げます。

仕組み	分かること	設定する場所
iPhoneの「漏洩の危険があるパスワードを検出」	保存したパスワードが既知の漏えいデータに含まれていないか	「設定」>「アプリ」>「パスワード」
Googleのパスワード チェックアップ	保存したパスワードの漏えい、弱さ、使い回し	Chromeの「Google パスワード マネージャー」、または passwords.google.com
Have I Been Pwnedの「Notify Me」	登録したメールアドレスが新しい漏えいに含まれたか	Have I Been Pwnedのサイト

Have I Been Pwnedは、メールアドレスが過去の漏えいに含まれていないかを無料で調べられる海外のサービスで、使い方はHave I Been Pwnedの使い方で説明しています。どれか1つを入れておくだけでも、気づかないまま漏れたパスワードを使い続ける期間を短くできます。

在宅で働く人がパスワードを守るために

@SOHO編集部は2004年から在宅ワークとフリーランスの仲介を続けてきました。その中で見てきたのは、在宅で働く人ほど、仕事の連絡用のメール、クラウドの保存先、請求書のサービス、取引先ごとのチャットなど、登録するサービスが増えやすく、パスワードの使い回しが起きやすいということです。仕事のアカウントが乗っ取られると、預かった資料や取引先の連絡先まで外に出るおそれがあり、信用の問題になります。仕事で使うサービスだけでも、パスワード管理アプリに移して別々のパスワードにし、2段階認証を設定しておくと、取引先にも安心して仕事を任せてもらいやすくなります。アプリを作る側の仕事に関心がある人は、アプリケーション開発のお仕事も参考になります。

パスワードが漏洩したら、漏れたサービス、メール、大事なアカウント、お金のサービスの順に変え、使い回しを端末の機能で洗い出し、2段階認証やパスキーで入られにくくする、という流れで進めます。漏れたこと自体は防げなくても、同じパスワードを使っていなければ、被害は漏れた1つのサービスで止まります。

よくある質問

Q. パスワードが漏洩したら、まず何をすればよいですか？

漏れたサービスのパスワードをすぐに変え、同じパスワードを使っていたほかのサービスも変えます。順番は、メール、Apple IDやGoogleのアカウント、銀行や決済、通販、SNSの順が目安です。変更は、メールのリンクではなく公式アプリやブックマークから開いて行ってください。

Q. 暗号化されたパスワードが漏れた場合も変更は必要ですか？

暗号化やハッシュ化されていれば、すぐに元のパスワードが分かるわけではありません。ただ、短いものやよく使われる単語のものは、手間をかければ割り出されることがあります。会社も万全を期して変更を勧めることが多いので、変えておくのが確実です。

Q. どのサービスで同じパスワードを使ったか分からないときは？

iPhoneなら「パスワード」アプリの「セキュリティ」、AndroidやChromeならGoogleのパスワード チェックアップで、保存したパスワードの使い回しや漏えいを確かめられます。端末に保存していないパスワードは見つからないので、メモなどに控えた分も合わせて見直します。

Q. 漏洩したパスワードを書いた脅迫メールが届いたら払うべきですか？

払う必要はありません。過去の漏えいで出回ったパスワードを書いて、何かを握っていると思わせる手口です。相手が持っているのは漏れたパスワードだけのことが多いため、そのパスワードを使っているサービスがあればすぐに変え、メールは削除してください。