「パスワードが流出した」というニュースを見るたびに、どこか他人事のように感じてしまう——編集部も、正直そういう気持ちがなかったとは言えません。でも最近の報告を読んでいて、少し背筋が伸びました。流出したパスワードが“平文”、つまり暗号化もされず、誰でもそのまま読める状態でネット上に出回っている、というのです。
2026年に入ってからも、数十億件規模の認証情報（IDとパスワードの組み合わせ）が出回っているとの報告が続いています。中には、メールアドレスとログイン先、そしてパスワードが、まるで一文を読むようにそのまま見えてしまう形式のものもあったといいます。ここまでくると、「自分のパスワードだけは無事」と考えるのは、少し楽観的すぎるのかもしれません。
本当に怖いのは“流出”よりも“使い回し”
ここで編集部が強くお伝えしたいのは、流出そのものよりも「使い回し」の方がずっと危ない、ということです。もしあなたが、通販サイトもSNSもネット銀行も、すべて同じパスワードにしていたとします。すると、たった1つのサービスからパスワードが漏れただけで、攻撃者はその同じ組み合わせを他のサービスにも次々と入力して試します。これは“クレデンシャルスタッフィング”と呼ばれる、いわば「合鍵を全部のドアで試す」手口です。
VPNは“通信”を守るが、流出済みのパスワードは守れない
誤解のないようにお伝えすると、VPNはとても頼りになる道具です。カフェや空港の公衆Wi-Fiで、あなたの入力した情報が途中でのぞき見されるのを防いでくれます。実際、パスワードが“通信の途中”で盗まれるのを防ぐという意味では、公衆Wi-Fiでの対策としてVPNはとても有効です。
ただ、すでにどこかのサービスから流出してしまったパスワードや、使い回しによって他のドアで試される合鍵までは、VPNの担当範囲ではありません。VPNは“道”を守る道具であって、“鍵そのものの弱さ”までは直せない——ここを分けて考えることが大切だと編集部は思います。
個人が今日からできる“被害を1つで止める”備え
- サービスごとに違うパスワードにする（せめて銀行・メール・SNSなど重要なものだけでも別々に）
- 覚えられない分はパスワード管理ツールにまかせ、頭で覚えるのをやめる
- 二段階認証やパスキーを設定し、パスワードが漏れても入られにくくする
- 自分のメールアドレスが過去の流出に含まれていないか、漏洩チェックで確認する
パスワードの具体的な作り方や管理のコツはこの記事で、二段階認証やパスキーの仕組みはこちらでやさしくまとめています。自分の情報が流出していないかの確かめ方はこの記事も参考にしてみてください。
