1億8300万件のアカウント情報窃盗犯による漏洩

サイバーセキュリティアナリストは、史上最大規模の認証情報漏洩の一つとされる事態を明らかにしました。Gmailアカウントに紐付けられた数千万件を含む、1億8,300万件以上のメールパスワードが、膨大なデータの中から流出しました。2025年10月にオンラインで公開されたこの漏洩は、「インフォスティーラー」と呼ばれるマルウェアネットワークから1年間かけて収集された3.5テラバイトの盗難認証情報で構成されています。

データの収集方法

盗まれた情報は、感染したデバイスからユーザー名、パスワード、ウェブサイトのアドレスを密かに盗み出すように設計されたマルウェアであるインフォスティーラープラットフォームから発信されました。研究者らは、漏洩情報にはスティーラーのログとクレデンシャルスタッフィングリストの両方が含まれていることを確認しました。これらは、サイバー犯罪者が利用するアンダーグラウンドのマーケットプレイスやTelegramチャンネルで日常的に流通しています。

コレクションに関する重要なポイント:

• このデータセットには 1 億 8,300 万の固有アカウントが含まれており、そのうち約 1,640 万の電子メール アドレスは侵害で初めて登場したものだ。
• ほとんどのエントリは以前の漏洩から再利用されましたが、新たに侵害された数百万の Gmail アカウントは、アクティブなユーザーの資格情報と一致することが確認されました。
• 漏洩は Gmail だけでなく、Outlook、Yahoo、その他数百の Web サービスにも及んでいます。

重要なのは、Gmail自体が直接ハッキングされたわけではないということです。ユーザーのデバイスに侵入したマルウェアがログイン認証情報を取得し、それがこの巨大なデータベースに蓄積されたのです。

本当の脅威：認証情報の再利用

この暴露は、複数のプラットフォーム間でのパスワードの再利用の危険性を浮き彫りにしました。サイバー犯罪者は、盗んだ認証情報を悪用し、クレデンシャルスタッフィング（複数のサービス間で侵害されたユーザー名とパスワードの組み合わせをテストする自動プロセス）を通じて、被害者のデジタルライフに侵入する可能性があります。

セキュリティ専門家によると：

• 多くの被害者は、銀行、クラウド ストレージ、ソーシャル メディアのパスワードを知らないうちに再利用しています。
• 盗まれた認証情報は何年もフォーラムに再び現れることが多く、ハッカーに繰り返し悪用される機会を与えてしまいます。
• この攻撃は、追加の保護なしにブラウザにパスワードを保存することに依存することがなぜ危険であるかを示しています。

Googleの対応とベストプラクティス

Googleは、数百万人のユーザーに影響を与えるGmailの侵害に関する報道は正確ではないと強調した。この混乱は、Googleのインフラへの直接的な攻撃ではなく、進行中の認証情報窃盗行為を誤解したことに起因している。

当社では以下のセキュリティ対策を推奨しております。

• すべてのアカウントに対して 2 段階認証 (2FA) を有効にします。
• パスワードよりも強力で安全な代替手段としてパスキーを採用します。
• 資格情報が大規模に侵害されたことが判明した場合は、直ちにパスワードをリセットしてください。

世界中のサイバーセキュリティの専門家は、影響を受けたユーザーに迅速な行動を促しています。1億8,300万人のユーザーは、すぐにメールのパスワードを変更し、多要素認証を有効にする必要があります。

マルウェアによる認証情報の盗難を防ぐ

漏洩した認証情報のほとんどは、次の方法で収集されたと考えられます。

• 偽のソフトウェアのダウンロード
• フィッシング添付ファイル
• 悪意のあるブラウザ拡張機能

被害者は感染に気付いていないことが多く、積極的なサイバーセキュリティ対策の重要性が浮き彫りになっています。

予防策としては次のようなものがあります。

• セキュリティソフトウェアを最新の状態に保つ
• 信頼できるソースからのみソフトウェアをダウンロードする
• 複数のアカウント間でのパスワードの共有を避ける

専門家は、攻撃者がこれらの認証済み認証情報を数ヶ月、あるいは数年にわたって販売し、武器化し続ける可能性があると警告しており、警戒を怠ることはできない。今回のデータ流出の規模は前例のないものだが、真のリスクは油断から生まれる。

重要なポイント

この漏洩はGmailへの直接的な侵害ではなく、マルウェアに感染したデバイスから盗まれた認証情報の集合体であることを理解することが重要です。パスワードの再利用と、盗まれたデータがアンダーグラウンド市場で継続的に流通していることが主な原因で、数百万人のGmailユーザーが影響を受けました。

迅速な対応が不可欠です。影響を受けたユーザーは、遅滞なくパスワードを変更し、多要素認証を有効にする必要があります。最終的には、ソフトウェアを最新の状態に保つこと、信頼できるソースからのみダウンロードすること、複数のアカウントでパスワードを使い回さないことなど、予防が最も効果的な防御策となります。