メールアドレス流出だけでアカウント乗っ取りは起きる？フィッシング・リスト型攻撃との関係を解説

メールアドレスは、それ単体ではパスワードではありません。メールアドレスが第三者に知られただけで、直ちにオンラインサービスへ不正ログインできるわけではありません。

一方、多くのサービスではメールアドレスがログインID、パスワード再設定先、本人確認コードの受信先として使われています。攻撃者が流出したメールアドレスを、使い回されたパスワード、フィッシングで取得した認証情報、個人情報、侵害済みメールボックスなどと組み合わせると、複数サービスのアカウント乗っ取りへつながる場合があります。

SpyCloudが2025年に公表した調査では、2024年に同社が回収したフィッシングデータの97％にメールアドレスが含まれていました。Have I Been Pwned（HIBP）を運営するTroy Hunt氏も2025年11月、犯罪者が公開・流通させていたデータから約19億5,700万件のユニークなメールアドレスと13億件のユニークなパスワードを処理したと公表しています。

企業側では「メールアドレスは公開情報だから問題ない」と一律に扱うのではなく、メールアドレスがどの認証・復旧経路に結び付いているかを確認する必要があります。

結論　メールアドレスは「秘密情報」ではないが、攻撃の起点になる

メールアドレスが第三者に知られただけでは、通常はアカウントへログインできません。

ただし、攻撃者にとってメールアドレスには次の用途があります。

攻撃での使われ方	メールアドレスだけで成立するか	追加で必要になるもの
フィッシングメール送信	可能	偽サイト、なりすまし文面など
アカウントの存在確認	サービス仕様によっては可能	ログイン・登録・再設定画面
パスワードリスト攻撃	不可	漏えい・使い回されたパスワード
パスワード再設定の悪用	通常は不可	メールボックスへのアクセス、追加の本人確認情報など
メールアカウント乗っ取り	不可	パスワード、セッション情報、フィッシング等
他サービスへの連鎖的な乗っ取り	不可	メールボックス侵害、再利用パスワード等
SIMスワップ	不可	氏名、電話番号、住所、通信会社情報など

企業が見るべきポイントは「メールアドレスが漏れたか」だけではありません。

そのメールアドレスと一緒にパスワード、氏名、電話番号、住所などが流出していないか、同じメールアドレスが社内SaaSやクラウドサービスのIDとして使われていないか、メールボックス自体が本人確認の起点になっていないかを確認します。

フィッシングで回収されたデータの97％にメールアドレス

SpyCloudは2025年のIdentity Exposure Reportで、2024年に同社が回収した数百万件規模のフィッシングデータを分析しています。

同社によると、回収したフィッシングデータの97％に少なくとも1つのメールアドレスが含まれていました。

このほか、

• 64％にIPアドレス
• 51％に都市または郵便番号などの位置情報

が含まれていました。

SpyCloudは、現在のフィッシングではID・パスワードだけでなく、企業アカウント、金融サービスの認証情報、2要素認証コード、ブラウザーのセッションCookieなども狙われていると説明しています。

メールアドレスは攻撃者にとって、本人を別の漏えいデータやサービス上のアカウントと結び付ける識別子として使いやすい情報です。

たとえば、業務用メールアドレスと氏名が分かれば、所属企業や役職を公開情報から調査し、利用していそうなMicrosoft 365、Google Workspace、ファイル共有、経費精算などのサービスを装ったフィッシングへ発展させることができます。

関連記事：フィッシング詐欺とは？手口や対策を解説

HIBPが約19億5,700万件のメールアドレスを処理　「Gmailの漏えい」ではない

Have I Been Pwnedを運営するTroy Hunt氏は2025年11月5日、Synthientが犯罪者の公開・流通データから収集した大規模なCredential StuffingデータをHIBPへ追加したと公表しました。

処理したデータは、

• ユニークなメールアドレス：1,957,476,021件
• ユニークなパスワード：約13億件
• そのうちHIBPが従来確認していなかったパスワード：約6億2,500万件

です。

この数字は「約20億人が新たなデータ侵害を受けた」という意味ではありません。

Troy Hunt氏は、このデータが多数の情報源から長期間にわたって収集・再配布されたCredential Stuffing用データで、古い情報や重複、誤った組み合わせも含まれると説明しています。

また、約3億9,400万件のgmail.comアドレスが含まれていましたが、GoogleやGmailからデータが漏えいした事案ではありません。

Credential Stuffing用のリストには、過去のデータ侵害やInfostealerなどから取得された認証情報が集約され、別のサービスへのログイン試行に再利用されます。

メールアドレスと使い回しパスワードが揃うとリスト型攻撃が成立する

メールアドレス流出のリスクが大きくなるのは、同じデータにパスワードが含まれている場合や、利用者が別サービスでも同じパスワードを使っている場合です。

Verizonの「2025 Data Breach Investigations Report（DBIR）」では、既知の初期アクセス手法のうちCredential Abuseが22％を占めました。

また、Basic Web Application Attacksに分類されたサイバー攻撃の内、88％で盗まれた認証情報が使われています。

Cloudflareも2025年3月、2024年9月から11月までの認証トラフィックを分析し、同社が観測した成功した人間の認証の約41％で、すでに漏えいが確認されているパスワードが使われていたと報告しました。

ボットを含む認証リクエスト全体では52％に漏えい済みパスワードが含まれ、そのような試行の95％をボットが生成していました。

このデータが示すのは、「メールアドレスが秘密でなくなった」こと自体より、漏えいしたパスワードと組み合わせて自動ログイン試行へ投入できる状態が問題になるという点です。

関連記事：ヨネックス公式オンラインショップ、リスト型攻撃で不正ログイン

メールボックスを乗っ取られると他サービスへ影響が広がる

メールアカウント自体が侵害された場合は、影響が大きくなります。

多くのサービスでは、メールを次の用途に利用しています。

• パスワード再設定リンクの受信
• ログイン用ワンタイムコードの受信
• 新しい端末からのログイン確認
• アカウント変更通知
• 本人確認
• サポート窓口とのやり取り

攻撃者がメールボックスを閲覧できる状態になると、そのメールアドレスで登録しているサービスをメール履歴から調べ、パスワード再設定を試みることができます。

実際にDeNAは2026年5月、一部利用者について、第三者によるメールアドレスの乗っ取りや不正ログインが発生し、メールアドレス認証を使ってDeNAアカウントへログインされた可能性があると注意喚起しています。

このケースでは、DeNA側のシステム侵害が確認されたのではなく、利用者側のメールアカウントが侵害されたことで、メールを本人確認に利用する別サービスへ影響が波及した可能性が示されています。

関連記事：DeNAアカウントで一部アカウントへ不正ログイン、メールアドレスの不正利用も

メールアドレスが分かるとフィッシングを個人化しやすくなる

攻撃者がメールアドレスだけでなく、氏名、勤務先、部署、役職、取引先などの情報も把握している場合、フィッシングの内容を標的に合わせることができます。

APWGによると、2026年第2四半期にはフィッシング攻撃が前四半期比10.1％増加し、2026年6月だけで425,808件を確認しました。これは2023年4月以降で最も多い月間件数です。

攻撃経路もメールだけではありません。APWGは同期間にSMSを使うSmishingが前四半期比40％増えたと報告しています。

メールアドレスが漏えいした場合、攻撃者はそのアドレスを起点に公開情報や過去の漏えいデータを照合し、メール、SMS、電話など複数のチャネルで接触する場合があります。

BECでは正規メールアカウントの侵害が送金詐欺につながる

業務用メールアカウントが乗っ取られた場合、企業ではBusiness Email Compromise（BEC）にもつながります。

FBIのInternet Crime Complaint Center（IC3）によると、2025年に報告されたBECの被害額は約30億ドルでした。

FBIはBECについて、攻撃者がソーシャルエンジニアリングやコンピューター侵入により正規の業務メールアカウントを侵害し、不正送金へ誘導するケースがあると説明しています。

メールボックスを掌握されると、攻撃者は実際の取引先名、請求書、過去の会話、送金時期を把握できる場合があります。

単に「差出人アドレスが正しいか」を確認するだけでは、侵害済みの正規アカウントから送信されたBECを見抜けません。

関連記事：ビジネスメール詐欺（BEC）・ニセ社長詐欺の被害事例まとめ

アカウント乗っ取りではメールアドレス以外の情報も使われる

メールアドレスが流出した後に想定される攻撃を、すべて「メールアドレスだけで乗っ取られる」と表現するのは正確ではありません。

たとえばSIMスワップでは、通常、氏名、電話番号、住所、生年月日、契約している通信会社など、追加の本人情報が使われます。

FBIは2025年11月に公表したAccount Takeover Fraudの注意喚起で、金融機関の担当者やWebサイトを装い、電話、SMS、メール、偽サイトなどのソーシャルエンジニアリングでアカウントへのアクセスを取得する手口を説明しています。

2025年1月以降、IC3にはAccount Takeover Fraudについて5,100件を超える申告が寄せられ、被害額は2億6,200万ドルを超えています。

攻撃者が利用する情報は単一ではありません。

メールアドレス、電話番号、パスワード、セッションCookie、本人確認情報などを複数の情報源から組み合わせることで、本人になりすます精度を高めます。

パスワードの使い回しを止め、漏えい済みパスワードを拒否する

NIST SP 800-63B-4は、パスワードを新規設定または変更する際、一般的なパスワードや既知の漏えい済みパスワードを含むブロックリストと照合することを求めています。

また、パスワードマネージャーや自動入力の利用を許可することも求めています。

企業の認証基盤では、利用者へ「複雑なパスワードを覚える」ことだけを求めるのではなく、

• サービスごとに異なるパスワードを利用する
• 漏えい済みパスワードを登録させない
• パスワードマネージャーを利用できる
• ログイン失敗回数を制限する
• 不審な認証試行を検知する

といった仕組みを組み合わせます。

MFAは導入有無だけでなくフィッシング耐性を確認する

MicrosoftのDigital Defense Report 2025では、最新のMFAによりID侵害リスクを99％以上低減できるとしています。

ただし、すべてのMFAが同じ強度ではありません。

NIST SP 800-63B-4は、手入力するOTPなどについてフィッシング耐性がないと整理しています。偽サイトが認証コードをリアルタイムで中継する攻撃では、パスワードとOTPの両方を奪われる可能性があります。

CISAは、広く利用できるフィッシング耐性認証としてFIDO/WebAuthnを挙げ、組織に移行計画を立てるよう推奨しています。

企業では、特に次のアカウントから優先してフィッシング耐性MFAを確認できます。

• メール
• Microsoft 365、Google Workspace
• IDプロバイダー
• VPN・リモートアクセス
• クラウド管理者
• 経理・送金関連
• パスワードマネージャー
• ソースコード・CI/CD
• 人事・給与システム

関連記事：パスキーとは？メリットや概要を解説

情報システム部門が確認したいポイント

メールアドレスの流出は、それだけでアカウント乗っ取り確定を意味しません。

一方、業務用メールアドレスは社内外の多くの認証フローにつながるため、「公開情報だから対策不要」とも扱えません。

情報システム部門では、次の項目を確認できます。

• 業務メールアドレスと同じパスワードを他サービスで使い回していないか
• 漏えい済みパスワードを新規設定時に拒否できるか
• メールアカウントにMFAを例外なく適用しているか
• 管理者や経理担当者にはFIDO/WebAuthnなどフィッシング耐性MFAを適用しているか
• メールをパスワード再設定や本人確認に使うSaaSを棚卸ししているか
• メールボックス侵害時に既存セッション、OAuthトークン、アプリパスワードを失効できるか
• 通常と異なる国・IP・端末からのログインを検知できるか
• Credential Stuffingに対するレート制限やボット対策があるか
• 退職者や不要アカウントのメールアドレスが認証先として残っていないか
• 不正ログイン後のメール転送ルールやOAuthアプリ追加を監査できるか
• アカウント乗っ取り発生時に、同じIDを使う他サービスへ横断対応できるか

メールアドレスは、多くのサービスでIDと復旧経路の両方に使われています。

そのため企業側では、メールアドレスそのものを秘密にすることより、メールアドレスとパスワード、MFA、メールボックス、パスワード再設定、SaaSアカウントのつながりを把握し、1つの認証情報が漏れた際に他サービスへ波及しない設計にすることが対策になります。

出典

• 2025 SpyCloud Identity Exposure Report – SpyCloud
• 2 Billion Email Addresses Were Exposed, and We Indexed Them All in Have I Been Pwned – Troy Hunt
• 2025 Data Breach Investigations Report – Verizon
• Password reuse is rampant: nearly half of observed user logins are compromised – Cloudflare
• Phishing Activity Trends Reports – Anti-Phishing Working Group
• 2025 IC3 Annual Report – FBI Internet Crime Complaint Center
• Account Takeover Fraud via Impersonation of Financial Institution Support – FBI Internet Crime Complaint Center
• Business Email Compromise – FBI Internet Crime Complaint Center
• Microsoft Digital Defense Report 2025 – Microsoft
• NIST Special Publication 800-63B-4 – NIST
• More than a Password – CISA