過去最大級、AppleやGoogleなどの情報が流出
2025年6月20日、セキュリティ調査メディア「Cybernews（サイバーニュース）」の調査チームが、Apple（アップル）やGoogle（グーグル）、Meta（旧Facebook）など主要オンラインサービスのログイン情報を含む約160億件の認証情報が流出したことを明らかにしました。
これは史上最大規模の情報漏えいの一つとみられており、多くのデータは情報窃取型マルウェア（インフォスティーラー）によって収集された、新旧のログイン資格情報とされています。
研究チームは「160億件以上のログイン情報が流出したことで、犯罪者はSNSやメールなどに簡単にアクセスできるようになり、アカウントの乗っ取りやなりすまし、詐欺メールの被害がこれまでにないほど起こりやすくなっている」と警鐘を鳴らしています。
今回流出したデータにはAppleやGoogleアカウントだけでなく、GitHubやTelegram、各国政府のサービスに至るまで、幅広いオンラインサービスのログイン情報が含まれており、その影響は極めて大きいと見られています。
仮想通貨（暗号資産）を保有するユーザーも例外ではなく、専門家は今回の漏えいによって仮想通貨アカウントの乗っ取り被害が急増する可能性があると懸念を示しています。
仮想通貨盗難を防止「セキュリティアラート」
最大規模160億件の情報流出はなぜ起きたか
情報流出の発端はマルウェア感染
今回明らかになった巨大な認証情報データベースは、ハッカーが主要企業のシステムに侵入して直接盗み出したものではないことが報告されています。
多くはユーザーのPCやスマートフォンがマルウェアに感染した結果、ログインIDやパスワードが盗み取られ、それらがまとめて不正に保存・公開されたものとみられています。
Cybernews調査チームは2025年初頭からウェブ上を監視し、数千万件から35億件超のレコードを含む30個の漏えいデータセットを発見しましたが、これらは大半が「情報スティーラー」と呼ばれるマルウェアによる窃取データや過去の流出情報の再パッケージで構成されていたと報告しています。
仮想通貨情報も狙われる仕組み
情報スティーラー型マルウェアは感染した端末からブラウザやアプリに保存された認証情報を抽出し、暗号化されたデータベースやログファイルに蓄積する特徴があります。
例えば「RedLine（レッドライン）」や「Raccoon（ラクーン）」といったマルウェアはID・パスワードだけでなく、仮想通貨ウォレットの資格情報やCookie、認証トークンなども収集するとされています。
今回の流出データも典型的な形式（「サイトURL：ユーザー名：パスワード」）で記録されており、近年広く拡散しているインフォスティーラーによって収集された情報であることが示唆されています。
公開されたデータと犯人の影
なお、これら膨大なデータセットは一時的にセキュリティの甘いElasticsearchサーバーやクラウドストレージ上で公開されており、調査チームはそれを発見したものの、背後にいる犯人グループの特定には至っていないとのことです。
また研究者は「データの多くは比較的新しいものであり、過去の情報漏えいデータを再利用しただけではない」と指摘しており、新たな被害に直結しうる悪用可能な情報が大量に含まれていると分析しています。
仮想通貨ウォレットの安全性を調査
大規模情報漏えいによる3つの脅威
認証情報の大量流出は、一般ユーザーから企業まで幅広い層に深刻なリスクをもたらします。
アカウント乗っ取りの連鎖リスク
まず考えられるのがアカウントの乗っ取り（Account Takeover）です。流出したID・パスワードを使ってSNSやメール、クラウドサービス、そして仮想通貨取引所のアカウントに不正アクセスされる恐れがあります。
特に、使い回しのパスワードを設定している場合、攻撃者は自動ツールを用いて他のサービスへのログインを試みるクレデンシャルスタッフィング攻撃を実行し、芋づる式に複数のアカウントを乗っ取る可能性があります。
乗っ取られたアカウントは転売や不正送金に悪用されるほか、本人になりすました詐欺などの二次被害を引き起こす可能性もあります。
個人情報が攻撃者に利用される危険
次に懸念されるのがフィッシング詐欺やマルウェア感染の拡大です。
漏えいデータにはメールアドレスやユーザー名といった個人情報も含まれるため、攻撃者はそれらを材料に非常に巧妙で標的を絞ったフィッシング攻撃を仕掛けてくる可能性があります。
実際に研究者は「今回の流出は、大規模な詐取行為の青写真となり得る」と警告しており、流出データが高度に標的化されたフィッシングやビジネスメール詐欺（BEC攻撃）を誘発するきっかけになると指摘しています。
特に企業アカウント情報が含まれていた場合、ランサムウェア攻撃や社内システム侵入にも発展しかねず、被害は個人に留まりません。
秘密鍵やシード流出による盗難リスク
こうした背景から、仮想通貨ホルダーへの影響も無視できません。
情報スティーラーは仮想通貨ウォレットの認証情報（秘密鍵やシードフレーズ、ウォレットファイルなど）を狙うケースもあり、流出データを入手した攻撃者が取引所アカウントに不正ログインして資金を引き出したり、ウォレットの秘密鍵を使ってコインを盗み出したりする恐れがあります。
実際に仮想通貨取引所のログイン情報が漏洩した場合、ユーザー資産が別ウォレットに送金されてしまう危険性が高まると指摘されています。
さらに一部のウォレットアプリはユーザーの許可により復元用フレーズをクラウドバックアップする機能がありますが、クラウドストレージの認証情報が漏れればこうしたバックアップから秘密鍵が流出し、資産流出につながる可能性もあります。
セキュリティ専門家は「カストディ（取引所などの預託型サービス）のアカウントや、メールと連携しているウォレットは特にセキュリティリスクが高い」と指摘しており、今回のような漏えい事件の後には仮想通貨アカウントの乗っ取りが急増する恐れがあると警告しています。
こうした状況を受けて、取引所によっては被害を未然に防ぐため、ユーザーに対し即時のパスワード変更やセキュリティ強化策の実施を求める可能性もあります。
仮想通貨ウォレットの種類・特徴まとめ
仮想通貨ホルダーが今すぐ取るべき7つの対策
今回の大規模情報漏えいを受け、仮想通貨の資産保護に向けて今すぐ実践すべきセキュリティ対策を以下にまとめます。
1. パスワードの見直し
流出の有無に関わらず、すべてのサービスのパスワードを直ちに変更することが推奨されます。
推測されにくい長く複雑なパスワードを各アカウントごとに設定し、過去に使ったものや他サイトと同じものの使い回しは避けることが重要です。
パスワード管理には信頼できるパスワードマネージャーを活用し、定期的に見直す習慣を身につけておくことが求められます。
2. 二段階認証（2FA）の徹底
ログイン可能なサービスでは必ず二段階認証（2FA）を有効化してください。特に重要なアカウントでは、SMSによるコード受信ではなく認証アプリやハードウェアキーによる2FAが推奨されます。
SMSを用いた2FAは、SIMスワップ攻撃により回避されるリスクがあると指摘されています。実際に2020年には、個人投資家がSIM乗っ取りの被害を受け、一晩で約50億円相当の仮想通貨を失った事例も報告されています。
認証アプリ「Google Authenticator」や「Microsoft Authenticator」などやFIDO2対応のセキュリティキーを利用することで、不正ログインの可能性を大幅に低減できます。
3. マルウェア感染のチェック
自身のPCやスマートフォンが情報スティーラー型マルウェアに感染していないか確認することも重要です。
心当たりがある場合は、信頼できる最新のウイルス対策ソフトで端末をスキャンし、発見されたマルウェアを駆除してからパスワード変更などの対処を行ってください。
感染が残ったままでは、新しいパスワードも再び盗まれる恐れがあります。
4. フィッシングへの警戒
流出を悪用したフィッシングメールやSMSが届く可能性があるため、不審なメールに記載されたリンクや添付ファイルは決して開かないでください。
米連邦捜査局（FBI）も今回の件を受けて「SMSメッセージ内のリンクを不用意にクリックしないように」と注意喚起しています。
送信元が銀行や取引所を装っていても一度冷静になり、正式サイトや公式アプリから自分でアクセスし直して確認する習慣を徹底することが推奨されます。
5. 情報漏えい状況の監視
自分のメールアドレスやIDが過去のデータ漏えいに含まれていないか確認しておくことも重要です。
例えば、過去の漏えい情報を検索できるツール「Have I Been Pwned」にメールアドレスを入力すれば、既知の漏えいリストにそのアドレスが含まれているか調べることができます。
漏えいが確認された場合、そのアカウントで使用していたパスワードは即座に変更し、他サービスで同じパスワードを使っていた場合もすべて変更してください。
6. 秘密鍵・シード管理の徹底
仮想通貨ウォレットの復元フレーズ（シード）や秘密鍵は絶対にデジタル上（メモ帳やクラウドストレージなど）で保管しないでください。
これらは紙に書いて厳重に保管するか、信頼できるハードウェアウォレット上で管理するなど、オフライン環境での保管が推奨されます。
クラウド上に保管された機密情報は、一度アカウントが乗っ取られると流出する恐れがあるため、利便性よりも安全性を優先した管理が求められます。
ハードウェアウォレットを活用すれば、秘密鍵をネットワークから完全に隔離した状態で保持でき、マルウェアやハッキングによる資産流出リスクを大幅に抑制できます。
7. アカウントの監視と迅速な対応
取引所やウォレット、メールなど各種アカウントのログイン履歴や資産残高を定期的に確認し、見覚えのないログインや送金がないかチェックしてください。
万一、不審なアクセスや身に覚えのない取引が発生した場合は、ただちに該当サービスのサポートに連絡し、必要であれば警察など関係当局にも相談をすることが推奨されます。
早期に異常を察知し迅速に対応することが、被害の拡大防止につながります。
仮想通貨に関する「詐欺の種類・手法」まとめ
仮想通貨のセキュリティ対策を見直すべき理由
今回の認証情報大規模流出事件は、日常的なセキュリティ習慣の見直しを促す重要な契機となっています。
専門家も「ログイン資格情報の管理徹底や追加認証の導入などの基本的対策に尽きる」と強調しており、被害に遭ってから慌てるのではなく、事前に防御策を講じておくことが重要です。
仮想通貨を含むデジタル資産の保有者にとって、最終的に資産を守るのはユーザー自身です。今回の事件を教訓に、今一度セキュリティ対策を強化し、安全な環境で大切な資産を管理するよう心がけてください。
各個人が基本対策を徹底することで、被害の拡大を防ぎ、仮想通貨を安心して活用できる環境の整備につながります。
不正アクセス関連の注目記事はこちら
Source：Cybernews報告
サムネイル：Shutterstockのライセンス許諾により使用
コメント