Instagram、Facebook、Roblox(ロブロックス)など1億4,940万件のIDとパスワードが漏洩-インフォスティーラーが原因か|セキュリティとITのニュース-セキュリティ対策Lab

投稿日時: 2026年01月27日更新日時: 2026年01月27日

2026年1月23日、セキュリティ研究者のJeremiah Fowler氏が、インターネット上で「パスワード保護なし・暗号化なし」のデータベースが公開状態になっているのを発見したと報告しました。データベースには、1億4,940万4,754件のユニークなログイン情報（メールアドレス／ユーザー名／パスワード）が含まれ、総量は約96ギガバイトに達していたとされています。

さらに、単にID・パスワードの羅列ではなく、各サービスのログイン／認可ページのURLも含まれていたという点が、悪用のしやすさを押し上げます。

1 公開されていた情報の中身
2 推定漏洩件数
3 なぜ深刻か
4 原因
5 情報システム部門が押さえる実務ポイント

公開されていた情報の中身

Fowler氏が限定的にサンプル確認した範囲でも、以下のように非常に幅広いサービスの資格情報が含まれていたとされています。

SNS：Facebook、Instagram、TikTok、X など
エンタメ／ゲーム：Netflix、HBO Max、Disney+、Roblox など
成人向けプラットフォーム：OnlyFans（クリエイター／利用者双方のログイン経路が示唆される記録）
金融・暗号資産：銀行口座、クレジットカード関連のログイン、暗号資産ウォレット、取引所アカウントなど
政府系ドメイン：複数国の .gov ドメインに紐づく資格情報

特に .gov ドメインの混在は、すべてが機微システム直結とは限らないにせよ、標的型攻撃やなりすまし、組織ネットワーク侵入の足掛かりになり得るため、リスクの質が変わります。

推定漏洩件数

記事中の内訳（推定）として、以下の件数が挙げられています。

Gmail：約4,800万件
Yahoo：約400万件
Outlook：約150万件
iCloud：約90万件
.edu：約140万件

サービス別の例（サンプル内で目立ったもの）としては、次の数字が示されています。

Facebook：約1,700万件
Instagram：約650万件
TikTok：約78万件
Netflix：約340万件
OnlyFans：約10万件
Binance：約42万件

ここで注意したいのは、「何万人が被害に遭った」という話ではなく、ログイン情報のレコードが何件あるかです。1人が複数サービスを使うため、

件数＝人数にはなりません。一方で、攻撃者の立場では「当たりを引ける回数」が増えるため、件数がそのまま脅威の規模感につながります。

なぜ深刻か

この種のデータが危険なのは、攻撃の自動化が容易だからです。メールアドレス、ユーザー名、パスワードに加えてログインURLまで揃っていると、攻撃者は次のような手口を組みやすくなります。

クレデンシャルスタッフィング（使い回しを狙った自動ログイン試行）
メールアカウント乗っ取りを起点にした二次被害（パスワードリセット、なりすまし）
金融・暗号資産アカウントへの不正アクセス
実在サービス名とURLを使った精巧なフィッシング

原因

Fowler氏は、公開されていたデータがキーロガーやInfostealer（情報窃取型マルウェア）によって収集された可能性を指摘しています。

今回のデータは、一般的なInfostealerの流出データよりも追加情報が含まれ、たとえば host_reversed path（例：com.example.user.machine） のような形式で整理されていた点が特徴だと述べています。

また、所有者情報が不明だったため、同氏はホスティング事業者へ通報しましたが、停止までに約1か月と複数回の試行が必要だったとされ、その間にもレコード数が増加したという記述があります。

情報システム部門が押さえる実務ポイント

情シスとしては次を優先すると現実的です。

MFAは必須、ただしフィッシング耐性も意識する
OTPやプッシュだけでは突破されるケースがあるため、可能ならパスキー／FIDO等へ段階移行します。
使い回し対策を運用に落とす
禁止の周知だけでなく、SSO・パスワードマネージャ・端末防御（EDR）まで含めて仕組みにします。
端末の感染前提で守る
Infostealerは「端末がやられたらパスワード変更しても再度盗られる」状況を作ります。検知・駆除・再感染防止（拡張機能、野良ソフト、広告経由など）をセットで対応します。
監視観点の強化
不審なログイン（国・ASN・端末指紋の変化）、短時間の大量失敗、リセット要求の増加など、アカウント侵害の兆候を早期に拾う設計が重要です。

参照

149M Logins and Passwords Exposed Online Including Financial Accounts, Instagram, Facebook, Roblox, Dating Sites, and More.