メールのパスワードが漏れたら？ そのアドレスで登録した家族のアカウントまで見直します

夜、実家の母からLINEが届きます。「プロバイダから『パスワードを変更してください』ってメールが来たけど、これ本物？」。翌日には、自分がよく使う通販サイトからも「個人情報の漏えいに関するお知らせ」が届いていました。

東京商工リサーチの集計では、上場企業とその子会社が公表した100万件以上の個人情報の漏えい・紛失事故は、2026年は10月5日時点で10件ありました。2025年は通年で6件です。お知らせを受け取ったら、何を読み、家族の誰のどのアカウントから手をつければいいのか。個人情報保護委員会や総務省、IPA（情報処理推進機構）の資料をもとに、2026年10月時点の情報で整理します。

お知らせで最初に読むのは「漏れた項目」の欄

個人情報が漏えいしたとき、一定の条件にあたれば、事業者は個人情報保護委員会への報告と本人への通知を法律で義務づけられています。条件は4つで、病歴などの要配慮個人情報を含む場合、不正に使われるとお金の被害が出るおそれがある場合、不正アクセスなど不正の目的によるおそれがある場合、本人の数が1,000人を超える場合です。

通知に書く内容は、委員会のガイドラインで決まっています。漏えいの概要、漏えいした（またはそのおそれがある）項目、原因、二次被害の有無、本人が自分の身を守るために取れる措置などです。様式は法令で決まっておらず、メールや郵便で届きます。

最初に読むのは項目の欄です。氏名や住所だけなのか、パスワードやクレジットカード番号まで含まれるのかで、することが変わります。国家サイバー統括室（旧・内閣サイバーセキュリティセンター）のハンドブックは、カード情報が漏れたらカード会社に連絡して番号を変えるよう勧めています。

報告や通知の義務は「漏えいのおそれ」の段階から生じます。アスクルは2026年7月、「外部への漏えいのおそれを否定できない」個人情報約60万件を追加で特定し、対象者に個別に案内すると発表しました。同社は、外部への漏えいや不正利用の事実は確認されていないとしています。お知らせに「おそれ」「可能性」と書かれているか、「確認」と書かれているかも、読むときの目印になります。

お知らせそのものが本物かどうかは、メールのリンクを使わずに確かめます。ふだん使っている公式アプリや、ブックマークしてある公式サイトから入り、同じ告知が出ているかを見ます。

プロバイダのメールで、2026年5〜6月に起きたこと

2026年5月16日から6月17日にかけて、KDDIがプロバイダ向けに提供しているメールシステムに不正アクセスがありました。対象はBIGLOBEメール、@niftyメール、J:COM NET、コミュファ光など6社のサービスです。KDDIが確認した漏えいは、メールアドレスが12,231,954名分（7月21日に訂正した人数）、そのうちパスワードが7,616,173名分です。auメールやUQ mobileメールは別の設備で、影響はないとされています。

総務省は7月29日、パスワードを手に入れた第三者によって「約762万人のユーザーのメールボックス内の情報が閲覧可能な事態」になっていたとして、通信の秘密の漏えいにあたると認定し、KDDIを文書で行政指導しました。実際に中身を見られたかどうかまでは書かれていません。

プロバイダの側でも対応が進みました。BIGLOBEはパスワードを変えていない利用者のパスワードをリセットし、ニフティは変更が確認できないアドレスのパスワードを順次無効にしています。実家の親が「急にメールが見られなくなった」と言っているなら、この措置でパスワードの再設定が必要になっている可能性があります。

メールのパスワードが漏れると、影響はメールの中身だけにとどまりません。通販サイトや銀行のアプリで「パスワードを忘れた」を押すと、再設定の案内はメールに届きます。メールボックスに入れる人は、そのアドレスで登録したほかのサービスにも入れるおそれがあります。

家族のアカウントは、どのメールアドレスにつながっていますか？

共働きの家庭では、通販やサブスク、学校からの連絡、子どものゲームや学習アプリの登録先を、夫婦どちらかのメールアドレスにまとめていることがよくあります。実家の親の場合も、長く使っているプロバイダのアドレスほど、ネットショッピングや旅行の予約など、多くのサービスの登録先になっています。

ひとつのアドレスが漏れたときに影響が及ぶ範囲は、そのアドレスで何に登録したかで決まります。IPAは不正ログインされたときの対処として、パスワードを変えたあと、アカウントに登録されたメールアドレスや電話番号を確かめ、自分のものでない情報があれば削除するよう案内しています。家族で一度、主なアカウントの登録メールと、ログインできなくなったときの回復用の電話番号が誰のものかを書き出しておくと、どのアドレスが漏れたら何を見直すかがすぐにわかります。

子どものアカウントは、登録メールも回復用の電話番号も親のもの、という家庭が多いはずです。2026年7月に成立・公布された改正個人情報保護法には、16歳未満の子どもの個人情報について、同意の取得や通知などの相手を親などの法定代理人とすることを明文化する内容が入りました。施行は原則として公布から2年以内で、具体的な日付はまだ決まっていません。

フィッシング対策協議会は、漏えいした情報は消せないため、新しいメールアドレスを作って移行することも検討するよう呼びかけています。長年使ったアドレスを変えるのは手間がかかります。親と話すときは、まずそのアドレスでどのサービスに登録しているかを一緒に確かめるところから始めると、移行するかどうかも決めやすくなります。

パスワードを変える順番と、二段階認証を入れる順番

最初に変えるのは漏れたサービスのパスワード、次に同じパスワードを使っているほかのサービスです。ハンドブックには、パスワードを使い回していなければ、ほかのサービスに被害は広がらないとあります。総務省は、サービス側から流出した事実がなければパスワードを変える必要はないとしたうえで、流出したときは速やかに変えるという考え方を紹介しています。

使い回していた先が多くてすぐに全部は変えられないときは、メール、銀行・証券・決済、その他の順に進めるのが一案です。公的資料に決まった順番があるわけではなく、編集部の考える目安です。メールはほかのサービスの再設定先になり、お金の被害は取り戻すのに時間がかかります。

国家公安委員会・総務大臣・経済産業大臣の公表資料では、2025年の不正アクセスの認知件数は7,190件でした。不正アクセスの後に行われた行為には、ネットバンキングの不正送金など4,747件、メールの盗み見など114件があります。

パスワードを変えたら、二段階認証（多要素認証）も設定します。パスワードのような「知っているもの」に、スマホに届く確認コードのような「持っているもの」や、指紋・顔などを組み合わせる方式で、IDとパスワードが漏れてもそれだけではログインできません。

パスキーは、指紋や顔、端末のロック解除でログインする方式で、IPAはパスワードの漏えいリスクがない方式として利用を勧めています。使えるのはサービスが対応している場合に限られます。金融庁も、フィッシングに強い多要素認証の導入などを盛り込んだ監督指針の改正を実施しています。

新しいパスワードを覚えきれないときは、スマホやブラウザに備わるパスワード管理機能に記録し、端末のロックで守ります。ただしハンドブックは、パソコンのブラウザにパスワードを覚えさせる自動入力の機能にも注意を促しています。席を離れた間にほかの人がそのまま使えてしまうためです。

家族で一度、登録先を共有しておく

家族の中では、ほかのアカウントの登録先になっているアドレスの持ち主から始めると、少ない手間で守れる範囲が広がります。お知らせが届いてから慌てて全部のパスワードを変えようとすると、どこまで変えたのかがわからなくなります。

どのアドレスに何がつながっているかを家族で一度共有しておけば、次にお知らせが届いたときは、項目の欄を読み、つながっている先から順に変えていけます。ログインできなくなった、身に覚えのない請求が来た、というときは、IPAの情報セキュリティ安心相談窓口、警察のサイバー事案に関する相談窓口、消費者ホットライン188に相談できます。受付時間や連絡先は、各窓口の公式ページで確かめてください。年末に実家へ帰ったら、親が長く使っているメールアドレスで何に登録しているかを、一緒にスマホを見ながら確かめるところから始められます。

出典

• 東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」（2026年10月7日公表、2026年10月11日確認）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」（2026年10月11日確認）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-5-4（令和8年6月一部改正、2026年10月11日確認）
• アスクル「ランサムウェア攻撃に伴う情報漏えいのおそれに関する追加の本人通知について」（2026年7月30日公表、2026年10月11日確認）
• KDDI「ISP事業者向けメールシステムに対する不正アクセスの発生について」（2026年6月23日公表、2026年10月11日確認）
• KDDI「ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」（2026年7月6日公表・7月21日訂正、2026年10月11日確認）
• 総務省「KDDI株式会社に対する通信の秘密の保護に係る行政指導」（2026年7月29日公表、2026年10月11日確認）
• 総務省 KDDI株式会社に対する指導文書（別紙）（2026年7月29日公表、2026年10月11日確認）
• ビッグローブ「『BIGLOBEメール』への不正アクセス発生のお詫びとご報告（第二報）」（2026年7月6日公表、2026年10月11日確認）
• ニフティ「【第二報】当社メールサービスへの不正アクセスについて」（2026年7月6日公表、2026年10月11日確認）
• IPA「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日公表、2026年10月11日確認）
• 個人情報保護委員会「令和8年 改正個人情報保護法について」（2026年10月11日確認）
• 個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律の概要」（2026年7月公表、2026年10月11日確認）
• フィッシング対策協議会「国内ISPの認証情報を不正利用して送信されたフィッシングメール」（2026年6月26日公表、2026年10月11日確認）
• 国家サイバー統括室「インターネットの安全・安心ハンドブック」Ver.5.10 一般利用者向け抜粋版（2025年3月発行、2026年10月11日確認）
• 総務省 国民のためのサイバーセキュリティサイト「推測できる簡単なパスワードを利用しないようにしよう」（2026年10月11日確認）
• 国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（2026年3月12日公表、2026年10月11日確認）
• 金融庁「フィッシング耐性のある多要素認証等に係る官民一体・業界横断的な広報について」（2026年4月16日公表、2026年10月11日確認）
• IPA「情報セキュリティ安心相談窓口」（2026年10月11日確認）
• 警察庁「サイバー事案に関する相談窓口」（2026年10月11日確認）
• 消費者庁「消費者ホットライン」（2026年10月11日確認）

本記事は2026年10月11日時点で公表されている情報によります。漏えいの人数や各社の対応、改正個人情報保護法の施行日は、今後の発表で変わる可能性があります。