データ漏えいのニュース：主張を確認し、アカウントを守る方法

データ漏えいの見出しを目にしたら、まず何が確認済みなのか、自分のアカウントが影響を受けているのか、どの情報が流出したのかを確かめましょう。犯罪者のフォーラムに書かれた主張は、その組織からの通知と同じではありません。一方、調査の詳細がすべて明らかになるのを待たなくても、使い回している認証情報を変更し、アカウントへのアクセスを保護することはできます。

これは長期的に使える対応ガイドであり、毎週の事件をリアルタイムに伝える情報源ではありません。特定の企業で新たに確認された漏えいが発生したと主張するものでもありません。

4つの日付と1つの証拠の状態を記録する

事件が発生した日、発見された日、公表された日、記事が更新された日を分けて考えましょう。古いデータセットが今日再投稿されたからといって、新たな侵入があったとは限りません。同様に、新たに公表された事件が、数か月前に起きたアクセスに関するものという場合もあります。

役立つメモには、次のような項目を含めます。

• 組織と公式通知： その企業自身のセキュリティページやサポートページへのリンク。
• 状態： 未確認の主張、調査中、確認済み、または訂正済み。
• 影響を受けた期間とアカウント： 公表された内容を正確に記録し、情報がなければ不明とする。
• データ項目： 氏名やメールアドレスと、パスワード、本人確認書類、支払い情報を区別する。
• 自分の対応と期限： 通知が推奨する措置と、それを完了した日時。

自分で確認するために、流出したデータベースをダウンロードしてはいけません。他人の個人情報、悪意のあるファイル、使い回された記録、捏造された項目が含まれている可能性があります。「漏えいチェッカー」に、現在使用しているパスワードを絶対に渡さないでください。

データ漏えいの主張を確認する方法

速報の漏えい報道は、不完全な証拠から始まることがよくあります。典型的な主張は、次の段階を経ます。

1. 脅威アクターが主張を投稿する。
2. 記者や研究者がそれを報じる。
3. 組織が調査する。
4. 組織、規制当局、またはその他の権威ある情報源が、主張を確認し、対象範囲を限定し、あるいは否定する。
5. 通知が必要な場合、特定された対象ユーザーに通知が届く。

報道を信じる前に、次の証拠の段階を参考にしてください。

証拠の段階	そこから分かること	取るべき対応
脅威アクターの主張	何らかの主張が存在する	負担の小さい予防策を取りつつ、詳細を事実として扱わない
サンプルやスクリーンショット	一部の資料が提示されている	慎重さを保つ。古いもの、改変されたもの、使い回されたものの可能性がある
独立した技術的検証	研究者が主張の一部を確認した	監視を強め、関連するアカウントを保護する
企業による公表	組織が事件の発生を認めている	公表された影響範囲と指示に従う
規制当局や裁判所への提出書類	正式な記録によって詳細が追加される	確認済みの漏えい範囲と救済措置を判断する材料にする
ユーザーへの直接通知	組織が自分を影響対象と特定している	推奨される手順を速やかに実行する

次のような報道には疑問を持ちましょう。

• 一次証拠がないのに、主張を確認済みと呼ぶ
• 犯罪者による掲載情報を、すべての記録が本物である証拠として扱う
• アカウント数と重複を除いた人数を混同する
• まだ不明なのに、特定のデータ項目が流出したと断定する
• 過去からの追跡集計を、1週間の漏えい件数として示す
• 情報源や公表日を省く

流出したデータに合わせて対応する

想定される被害は、関係するデータによって異なります。

データの種類	想定される被害	最初の対応
使い回したパスワード	複数サービスでのアカウント乗っ取り	使い回したすべての場所で変更する
メールの認証情報	パスワードのリセット、なりすまし、私的なメッセージへのアクセス	まずメールを保護し、不明なセッションを終了する
税務情報や本人識別情報	標的型フィッシングや個人情報を悪用した詐欺	通知を確認し、関連アカウントを監視する
銀行や支払いの情報	不正な取引	公式の窓口から事業者に連絡する
氏名、メール、電話番号	フィッシング、迷惑メッセージ、なりすまし	個人情報を持ち出してくる予期しない連絡を疑う
アカウント復旧情報	パスワードリセットの悪用	復旧方法や使い回した回答を更新する

攻撃者は、新しい情報を過去の漏えい情報と組み合わせることができます。税務記録がなくても、氏名、メールアドレス、税務サービスのアカウントがあるという知識だけで、説得力のあるフィッシングメッセージを作れる場合があります。

データ漏えいの後に行うこと

1. メールを保護する

メールは、他のアカウントへのアクセスをリセットするために使えます。

• 弱いパスワード、使い回したパスワード、流出したパスワードを、他では使わないものに変更する
• 多要素認証を有効にする
• 利用可能なら、パスキー、セキュリティキー、認証アプリを優先する
• 有効なセッションとログイン中の端末を確認する
• 見覚えのない復旧用メールアドレスや電話番号を削除する
• 転送ルールやフィルターに不正な変更がないか確認する

2. 流出したパスワードと使い回したパスワードを変更する

流出した、または流出が疑われるパスワードを使い回していた場合は、同じパスワードを使うすべてのアカウントで変更します。次の順序を優先しましょう。

1. メール
2. 金融・税務サービス
3. クラウドストレージ
4. メッセージングやソーシャルアカウント
5. 買い物や定期購読サービス

古いパスワードを少し変えるだけではいけません。パスワードマネージャーを使い、アカウントごとに異なる認証情報を作成してください。

3. 端末にマルウェアがないか確認する

サービスで漏えいが起きたからといって、端末がマルウェアに感染しているとは限りません。ただし、見慣れないソフトウェアや、端末が侵害された他の兆候も見られる場合は、次の対応を取ります。

• その端末を機密性の高いアカウントに使うのをやめる
• OSとセキュリティツールを更新する
• 信頼できるセキュリティスキャンを実行する
• 不審なソフトウェアやブラウザー拡張機能を削除する
• 安全な端末を使って重要なパスワードをリセットする
• 認証情報を変更した後、既存のセッションからログアウトする

感染した端末でパスワードを変更すると、新しいパスワードも流出する可能性があります。

4. 標的型フィッシングに注意する

次の内容を扱うメッセージには注意してください。

• 税金の還付や申告の誤り
• アカウントの停止
• 本人確認
• 緊急の書類ダウンロード
• アカウントを保護するために必要とされる支払い
• 心当たりのない多要素認証の要求

組織のアプリを自分で開くか、知っているアドレスを自分で入力してください。不審なメッセージにあるリンク、電話番号、連絡先情報は使わないでください。

5. 金融取引や本人情報に関わる動きを確認する

関連する銀行、カード、税務のアカウントに、心当たりのない動きがないか確認します。異常があれば、事業者の公式サイト、アプリ、明細書、支払いカードに記載された窓口から連絡してください。

次の資料のコピーを保管しましょう。

• 漏えい通知
• 不審なメッセージとメールヘッダー
• 取引記録
• 日付と時刻
• 受付番号や事件番号

頼んでいないのに連絡してきた相手へ、本人確認書類を送ってはいけません。すべての依頼を、独自に確認した公式の窓口で確かめてください。

6. 漏えい検索サービスを慎重に使う

信頼できる漏えい検索サービスは、メールアドレスが既知のデータセットに含まれているかを示せる場合があります。結果は手がかりとして扱い、最終的な証拠とは考えないでください。記載された事件を、影響を受けた組織や別の権威ある情報源で確認し、現在のパスワードを漏えいチェッカーに絶対に入力しないでください。

自分の地域に適した公的な復旧支援を利用する

FTCのデータ漏えいに関するガイダンス は、流出した情報に応じた対応を知るために、IdentityTheft.govを案内しています。これは米国の情報源です。通報、信用情報の保護、本人確認書類の再発行の手続きは、他の地域では異なります。どの国にも同じ救済策があると思い込まず、地域の担当機関や、確認済みの銀行の連絡先を利用してください。

すでに詐欺が起きている場合は、漏えい調査の終了を待たず、関係する事業者へ速やかに連絡しましょう。通知、取引の参照番号、受付番号は保管しつつ、自分の個人情報を公の場に再投稿しないでください。

E2EEがあれば、漏えいは無害になるのか？

いいえ。エンドツーエンド暗号化は、保護されたメッセージ内容へのアクセスを制限できますが、別のアカウントデータベースには識別子、認証記録、メタデータが含まれる場合があります。侵害された端末や読み取り可能なバックアップがあれば、漏えいの範囲も変わります。製品の一般的な暗号化の宣伝文句よりも、実際に影響を受けたシステムと鍵が重要です。

見出しを信じる前に確認したい質問

記録の件数は、影響を受けた人数と同じか？

必ずしも同じではありません。複数の記録が1人に関するものかもしれず、データセットには重複した資料や過去の資料が混在している場合もあります。発表者が使った単位を正確に用い、「記録」を「重複のない被害者数」に置き換えないでください。

漏えいの報道があるたびに、すべてのパスワードを変えるべきか？

影響を受けた認証情報と、それを使い回した場所を優先し、その後で関連するメールと復旧方法を保護しましょう。公式通知に従ってください。他では使わない無関係のパスワードが、別のサービスの事件によって自動的に流出するわけではありません。

流出した情報を完全に削除できるか？

コピーが出回り始めた後は、完全な削除を約束することはできません。無効化できる秘密情報を変更し、アカウントを保護し、悪用の兆候を監視してください。流出したすべてのコピーを消せると約束する有料サービスには注意が必要です。

予期しない漏えい通知が届いたら、どうすればよいか？

知っているアプリやウェブサイト、または独自に確認した電話番号から、その組織に連絡してください。メッセージ内のリンクからログインしたり、アカウントを「保護する」ための料金を支払ったりしないでください。CISAのセキュリティガイダンス は、フィッシングの見分け方、強固で使い回さないパスワード、多要素認証、ソフトウェア更新を推奨しています。