「パスワードが1つ漏れただけ」と考えがちですが、会社のID・パスワードが漏れると、影響は個人アカウントにとどまらないことがあります。
情報の流出、業務の停止、取引先への影響、個人情報保護法上の報告義務が重なることもあります。この記事では、最初にやること、起きること、確認方法、時間ごとの初動、やってはいけない対応を順に扱います。落ち着いて順番に進められるよう、手順を先に置いています。
パスワードが漏洩したら最初にやること
迷ったら、まずこの3つです。
最初の3つ
- 1
変更・一時停止
端末はネットから切り離す（電源は切らない）
- 2
使い回しを洗い出す
PC・サーバー・クラウド・管理者アカウントも
- 3
ログを残す
誰のIDで・いつ・どこに入られたか
時間ごとの詳しい手順は、下の「漏洩に気づいたときの初動対応」にまとめています。
パスワードが漏洩すると何が起きるのか
攻撃者は正規の利用者になりすまし、PCやサーバーに直接ログインできます。システムから見れば「正しいパスワードでの正常なログイン」です。影響は4つの面に分かれます。
影響1：重要情報の流出
会計データ、顧客情報、給与情報、見積書や図面などが盗まれます。暗号化の前に外部へコピーし「払わなければ公開する」と脅す二重脅迫（ダブルエクストーション）が一般化しています。
バックアップから復旧できても、流出そのものは取り消せません。
影響2：ランサムウェアによる事業停止
侵入後に管理者権限を奪われ、サーバーのデータを暗号化されます。実害の大きさは「漏れたこと」より「業務が止まること」で決まります。受発注・出荷・請求が止まれば、復旧までの日数がそのまま売上の損失です。
権限を奪われる経路は権限管理（最小権限の原則）とWindows Serverの特権アカウント管理で整理しています。
影響3：取引先への二次被害
盗まれた認証情報が、取引先や委託先への侵入の踏み台にされます（サプライチェーン攻撃）。被害者であると同時に、加害の起点になってしまうのが厄介な点です。
影響4：金銭的・法務的な負担
費用は、身代金の有無と関係なく積み上がります。
- 調査費用 — 侵入経路と範囲を特定するフォレンジック調査（目安は不正アクセスの被害額）
- 復旧費用 — サーバー・端末の再構築、システムの再導入
- 通知・対応費用 — 本人への通知、問い合わせ窓口の設置
- 損害賠償 — 流出した本人や、二次被害を受けた取引先からの請求
- 信用の失墜 — 取引の見直し、入札参加資格や取引基準への影響
使い回しを悪用したリスト型攻撃も増えており、影響は漏れたシステム1つに閉じません。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
なぜパスワードは漏洩するのか
「複雑にしていれば漏れない」と思われがちですが、漏洩経路の多くはパスワードの強度と無関係です。
| 経路 | 内容 | 強度で止まるか |
|---|---|---|
| フィッシング | 偽のログイン画面に本人が入力してしまう | 止まらない（本人が正しく入力している） |
| 他サービスからの流出 | 使い回していた別サービスが漏洩し、そのIDとパスワードで試される | 止まらない |
| 機器の脆弱性 | VPN機器などの弱点を突かれ、認証情報を含む内部情報が抜かれる | 止まらない |
| 端末の紛失・盗難 | ブラウザやアプリに保存された認証情報がそのまま渡る | 止まらない |
| 総当たり・辞書攻撃 | 機械的にパスワードを試される | ある程度は止まる |
| 共有アカウント・退職者アカウント | 誰が知っているかを把握できていないIDが残り続ける | 止まらない（管理の問題） |
強度で止まるのは6つのうち1つだけ
なぜ気づきにくいのか
正規の利用者と同じ手順で入ってくるため、いつもの対策では見つけにくいのが特徴です。
- ウイルス対策ソフトでは検知しにくい — ウイルスファイルを実行しないので、検知の対象になる挙動が起きません
- すぐには動かない — 少しずつ持ち出したり、高い権限のアカウントを探して社内を移動したりします
- 発覚までに時間がたっている — 気づいた時点で範囲が広がっている前提で動く必要があります
異常の兆候の見方はログインの異常をどう見つけるかで整理しています。
自社のパスワードが漏洩していないか確認する方法
完全には確かめきれませんが、次の5つで兆候はつかめます。
- ログイン履歴・アクセスログ — 深夜・休日、普段と違う場所からのアクセス、短時間の大量のログイン失敗（アクセスログの監査）
- ブラウザやパスワード管理ツールの警告 — 保存したパスワードが既知の流出リストに含まれると警告する機能があります
- 使い回しの有無 — 個人利用のサービスと共通だと、個人側の漏洩が業務側の入口になります
- 共有アカウント・退職者アカウント — 誰が知っているか分からないIDは、漏れていないことを確かめる手段がありません（アカウントの棚卸し）
- 取引先や委託先からの連絡 — 取引先側の被害から逆に発覚することがあります
「確認して問題がなかった」は「漏洩していない」の証明になりません。確認は初動を早める手段で、対策の代わりにはなりません。
漏洩に気づいたときの初動対応
時間ごとにやることを先に決めておくと、当日に迷わずに動けます。
| タイミング | やること |
|---|---|
| 気づいた直後 | 該当アカウントのパスワードを即時変更し、可能であれば一時的に無効化する。侵入が疑われる端末はネットワークから切り離す（ただし電源は切らない） |
| 数時間以内 | 同じパスワードを使い回している他のアカウントを洗い出して同様に対処。管理者アカウントの利用状況を確認する |
| 当日中 | ログイン履歴・アクセスログを保全し、不正アクセスの痕跡と影響範囲を確認する。社内の報告ルートと責任者を確定させる |
| 数日以内 | 専門機関・セキュリティベンダーに相談し、必要な範囲の調査を依頼。個人データが関わる場合は報告義務の該当性を判断する |
| 再発させないために | 多要素認証を有効化し、パスワードのみではログインできない状態にする |
「パスワードを変える」だけで終わらせないでください。攻撃者が別のアカウントを作ったり、変更の影響を受けない経路を確保したりしていることがあります。
個人情報が含まれる場合の報告義務
技術的な復旧と並行して、法令上の期限がある手続きが走ります。
個人データの漏えい等で個人の権利利益を害するおそれがある場合、個人情報保護委員会への報告と本人への通知が義務です（2022年4月施行の改正法）。
- 速報：事態を把握した後「速やかに」
- 確報：原則30日以内（不正アクセスなど故意によるものは60日以内）
- 不正アクセスによる漏えいのおそれは、件数にかかわらず対象
誰が判断し誰が報告するかを先に決めておくと、ここで迷わずに済みます。参考に取引先や監査からアカウント管理を問われたとき、不正アクセス禁止法の基礎も見てください。報告の要否は、顧問弁護士や個人情報保護委員会の公表資料で確認してください。
やってはいけない対応
善意の行動が、被害の把握を不可能にすることがあります。
- 端末を初期化・再インストールする — 証拠が消え、「何が漏れたか分からない」状態が確定します
- ログを消す・上書きさせる — 保存期間が短ければ、放置するだけでも失われます
- 電源を切る — メモリ上の情報が失われます。ネットワークからの切り離しにとどめます
- 担当者個人で抱え込む — 報告義務には期限があります
- パスワード変更だけで完了とする — すでに確保された別の侵入経路には効きません
そもそも「漏れても入れない」状態にしておく
漏洩後の対応には費用と時間がかかります。普段のうちに備えておくと、いざというときの手間が大きく減ります。
あわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、漏れたパスワードが使われていないかを1台ずつ調べずに確かめられ、見覚えのない接続元にもその場で気づけます（複数台のPCのログを1か所に集める方法）。
パスワードだけ と 要素をもう1つ
パスワードだけ
- 漏れたらそのまま入られる
- 気づくのは被害のあと
多要素認証あり
- 盗まれただけでは入れない
- 上の表の「止まらない」経路の多くが止まる
詳しくは多要素認証が突破される経路、多要素認証（MFA）とは、PC・サーバーのログインならWindows OSログインの二要素認証をご覧ください。
実例はID・パスワード漏洩の実例と対策、統計と主要インシデントは不正アクセス・ランサムウェア被害の統計と実例、入口対策だけでは足りない理由はランサムウェア対策は入口対策だけでは不十分な理由で解説しています。報告義務の期限と対象は個人情報漏えいの報告義務と期限で整理しています。
普段の管理が楽になると何が変わるか
「このパスワード、漏れていませんか」と取引先や上司に聞かれたとき、ログイン記録が1か所にあれば、その日のうちに「いつ・誰が・どのPCから入ったか」をCSVで出して説明できます。1台ずつ社員の席を回ってログを集める必要はありません。
ログインの連続失敗やランサムウェアの前兆があるときだけLINEに届くので、何もない日は見に行かなくてよく、担当者が安心して休めます。社員から「ロックされた」と言われたときも、どのPCで誰が失敗したかをその場で確かめられます。
いまの運用を棚卸ししてみる
漏洩したときに何がどこまで波及するかは、いまのログイン運用によって大きく変わります。applippliの無料棚卸しでは、10問・約3分に答えるだけで、いま何をやっていて何が手つかずのまま残っているかが項目ごとの一覧になります。何から着手すべきかは 中小企業がやるべき不正アクセス対策チェックリストも参考になります。
よくある質問
Q. パスワードが1つ漏れただけなら大きな問題にはなりませんか？
A. いいえ。ID・パスワードが第三者に知られると、攻撃者は正規の利用者になりすましてPCやサーバーに直接ログインでき、重要情報の流出やランサムウェア被害、取引先への二次被害など、個人アカウントの乗っ取りにとどまらない影響につながる恐れがあります。使い回しがあれば、漏れた1つのパスワードで複数のシステムに到達されます。
Q. 自社のパスワードが漏洩しているかを確認する方法はありますか？
A. ログイン履歴・アクセスログの確認、ブラウザやパスワード管理ツールの流出警告、業務用パスワードの使い回しの洗い出し、共有アカウント・退職者アカウントの棚卸しが有効です。ただし「確認して問題がなかった」ことは「漏洩していない」ことの証明にはなりません。確認は初動を早めるための手段であり、対策の代わりにはなりません。
Q. なぜパスワード漏洩による不正ログインは気づきにくいのですか？
A. 正規の利用者と同じ手順でログインしてくるため、ウイルス対策ソフトでは検知しにくいという特徴があります。攻撃者が目立たないように少しずつ情報を盗み出したり、社内でより高い権限を探して移動したりすることもあり、気づいたときには既に影響範囲が広がっているケースもあります。
Q. 漏洩に気づいたら、まず何をすべきですか？
A. 該当アカウントのパスワードを即時変更・一時無効化し、侵入が疑われる端末はネットワークから切り離します。そのうえで同じパスワードを使い回している他のアカウントの洗い出し、ログイン履歴の保全と確認、多要素認証の有効化を速やかに行います。必要に応じて専門機関・セキュリティベンダーへの相談も検討してください。
Q. 漏洩したとき、行政への報告は必要ですか？
A. 個人データの漏えい等が発生し、個人の権利利益を害するおそれがある場合、個人情報保護法により個人情報保護委員会への報告と本人への通知が義務づけられています。報告は速報と確報の2段階で、確報は原則30日以内（不正アクセスなど故意によるものは60日以内）とされています。不正アクセスによる漏えいのおそれは件数にかかわらず報告対象となるため、具体的な要否は個人情報保護委員会の公表資料や顧問弁護士に必ず確認してください。
Q. やってはいけない対応はありますか？
A. 侵入が疑われる端末の初期化、ログの削除、電源の切断は、侵入経路と影響範囲を特定する証拠を失わせるため避けてください。「何が漏れたか分からない」状態になると、報告も取引先への説明もできなくなります。ネットワークからの切り離しにとどめ、担当者個人で抱え込まずに報告ルートに乗せることが重要です。
Q. 漏洩に備えて何が最も重要ですか？
A. 漏洩が起きてから対応するのではなく、漏洩しても、それだけでは侵入されない状態をあらかじめ作っておくことです。フィッシング・使い回し・機器の脆弱性・端末の紛失といった主な漏洩経路は、パスワードの強度では止まりません。多要素認証を導入していれば、パスワードが盗まれただけではログインできません（ただしフィッシングは、認証コードまで入力させる手口があるため方式によって効き方が変わります）。
会社全体の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。