パスワードが平文で盗まれるとは？　公式の発表と資料の文で読む

不正アクセスの発表に「パスワード」が入っていても、それが「そのまま読める形（平文）」だったのか、「暗号化」だったのか、「ハッシュ」だったのかで、漏れたあとの危うさは変わります。

この記事では、まず平文・暗号化・ハッシュの違いを公式の資料の文で説明し、次に、盗まれた情報にパスワードが入っていた12社・団体の発表から、保存の形について書かれた文を抜き出します。最後に、使っている人と運営する側がすることを、公式の資料の文で並べます。

かぎかっこの中は、各社の発表や資料の文そのままです（改行と空白だけ詰めています）。英語の資料は原文を載せ、このサイトの訳を添えています。各社の対応について、このサイトでは言い換えも、良し悪しの評価もしていません。

1. 平文・暗号化・ハッシュの違い
2. 各社の発表に書かれていた保存の形
3. 発表の中の「ほかのサービスのパスワード」へのお願い
4. 使っている人がすること
5. 運営する側がすること

1. 平文・暗号化・ハッシュの違い

サービスにパスワードを登録すると、サービスの側はログインのたびに照らし合わせるため、何らかの形でそれを持っておきます。その持ち方は大きく3つに分かれます。どの形かで、盗まれたあとに起きることが変わります。

例：パスワードを「sakura2026」で登録したとき、サービスの側に入る値

同じパスワード（「sakura2026」は説明のための架空のものです）でも、保存の形によって、サービスのデータベースに入る値と、盗んだ人にできることがまったく違います。下の値は、この記事のために手元のパソコンで実際に計算したものです。

手元のパソコンで測ると、ソルトなしの SHA-256 は10万回の計算が約0.05秒で終わったのに対し、bcrypt（強さ12）は1回の計算に約0.23秒かかりました。片っ端から試す人にとっては、1つの候補を試す時間が数十万倍に延びる計算です（パソコンの性能で変わります）。

この3つの形の説明の根拠は、次の公式の資料の文です。

平文：盗まれたら、そのまま使われる

IPA（情報処理推進機構）は、ウェブサイトの運営者向けの資料で、保存したパスワードが漏れたときのことを次のように書いています。

「ウェブサイト内で保管したパスワードがSQLインジェクション攻撃などにより外部に漏洩した場合、パスワードリスト攻撃等の不正ログインに悪用される可能性が高くなります。」

IPA「安全なウェブサイトの作り方 改訂第7版」（2.5 パスワードに関する対策）

“Passwords should never be stored in plain text.”

（このサイトの訳）「パスワードは決して平文で保存してはいけません。」

OWASP Cheat Sheet Series「Password Storage Cheat Sheet」（Introduction）

暗号化：鍵があれば元に戻せる

暗号化は、あとで元に戻すための仕組みです。パスワードの保存の仕方をまとめた OWASP（ウェブのセキュリティの国際的な非営利団体）の資料は、次のように書いています。

“Since encryption is a two-way function , attackers can retrieve the original plaintext from the encrypted data.”

（このサイトの訳）「暗号化は双方向の関数なので、攻撃者は暗号化されたデータから元の平文を取り出せます。」

OWASP Cheat Sheet Series「Password Storage Cheat Sheet」（Hashing vs Encryption）

個人情報保護委員会は、漏えいしても報告がいらない「高度な暗号化」に当たる条件として、暗号の強さだけでなく、元に戻すための鍵の管理を挙げています。

「暗号化等の技術的措置が講じられた情報を見読可能な状態にするための手段が適切に管理されているといえるためには、①暗号化した情報と復号鍵を分離するとともに復号鍵自体の漏えいを防止する適切な措置を講じていること、②遠隔操作により暗号化された情報若しくは復号鍵を削除する機能を備えていること、又は③第三者が復号鍵を行使できないように設計されていることのいずれかの要件を満たすことが必要と解されます。」

個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ」（Q6-19）

ハッシュ：元に戻せない。ただし弱いパスワードは当てられる

「このため、万一パスワード情報が漏洩した場合でも直ちに悪用されることのないように、パスワードを保護した形で保管します。」

「この目的のためには、パスワードのハッシュ値（暗号論的ハッシュ関数により計算）の形で保管することが一般的に行われています。」

「ハッシュ値から平文文字列を復元することは一般的には困難ですが、弱いパスワードの場合は辞書攻撃により元のパスワードを復元できてしまいますし、複数の同じハッシュ値を探すことで、同一の弱いパスワードをつけているアカウントを簡単に見つけることができてしまいます。」

IPA「安全なウェブサイトの作り方 改訂第7版」（2.5 パスワードに関する対策）

“Even if an attacker obtains the hashed password, they cannot use it to log in as the victim.”

（このサイトの訳）「攻撃者がハッシュ化されたパスワードを手に入れても、それを使って被害者としてログインすることはできません。」

OWASP Cheat Sheet Series「Password Storage Cheat Sheet」（Hashing vs Encryption）

送るときの形も別にある

ここまでは保存の形の話です。ログインの画面からサーバーへ送る途中で読まれないかは、通信の暗号化（https）の話で、保存の形とは別です。

「通信や情報が暗号化されていない場合、盗聴によって取得された情報が悪用され、なりすまし等につながる可能性があります。」

「パスワードでログインするページや、個人情報を登録するページ、また、秘密にするべき情報を表示する画面のページは、https://で始まるURLとして、通信経路を暗号化することをお勧めします。」

IPA「安全なウェブサイトの作り方 改訂第7版」（2.3 ネットワーク盗聴への対策）

2. 各社の発表に書かれていた保存の形

このサイトに収録した事件のうち、漏えいした（またはそのおそれがある）情報にパスワードが入っていたのは12社・団体です。そのうち、パスワードの保存の形が発表に書かれていたのは11件でした。見出しは、発表の文にある言葉で分けただけです。

2-1. 「ハッシュ」「復元できない形式」と書かれた発表

2-2. 「暗号化」と書かれた発表

2-3. 「ハッシュ」と「暗号化」の両方の言葉がある発表

2-4. 保存の形が書かれていなかった発表

2026年10月16日に読んだ時点の発表の本文に、「ハッシュ」「暗号」「復元」「平文」「元に戻」のどの言葉も無かったものです。

3. 発表の中の「ほかのサービスのパスワード」へのお願い

同じパスワードをほかのサービスでも使っている人に、そちらの変更を呼びかける文があったのは、次の8件です。

4. 使っている人がすること

使う側からは、サービスがパスワードをどの形で保存しているかは選べません。どの形で漏れても困らないようにしておくのが、使う側にできることです。総務省の「国民のためのサイバーセキュリティサイト」は、次の3つを挙げています。

ほかのサービスと同じパスワードにしない

「パスワードはできる限り、複数のサービスで使い回さないようにしましょう。」

「サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています。」

総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」

「なお、各サービスごとに異なる充分に安全なパスワードを覚えておくのは大変なので、パスワードを覚える必要のない、パスワード管理ツールを使うことも推奨されます。」

総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」

例：ネットショップは「sakura2026」、銀行は「sakura2026bank」のように、末尾だけ変えるのも避けます。1つが漏れると、ほかも予想されやすくなるためです。パスワード管理アプリに、サービスごとにでたらめな長い文字列を作らせて覚えさせるのが手軽です。

2段階認証・多要素認証を使う

パスワードのほかにもう1つ確かめる仕組みがあれば、パスワードが漏れても、それだけではログインされにくくなります。例：パスワードを入れたあと、スマホの認証アプリに出る6桁の数字（30秒ごとに変わる）を入れる。盗んだ人は「sakura2026」を知っていても、そのスマホが無ければ入れません。

「さらに、可能であれば多要素認証を活用して、ログイン時のセキュリティを強化します。」

「多要素認証は、パスワード以外の認証方法（例えば、ショートメッセージで送られた数字を入力する、など）を追加することで、不正アクセスを防ぐ効果があります。」

総務省 国民のためのサイバーセキュリティサイト「サイバーセキュリティ初心者のための三原則」

「利用者認証を2回に分けて行うもの。」

「一方、異なる要素を組み合わせて2回認証を行う場合は二要素認証とも言います。」

「同じ要素2回よりは異なる要素2回の方がセキュリティレベルは高くなります。」

総務省 国民のためのサイバーセキュリティサイト「用語集（な行）」（二段階認証）

漏れたと知らされたら、すぐ変える

「実際にパスワードを破られアカウントが乗っ取られる等のサービス側から流出した事実がない場合は、パスワードを変更する必要はありません。」

「また、日本においても、内閣サイバーセキュリティセンター（NISC）から、パスワードを定期変更する必要はなく、流出時に速やかに変更する旨が示されています」

総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」

漏れたサービスだけでなく、同じパスワードを使っていたほかのサービスも変えます。

5. 運営する側がすること

保存はソルト付きのハッシュで、計算を遅くする

IPA の資料（2015年3月の改訂第7版）は、利用者ごとに違う文字列（ソルト）を足してからハッシュにすることと、計算をわざと遅くすること（ストレッチング）を挙げています。1章の表でいえば、いちばん下の bcrypt の形です。データベースに sakura2026 や、鍵で戻せる VEOI67wtn59aZbWtQUdMZQ== のような値が入っていたら、作り直しが必要です。

「したがって、このようなソルト付きハッシュ値の形でパスワードを保管することをお勧めします。」

「そのような遅いハッシュ関数を実現する一つの方法として、ハッシュ値をさらにハッシュ関数にかける計算を繰り返し行う方法があり、この方法はストレッチングと呼ばれています。」

「パスワードをサーバ内で保管する際は、平文ではなくソルト付きハッシュ値の形で保管する」

IPA「安全なウェブサイトの作り方 改訂第7版」（2.5 パスワードに関する対策）

どの計算方法を使うかは、新しい資料が具体的に挙げています。

“Instead, they must be protected using strong, slow hashing algorithms such as Argon2id, bcrypt, or PBKDF2.”

（このサイトの訳）「代わりに、Argon2id、bcrypt、PBKDF2 のような、強く遅いハッシュのアルゴリズムで守らなければなりません。」

OWASP Cheat Sheet Series「Password Storage Cheat Sheet」（Introduction）

“Verifiers SHALL store passwords in a form that is resistant to offline attacks. Passwords SHALL be salted and hashed using a suitable password hashing scheme.”

（このサイトの訳）「検証者（ログインを確かめる側）は、パスワードをオフラインの攻撃に耐える形で保存しなければならない。パスワードは、適切なパスワードハッシュ方式を使い、ソルトを付けてハッシュ化しなければならない。」

NIST Special Publication 800-63B（SP 800-63-4 版）（3.1.1.2 Password Verifiers）

暗号化で保存している場合、報告のいらない「高度な暗号化」に当たるかどうかは、1章の個人情報保護委員会の文のとおり、鍵の管理にもよります。

送るときは暗号化した通信路で

“Verifiers and CSPs SHALL use approved encryption and an authenticated protected channel when requesting passwords.”

（このサイトの訳）「検証者と CSP（認証の仕組みを提供する事業者）は、パスワードを求めるとき、承認された暗号化と、認証され保護された通信路を使わなければならない。」

NIST Special Publication 800-63B（SP 800-63-4 版）（3.1.1.2 Password Verifiers）

定期的な変更を強いず、漏れたものは使わせない

“Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically. However, verifiers SHALL force a change if there is evidence that the authenticator has been compromised.”

（このサイトの訳）「検証者と CSP は、利用者に定期的なパスワードの変更を求めてはならない。ただし、認証の手段が破られた証拠があるときは、検証者は変更を強制しなければならない。」

“When processing a request to establish or change a password, verifiers SHALL compare the prospective secret against a blocklist that contains known commonly used, expected, or compromised passwords.”

（このサイトの訳）「パスワードの設定や変更の依頼を処理するとき、検証者は、新しいパスワードを、よく使われる・予想されやすい・漏えいしたことが知られているパスワードを入れた禁止リストと照らし合わせなければならない。」

NIST Special Publication 800-63B（SP 800-63-4 版）（3.1.1.2 Password Verifiers）

漏れたら：個人情報保護委員会への報告

個人情報保護委員会のガイドラインは、報告が必要な場合の例に、ログイン ID とパスワードの組み合わせの漏えいを挙げています。あわせて、高度な暗号化などで守られていれば報告はいらないとしています（その条件は1章の Q&A の文）。

「送金や決済機能のあるウェブサービスのログインIDとパスワードの組み合わせを含む個人データが漏えいした場合」

「漏えい等が発生し、又は発生したおそれがある個人データ又は個人情報について、高度な暗号化等の秘匿化がされている場合等、「高度な暗号化その他の個人の権利利益を保護するために必要な措置」が講じられている場合については、報告を要しない。」

個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（3-5-3-1）

この記事について

• 各社の文は、2026年10月16日に公式の発表を読んだ時点のものです。続報で書き足されたら、この記事も直します。
• 収録した事件のうち、漏えいした（またはそのおそれがある）情報の一覧にパスワードが入っていたものだけを読んでいます。全国の全事件ではありません。
• IPA・総務省・個人情報保護委員会・NIST・OWASP の文は、2026年10月16日に各ページを読んだ時点のものです。英語の訳はこのサイトの訳です。
• 各事件の経過・影響・利用者への呼びかけは、それぞれの事件のページにあります。