SOURCE CHECK
総務省・IPA・Google・Appleの公式情報と、2026年11月9日の報道（ITmedia NEWS）で確認した内容だけで書いています。メニュー名はアプリやOSのバージョンで変わることがあります。
同じパスワードを複数のサービスで使っているなら、今のうちに洗い出して、重要なアカウントから順に別々のパスワードへ変えてください。どこで使い回しているかは、ChromeやAndroidなら「Google パスワード マネージャー」のチェックアップ、iPhoneなら「パスワード」アプリの「セキュリティ」で確認できます。流出がなければ定期的な変更は不要ですが、使い回しは放置しないのが公的機関の考え方です。
- Googleのパスワード チェックアップ、またはiPhoneの「パスワード」アプリ→「セキュリティ」で、使い回し・漏えい・弱いパスワードの一覧を出します。
- メール、Apple／Googleアカウント、銀行・決済、よく使う通販の順に、ほかと重ならない新しいパスワードへ変えます。
- 変えたサービスで2段階認証（多要素認証）やパスキーが使えるならオンにします。
情報漏えいの発表が続き、無印良品のネットストアでは「リスト型攻撃」が確認されたと報じられました。どこかで漏れたIDとパスワードがほかのサービスで試される手口なので、使い回しを見つけて断つのがいちばん効きます。確認と変更の順番を1本にまとめました。
こんな人におすすめ
- 漏えいのお知らせが届き、同じパスワードをほかでも使っている気がする人
- どのサービスで使い回しているか分からない人
- パスワードを全部変えるのは大変で、どこから手をつけるか迷っている人
- ☑ 漏えいの連絡が来たサービスと同じパスワードを、ほかで使っていないか
- ☑ メールアドレスのパスワードを、ほかのサービスと共通にしていないか
- ☑ 銀行・決済・通販のパスワードが、ほかと同じか似ていないか
- ☑ 2段階認証（多要素認証）をオンにできるサービスで、オフのままになっていないか
パスワードの変更は、届いたメールのリンクからではなく、公式アプリやブックマークした公式サイトから行ってください（後述）。
01リスト型攻撃とは？使い回しが狙われる理由
リスト型攻撃（パスワードリスト攻撃）は、どこかのサービスから流出したIDとパスワードの組み合わせを使って、別のサービスへのログインを試す手口です。総務省の「国民のためのサイバーセキュリティサイト」も、「サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています」と説明しています。
つまり、パスワードそのものが強くても、使い回していれば1か所の漏えいで別のサービスまで入られるおそれがあります。総務省は、重要な情報を扱うサービスで使い回しのパスワードを使っていた場合、ほかのサービスから漏れると第三者にアクセスされる可能性があるとしています。
| 手口 | 何を使うか | 効く対策 |
|---|---|---|
| リスト型攻撃 | ほかのサービスから流出したIDとパスワード | サービスごとに別のパスワード、2段階認証 |
| 推測されやすいパスワードを試す | 名前・誕生日・「123456」など | 長く推測されにくいパスワード |
| 偽メール・偽サイト（フィッシング） | 本物そっくりの入力画面 | メールのリンクから入力しない、2段階認証 |
IPAは、パスワードはできる限り長く複雑にし、絶対に使い回さないよう呼びかけています。IPAの「2022年度情報セキュリティの脅威に対する意識調査」では、使い回しをしていない人はパソコン利用者で平均58.1%、スマートフォン利用者で46.6%でした。
出典：総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」、IPA「不正ログイン被害の原因となるパスワードの使い回しはNG」
02いま確認したい理由（2026年11月の報道）
ITmedia NEWS（2026年11月9日）によると、良品計画は「無印良品ネットストア」の再開を延期し、外部で不正に入手した可能性のあるIDとパスワードを使った「リスト型攻撃」を受け、新たに約27万件の情報が漏えいした可能性が分かったと発表しました。再開時には全利用者にパスワードの再設定を求める方向で、利用者には他社のサービスとは異なるパスワードを設定するよう呼びかけています。
無印良品の対象や確認方法は無印良品の情報漏洩｜MUJIアプリ・ネットストアの対象とパスワード、退会済みの人・偽メールの確かめ方にまとめています。ほかの会社から漏えいの連絡が来た場合の項目別の対処はショップから情報漏えいの連絡が来たら｜項目別にやることを参照してください。
出典：ITmedia NEWS「無印良品、ネットストア再開延期 リスト型攻撃を確認、新たに約27万件漏えいか」（2026年11月9日）
03Google パスワード マネージャーで確認する
ChromeやAndroidにパスワードを保存している人は、Googleの「パスワード チェックアップ」で、保存したパスワードが「漏洩している」「脆弱である」「複数のアカウントで使用されている」かを確認できます（Google公式）。
パソコンのChromeで開く
- Chromeを開き、右上の「︙」（その他アイコン）を選びます。
- 「パスワードと自動入力」→「Google パスワード マネージャー」を選びます。
- 左側の「チェックアップ」を選びます。
Chrome以外のブラウザで開く
- passwords.google.com を開きます（ログインを求められることがあります）。
- 「パスワード チェックアップに移動」→「パスワードを確認」を選びます。
結果は3種類に分かれます。Googleは、不正使用された（オンラインで公開されている）パスワードは早急に変更するよう、使い回しについてはアカウントごとに異なるパスワードを使うよう強くすすめています。
Googleから「不正使用されたパスワード」の警告が届いて本物か迷ったときはChromeの「不正使用されたパスワード」警告は本物？漏洩チェックの開き方と変更手順で見分け方を確認できます。
04iPhone・Macの「パスワード」アプリで確認する
iOS 18、iPadOS 18、macOS Sequoia、visionOS 2以降では「パスワード」アプリでパスワードを管理できます。Appleによると、このアプリは容易に推測できるパスワードや、別のアカウントで複数回使われたパスワード、既知のデータ漏洩で流出したパスワードについて警告します（Apple公式）。
- 「パスワード」アプリを開きます。
- 「セキュリティ」を選びます。
- 安全性が低いパスワード、または侵害されたパスワードを選び、そのサービスでパスワードを変更します。
Appleアカウント自体が乗っ取られていないか心配な場合はAppleアカウント乗っ取りの確認と対処｜証券口座を守る設定を先に確認してください。
05変える順番：重要なアカウントから
全部を一度に変えなくてもかまいません。総務省が「重要情報を利用しているサービス」での使い回しを特に危険としていることから、被害が大きいところから順に進めるのが現実的です。
| 順番 | 対象 | 理由 |
|---|---|---|
| 1 | 漏えいの連絡が来たサービスと、同じパスワードを使っているサービス | 流出した組み合わせがそのまま試されるため |
| 2 | メールアドレス（Gmail、iCloudメールなど） | ほかのサービスのパスワード再設定メールが届く場所のため |
| 3 | Apple／Googleアカウント | 写真・連絡先・端末の管理や、保存したパスワードにつながるため |
| 4 | 銀行・証券・決済・クレジットカード | お金に直結するため |
| 5 | 通販・ポイント・SNS | カード情報や住所、なりすまし投稿につながるため |
変えたあとは、使えるサービスで2段階認証（多要素認証）をオンにします。総務省は、利用するシステムで多要素認証が設定できる場合は積極的に使うよう呼びかけています。パスキーに対応したサービスなら、パスキーに切り替える方法もあります（パスキーでログインできない時の対処）。
06覚えられない人向けの作り方と管理
パスワード管理ツールに任せる
総務省は、サービスごとに異なる安全なパスワードを覚えるのは大変なので、スマートフォンやWebブラウザ標準の保存機能や専用アプリなど、パスワード管理ツールの利用もすすめています。その場合は、マスターパスワードや端末のロック（生体認証など）で守る必要があります。専用アプリの例は1Passwordの使い方｜パスワードの使い回し・漏洩確認と復旧の備えで紹介しています。
自分で作るならIPAの方法
IPAは、覚えやすい「コアパスワード」に、サービスごとの短い識別子（サービス名の略称など）を足して、サービスごとに違うパスワードにする方法を紹介しています。コアパスワードだけを暗記し、識別子は紙やファイルに分けて記録します。
避けたいパスワード
総務省は、IDと同じ文字列、名前・電話番号・生年月日、辞書にある単語ひとつ、「123456」のような並び、短すぎる文字列を危険な例に挙げています。
出典：総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」、IPA「不正ログイン被害の原因となるパスワードの使い回しはNG」
07変更するときの注意（偽メール）
ITmedia NEWS（2026年11月9日）では、漏えいした情報を使って、受け取る人に合わせた本物らしい詐欺メールが増えるおそれがあると、セキュリティ企業が指摘しています。個人の対策としては、多要素認証の導入や、メール記載のURLから直接アクセスしないことが挙げられています。
- 「パスワードを変更してください」というメールが来ても、リンクは押さず、公式アプリかブックマークした公式サイトから変更します。
- すでにリンクを開いて入力してしまった場合はフィッシングメールのリンクを開いてしまったら？入力・認証・実行別の対処の手順で対処します。
出典：ITmedia NEWS「情報漏えい続出でフィッシングに変化？ “その人専用詐欺メール”登場の懸念」（2026年11月9日）
08よくある質問
パスワードは定期的に変えたほうがいいですか？
総務省は、流出した事実がなければ定期的な変更は不要としています。定期変更でパターン化したり使い回したりするほうが問題で、内閣サイバーセキュリティセンター（NISC）も流出時に速やかに変更する考え方を示しています。
漏えいの連絡が来たサービスだけ変えれば十分ですか？
同じパスワードをほかでも使っているなら、そちらも変える必要があります。リスト型攻撃は、流出した組み合わせを別のサービスで試す手口だからです。
使い回しはどこで確認できますか？
Chrome・Androidに保存しているならGoogleのパスワード チェックアップ、iPhone・Macなら「パスワード」アプリの「セキュリティ」で、複数のアカウントで使われているパスワードの警告を確認できます。
ブラウザにパスワードを保存しても大丈夫ですか？
総務省は、スマートフォンやWebブラウザの標準機能を含むパスワード管理ツールの活用をすすめています。端末のロックやマスターパスワードで守ることが前提です。
09まとめ
- リスト型攻撃は、流出したIDとパスワードを別のサービスで試す手口。使い回しを断つのがいちばん効く。
- 使い回しはGoogleのパスワード チェックアップか、iPhoneの「パスワード」アプリ→「セキュリティ」で確認。
- 漏えいしたサービスと同じパスワード→メール→Apple／Google→お金→通販・SNSの順に変える。
- 変えたら2段階認証やパスキーをオン。変更はメールのリンクからではなく公式から。
更新履歴：2026年11月10日 初版（2026年11月10日時点の公式情報と報道）。
参考 引用元・公式情報
確認日：2026年11月10日（日本時間）
- 総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」
使い回しの危険、定期変更が不要な理由、危険なパスワード例、管理ツール、多要素認証 - IPA「不正ログイン被害の原因となるパスワードの使い回しはNG」
使い回しをしない呼びかけ、意識調査の数値、コアパスワードと識別子の作り方 - Google アカウント ヘルプ「Google アカウントの不正使用されたパスワードを変更する」
パスワード チェックアップの開き方と3種類の結果、使い回しへの注意 - Appleサポート「パスワードアプリでパスワードやパスキーを作成・管理し、Apple製デバイス間で共有する」
パスワードアプリの対応OS、「セキュリティ」での警告 - ITmedia NEWS「無印良品、ネットストア再開延期 リスト型攻撃を確認、新たに約27万件漏えいか」（2026年11月9日）
良品計画のリスト型攻撃と再開延期、異なるパスワード設定の呼びかけ - ITmedia NEWS「情報漏えい続出でフィッシングに変化？ “その人専用詐欺メール”登場の懸念」（2026年11月9日）
漏えい情報を使った詐欺メールの懸念と個人向けの対策
コメント