ジャーナリストの石川温氏のもとに、ある日突然、性的な行為を強要する脅迫メールが100通以上も届いた。発信元は自身のメールアドレスで、パスワードが漏洩したことを示していた。この事件の背景には、大手プロバイダ「@nifty（ニフティ）」への不正アクセスがあり、最大186万人のパスワードが流出した可能性がある。
不正アクセスの全容と被害規模
KDDIの発表によると、ISP事業者向けに提供しているメールシステムへの不正アクセスにより、電子メールアドレスが1223万3087名分、パスワードが761万6173名分漏洩した。ニフティやビッグローブ（BIGLOBE）のユーザーが主な被害者で、特に古くからインターネットを利用している人が影響を受けやすいとみられる。
石川氏は中学生の頃に取得したニフティのアカウントを長年放置しており、漏洩したパスワードでログイン可能なサイトは、ほとんど使っていないものばかりだった。銀行や証券などの重要なサイトは含まれておらず、直接的な金銭被害は免れたが、脅迫メールの心理的衝撃は大きかったという。
脅迫メールの実態とその嘘
届いたメールは「あなたのパソコンをハッキングした。性的な動画を撮影した」などと脅し、金銭を要求する内容だった。しかし、石川氏が調べたところ、これらの主張はすべて虚偽であることが判明。Gemini（GoogleのAI）も同様に「すべて嘘」と断定している。犯人は漏洩したパスワードを使ってメールを送信しただけで、実際に端末を乗っ取ったわけではない。
関係者への取材によると、「ニフティやビッグローブは古くからプロバイダとしてサービスを提供しており、システムが老朽化していた。セキュリティ対策が十分でなかったようだ」という。このため、古いアカウントを持つユーザーほどリスクが高かった。
パスワード管理の時代錯誤を捨てよ
本件は、パスワードの使い回しや単純なパスワード管理の危険性を改めて浮き彫りにした。石川氏は「もうパスワードを覚える時代ではない」と強調する。現在では、iPhoneの「パスワード」アプリやGoogle パスワードマネージャーが、新規登録時に強力なパスワードを自動生成し、記憶してくれる。これらを活用すれば、使い回しを避けられ、漏洩リスクを大幅に低減できる。
さらに、すべてのネットサービスで多要素認証（MFA）を導入することが重要だ。銀行や証券、SNSはもちろん、メールサービスにも設定すべきである。最近では、指紋認証や顔認証を使った「パスキー」に対応するサイトも増えており、パスワード不要で安全にログインできる。
今すぐ取るべき具体的な対策
まず、iPhoneの「パスワード」アプリやGoogle パスワードマネージャーを開き、自分のパスワードがどれだけ使い回されているか、漏洩しているかを確認しよう。漏洩が確認されたら、すぐにパスワードを変更し、可能な限り多要素認証を有効にする。
IDとパスワードの漏洩は、もはや日常的に発生している。自分で覚える管理は諦め、パスワード生成アプリに任せることが最も安全な道だ。東洋経済Tech×サイバーセキュリティでは、サイバー攻撃やセキュリティの最新動向を引き続き発信していく。
