「VPNもちゃんと入れているのに、どうしてアカウントが乗っ取られるの？」——最近こんな声を耳にして、編集部は少し立ち止まりました。守る道具を使っているのに被害に遭うのは、道具が悪いのではなく、その道具が“守れる場所”と“守れない場所”があるからかもしれません。
2026年に入ってからも、大量の認証情報（IDやパスワード）が出回っているという報告が続いています。あるセキュリティ研究者は、およそ240億件もの流出記録がネット上で見つかったと発表しました。これだけの数になると、もはや「自分だけは大丈夫」とは言いにくい状況です。
多くの流出は“端末に潜む泥棒”から始まる
こうした大量流出の多くで、きっかけになっているのが「情報窃取型マルウェア（インフォスティーラー）」と呼ばれる小さなプログラムです。むずかしい名前ですが、やっていることはシンプルで、こっそりパソコンやスマホに入り込み、ブラウザに保存したパスワードやクレジットカードの自動入力情報、そして“ログイン済みの証明書”のような「セッション情報」までまとめて盗み出して外に送ります。
VPNが守るのは“通信の道”、端末の中までは守らない
ここで大切なのが、VPNの得意分野です。VPNは、あなたと目的のサイトの間の“通信の道”を暗号化して、途中でのぞき見されないようにする道具です。カフェの公衆Wi-Fiなどで盗み見を防ぐのはとても得意です。一方で、すでに自分の端末の中に泥棒（マルウェア）が入り込んでしまった場合、そこから持ち出される情報まではVPNの担当範囲ではありません。
つまり「VPNを入れているのに乗っ取られた」というのは、VPNが役立たずだったのではなく、“別の入り口”から入られていた、という話なのです。玄関の鍵をしっかりかけても、窓が開いていれば入られてしまう——それに近いイメージです。
個人ができる“窓も閉める”対策
- 怪しいアプリや“便利ツール”を安易に入れない（マルウェアの多くはここから侵入します）
- ブラウザに大量のパスワードを保存しっぱなしにせず、信頼できるパスワード管理を使う
- 二段階認証やパスキーを設定し、盗まれても入られにくくする
- OSやブラウザは早めに更新し、セキュリティ対策ソフトも併用する
マルウェアそのものの種類はこの記事で、パスワードの守り方はこちらでやさしくまとめています。VPNとセキュリティ対策ソフトの役割の違いはこの記事も参考にしてみてください。
