近年の企業への不正アクセス被害は、ウイルスファイルの実行を伴わず、漏洩したID・パスワードを使った正規のログインという形で起きているものが少なくありません。ウイルス対策ソフトの画面上は何も起きていないため、入られたこと自体に気づきにくいのが特徴です。この記事では、実際に公表された事例から、どこが起点になったのかを整理します。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
この記事では、実際に公表された漏洩・不正ログインの事例を挙げたうえで、侵入口になったアカウントに共通していた点、漏洩が起きる経路、どうやって発覚するのか、そして企業が今すぐ確認すべき対策を解説します。
公表されている漏洩・不正ログインの事例
企業が公式に発表した事例のうち、ID・パスワードや管理者権限が関わったものを挙げます。いずれも各社の公表内容に基づくものです。
事例1：委託先の管理者アカウントが侵入口になったケース
2025年10月にランサムウェア被害を受けたアスクル株式会社は、2025年12月12日に公表した調査結果で、攻撃者が認証情報を窃取し不正に使用したと推定しています。報道によれば、業務委託先が使用していた管理者アカウントの認証情報が漏洩し、多要素認証が適用されていなかったことが侵入口になり、窃取したID・パスワードでVPN経由で社内ネットワークに侵入されました。流出した情報は、取引先や役員・従業員の情報も含めて約74万件と報告されています（アスクル 第13報、IT Leaders）。
この事例の要点：自社の従業員のアカウントではなく、委託先が使っていたアカウントが起点でした。自社内の管理が行き届いていても、外部に発行したアカウントが同じ基準で管理されていなければ意味がありません（委託先・ベンダーアカウントの管理）。
事例2：使い回されたパスワードによるリスト型攻撃
2025年6月20日、パルグループの株式会社パルは、通販サイト「PAL CLOSET」で6月15日に発生した不正ログインについて、リスト型攻撃によるものと推測されるとし、約172万件の不正ログイン試行のうち19万4,307件で不正ログインされたと公表しました。会員の氏名・住所・電話番号等が掲載された会員情報ページが閲覧されたおそれがあると報告されています（株式会社パルの公表）。
この事例の要点：攻撃者はパスワードを推測していません。他社から漏れた正しい組み合わせを、そのまま試しているだけです。パスワードを複雑にしても対処できない経路です（リスト型攻撃）。
事例3：管理者権限の奪取による事業停止
2025年9月にサイバー攻撃を受けたアサヒグループホールディングスは、グループ内の拠点にあるネットワーク機器を経由して主要なデータセンターに侵入され、パスワードの脆弱性を突かれて管理者権限を奪取されたと報告しました。ランサムウェアによりシステムが停止し、2026年2月18日時点で取引先関係者と従業員の情報、合わせて約11万5,000件の漏えいが確認されています（アサヒグループホールディングスの公表）。
この事例の要点：侵入そのものより、侵入後に管理者権限まで到達できたことが被害を決定づけています（権限管理・最小権限の原則、Windows Serverの特権アカウント管理）。
公的統計を含めた主要インシデントの年表と出典は 不正アクセス・ランサムウェア被害の統計と実例【2026年版】にまとめています。
事例に共通していること
- 事例1では、多要素認証が適用されていなかった委託先の管理者アカウントが侵入口になった
- 事例1・3では、権限の大きいアカウント（委託先の管理者アカウント・奪取された管理者権限）が使われている
- 事例1・2では、攻撃者は正しいID・パスワードで、正規の入口から入っている
- ウイルス対策ソフトや境界防御では止まらない経路が使われている
ID・パスワードはなぜ漏洩するのか
ID流出（ID・パスワードが第三者の手に渡ること）が起きる経路は、主に次のようなものがあります。
- フィッシングメール・偽サイトによる詐取 — 本人が正しく入力してしまうため、パスワードの強度では対処できません（フィッシングによるID・パスワード窃取）
- 別サービスから流出したID・パスワードの使い回し — 個人利用のサービスの漏洩が、業務システムの入口になります
- ダークウェブで売買される漏洩データベース — 過去に漏れた認証情報が長期間流通し続けます
- マルウェアによる端末内の認証情報の窃取 — ブラウザに保存されたIDとパスワードがまとめて持ち出されます
- 機器の脆弱性の悪用 — VPN機器などの弱点から、認証情報を含む内部情報が抜かれます（VPN機器の脆弱性・社内Wi-Fiの入口）
- 端末の紛失・盗難 — 保存された認証情報とログイン状態がそのまま渡ります（持ち出し端末のID管理）
これらは自社の対策とは無関係に、取引先や利用しているサービス側から漏れるケースも多くあります。漏れることがある前提で、漏れたパスワードだけでは入れない形にしておくと、考えることが減ります。パスワードの強度で対処できるのは、機械的に試される総当たり攻撃だけです。
漏洩はどうやって発覚するのか
事例を見ると、多くの企業は自社の監視で気づいていません。実際の発覚経路は次のようなものです。
- 業務が止まって初めて分かる — ランサムウェアでファイルが開けなくなる、システムが停止する
- 取引先や顧客からの連絡 — 「あなたの会社名でおかしなメールが届いた」という指摘
- 攻撃者からの通告 — 身代金要求のメッセージが最初の通知になる
- ログの事後確認 — 別の調査の過程で、過去の不審なログインが見つかる
つまり、「今のところ何も起きていない」ことは、漏洩していない証拠にはなりません。異常の兆候を自ら見つける方法は ログインの異常をどう見つけるか、記録の残し方は アクセスログの監査で解説しています。
漏洩後に起こりうる被害
漏洩したID・パスワードを使い、攻撃者が正規の利用者になりすましてPCやサーバーにログインすると、次のような被害につながります。
- 会計データ・顧客情報・給与情報など重要データの窃取
- ランサムウェアの設置による業務停止・身代金要求
- 取引先へのなりすましメール送信（サプライチェーン攻撃）
- 社内システムの改ざん・破壊
- 個人データが含まれる場合の報告・通知義務への対応
特にサーバーは会計・顧客・給与などの重要情報が集約されやすく、侵入された場合の影響が大きくなる傾向があります。被害の全体像と初動の手順は パスワードが漏洩したらどうなる？企業への影響と初動対応で詳しく整理しています。
今すぐ確認すべき対策
1. パスワードのみに依存したログインになっていないか
Windows PCやWindows Serverへのログインが、ID・パスワードのみで完結している場合、パスワードが漏洩した時点で不正ログインを止める手段がなくなります。 Windows OSログインの2要素認証を導入することで、この状態を解消できます。
2. 多要素認証（MFA）の導入状況
ハードウェアキーやソフトウェアキーによる多要素認証を導入していれば、パスワードが漏洩しただけでは突破されません。詳しくは 多要素認証（MFA）とは？の解説記事もあわせてご覧ください。
3. 管理者アカウントの共有をしていないか
管理者IDを複数人で共有していると、漏洩経路の特定が難しくなり、被害拡大のリスクも高まります。個人ごとにIDを発行することが望まれます（共有アカウントの廃止）。
4. 委託先・ベンダーに発行したアカウントを把握しているか
事例1の通り、侵入口は自社の従業員のアカウントに限りません。外部に発行したアカウントが、いくつあり、誰が使い、いつまで有効なのかを把握できていない状態は、そのまま侵入経路になります（委託先・ベンダーアカウントの管理）。
5. 使われていないアカウントが残っていないか
退職者のアカウントや、一時的に作って放置されたアカウントは、誰も使っていないため不正に使われても気づかれません。棚卸しは費用をかけずにできる対策です（退職者アカウントの削除、アカウントの棚卸し）。
取引先や委託先を経由するサプライチェーン攻撃も、多くはID・パスワードの窃取が起点になっています。
普段の管理が楽になると何が変わるか
上の5つは、どれも「いま、どのアカウントで、どのPCに、誰が入っているか」が分かれば確かめやすくなります。ログイン記録を1か所で見られるようにしておくと、退職者や委託先のアカウントが使われていないかを、各PCのログを開いて回らずに画面で絞り込めます。取引先のチェックシートで「委託先のアカウントをどう管理していますか」と聞かれたときも、ログイン記録をCSVで出してそのまま見せられます。事例のような発覚の遅れも、普段から記録を見られる状態にしておけば、自社で先に気づける場面が増えます。
よくある質問
Q. ウイルスに感染していなければ安全ですか？
A. いいえ。近年の企業への不正アクセス被害には、ウイルスファイルの実行を伴わず、漏洩したID・パスワードを使った正規ログインの形で発生しているものが少なくありません。ウイルス対策だけでは止められません。
Q. 自社で気をつけていれば漏洩は起きませんか？
A. 完全には避けられません。ID・パスワードの漏洩は、フィッシングや使い回しのほか、取引先や利用しているサービス側から漏れるケースもあり、自社のセキュリティ対策とは無関係に発生することがあります。公表事例でも、委託先が使っていたアカウントが侵入口になったケースがあります。
Q. 実際の漏洩事例に共通点はありますか？
A. この記事で挙げた事例では、多要素認証が適用されていなかった委託先の管理者アカウントが侵入口になったり、他から漏れたとみられる正しいID・パスワードで正規の入口からログインされたりしています。侵入後に管理者権限まで奪われた事例もあります。
Q. 漏洩したことにどうやって気づけますか？
A. 多くの企業は自社の監視では気づかず、業務停止・取引先からの連絡・攻撃者からの通告で初めて把握しています。ログインの記録を残し、普段と異なる時間帯・場所からのアクセスを確認できる状態にしておくことが、自ら気づくための前提になります。
Q. パスワードが漏洩すると、具体的にどのような被害がありますか？
A. 会計データ・顧客情報・給与情報などの窃取、ランサムウェアの設置による業務停止・身代金要求、取引先へのなりすましメール送信、社内システムの改ざん・破壊などにつながる可能性があります。個人データが含まれる場合は、報告・通知の義務への対応も発生します。
Q. 多要素認証を導入していれば、パスワード漏洩は問題になりませんか？
A. ハードウェアキーやソフトウェアキーによる多要素認証を導入していれば、パスワードが漏洩しただけでは突破されません。あわせて管理者アカウントの共有をやめ、個人ごとにIDを発行すること、委託先に発行したアカウントも同じ基準で管理することが重要です。
自社の状況をまず把握する
以上のような対策ができているかどうかは、自社の運用を一度書き出してみないと分かりません。applippliの無料棚卸しでは、10問・約3分に答えるだけで、ログインまわりでいま何をやっていて、何が手つかずのまま残っているかが項目ごとの一覧になります。 （ SCS評価制度については、こちらの記事で別途解説しています。）
出典
- アスクル株式会社「ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（ランサムウェア攻撃によるシステム障害関連・第13報）」（2025年12月12日）
- IT Leaders「アスクル、ランサムウェア被害の調査結果を公表─原因は委託先アカウントの漏洩」
- 株式会社パル「6/15に発生した不正ログインについてのご報告」（2025年6月20日）
- アサヒグループホールディングス「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日）
記事中の事例の事実関係は、上記の公表内容（2026年11月12日時点で確認）に基づきます。
※ 掲載した事例は各社が公表した内容に基づきます。分類・要点の整理は当サイトによるもので、各社の公式見解ではありません。最新の状況は各社の発表をご確認ください。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。