無料会員登録
企業で利用するパスワードが外部へ漏えいすると、その認証情報を使った不正ログインだけでなく、メールアカウントの乗っ取り、VPN経由の社内侵入、クラウド管理画面へのアクセス、SaaSからの情報持ち出しなどへ被害が拡大する可能性があります。特にメール、VPN、IdP、特権IDで同一または類似のパスワードを使っている場合は、リスト型攻撃や横展開につながる危険があります。
そのため、企業パスワード漏えいが判明した場合は、「とりあえずパスワードを変える」だけで終わらせるのではなく、該当アカウントのセッション失効、MFAの再登録、関連アカウントの横断確認、認証ログや監査ログの保全などを同時に進めることが重要です。
また、パスワードが漏えいしたからといって、必ずしも自社システム自体が侵害されたとは限りません。フィッシング、インフォスティーラ、外部サービスから流出した認証情報の使い回し、内部不正など複数の原因が考えられるため、認証情報がどこから漏れ、実際にどこで悪用されたのかを分けて調べる必要があります。
そこで本記事では、企業パスワード漏えいが判明した場合にまず行う初動対応、メール・VPN・特権IDなど対象別の優先順位、不正ログイン調査で見るべき痕跡、個人情報保護法上の報告・通知の考え方、フォレンジック調査で原因と被害範囲を確認する方法までわかりやすく解説します。
企業パスワード漏えいでまず行う初動対応
企業の認証情報が漏えいした場合は、攻撃者がすでにログインしている可能性を前提に対応します。パスワード変更だけでは、既存セッションやリフレッシュトークンなどが残ることがあるため、セッション失効や関連認証情報の変更まで必要です。
該当アカウントを無効化・強制サインアウトする
漏えいが判明したアカウントは、状況に応じて一時無効化するか、全セッションから強制サインアウトします。
パスワード変更だけでは、すでに発行済みのセッション、リフレッシュトークン、アプリパスワードなどが残る可能性があります。そのため、ログイン済みセッションや関連トークンも失効させることが重要です。
同一・類似パスワードを横断して変更する
該当パスワードを他のサービスでも利用している場合は、メール、VPN、SaaS、クラウド管理者、端末ローカル管理者などまで横断して変更します。
完全に同一のパスワードだけでなく、末尾の数字だけを変えたものなど類似パスワードも対象にします。
攻撃者は漏えいした認証情報を別サービスへ試すことがあるため、単一システムだけを変更して終わらせないことが重要です。
MFAを再登録する
漏えいしたアカウントにMFAを設定していても、不審な端末や電話番号、認証方式が追加されていないか確認します。
MFAを再登録し、可能であればSMSだけに依存せず、FIDO2やパスキーなどフィッシング耐性のある認証方式への移行を検討します。
認証ログ・監査ログを保全する
IdP、VPN、EDR、メール、プロキシ、SaaS、クラウドなどの認証・監査ログを、削除や上書きが行われる前に保全します。
不正アクセスの有無や攻撃経路を後から確認するためには、パスワード変更前後のログが重要な手掛かりになります。
ログの保存期間が短いサービスもあるため、漏えい発覚後は早めにエクスポートします。
不審なログイン・設定変更を調査する
該当アカウントについて、成功・失敗ログイン、不審IP、MFA変更、OAuthアプリ追加、メール転送ルール、権限昇格、大量ダウンロードなどを確認します。
単に「ログインされたか」だけではなく、ログイン後に何をされた可能性があるかまで確認することが重要です。
SOC・CSIRT・法務・経営層へエスカレーションする
企業パスワード漏えいは、アカウント単体の問題ではなく、情報漏えいや業務停止、法的報告につながる可能性があります。
SOCやCSIRT、情報システム部門だけでなく、法務、個人情報保護担当、必要に応じて経営層へ早期に共有します。
- 該当アカウントを無効化または強制サインアウトします。
- セッション・トークン・アプリパスワードを失効します。
- 同一・類似パスワードを横断して変更します。
- MFAを再登録します。
- 認証ログ・監査ログを保全します。
- 不正ログイン・設定変更・データ取得を調査します。
- CSIRT・法務・経営層へエスカレーションします。
特にメール、VPN、特権IDの認証情報が漏えいした場合は、横展開や情報持ち出しまで発生している前提で確認することが重要です。
漏えいしたアカウントごとの緊急度と確認ポイント
すべてのアカウントを同じ優先度で扱うのではなく、認証情報が持つ権限やアクセス可能なデータによって対応順を変える必要があります。
| 漏えい対象 | 緊急度 | 主な追加対応 |
|---|---|---|
| 一般SaaSアカウント | 高 | 強制ログアウト、ログイン履歴、OAuth連携確認 |
| メール／Microsoft 365／Google Workspace | 最優先 | 転送ルール、委任、OAuthアプリ、送信済み・削除済み操作を確認 |
| VPN／リモートアクセス | 最優先 | セッション遮断、接続元IP・端末・横展開痕跡を調査 |
| 特権ID・クラウド管理者 | 重大 | 緊急ローテーション、全監査ログ保全、権限・鍵・トークンを総点検 |
| 顧客向けWebサービスのID／パスワード | 重大 | リスト型攻撃対策、利用者保護、本人通知・法的報告の要否確認 |
メール・Microsoft 365・Google Workspaceは最優先で確認する
メールアカウントは、他のサービスのパスワード再設定や認証通知を受け取る基盤です。そのため、メールが侵害されると複数サービスへの被害拡大につながります。
不審なログインだけでなく、メール転送ルール、受信トレイルール、委任設定、OAuthアプリ、送信済み・削除済みメールなどを確認します。
攻撃者が侵入後に自動転送を設定し、長期間メールを監視するケースもあるため、設定変更の有無を重点的に確認します。
VPN・リモートアクセスは社内侵入の起点として確認する
VPNやリモートアクセスの認証情報が漏えいしている場合は、社外から社内ネットワークへ侵入された可能性があります。
セッションを遮断し、接続元IP、利用端末、接続時間、アクセス先、認証方式などを確認します。
VPN接続後にファイルサーバーや管理サーバーへアクセスしていないか、EDRやFWログとも突き合わせて確認します。
特権ID・クラウド管理者は重大インシデントとして扱う
管理者アカウントや特権IDが漏えいした場合は、通常の利用者アカウントよりも影響範囲が大きくなります。
パスワード変更だけでなく、管理者権限、APIキー、アクセストークン、サービスアカウント、SSH鍵などもローテーション対象として評価します。
条件付きアクセスや監査設定が変更されていないかも確認する必要があります。
企業パスワード漏えい後に調査すべき不正アクセスの痕跡
認証情報が漏えいした場合は、単純なログイン履歴だけでなく、MFA・OAuth・権限・データ取得など複数の痕跡を確認します。
成功・失敗ログインの急増
特定アカウントに対して短時間に大量の認証試行が発生していないか確認します。
失敗ログインが増えた後に成功ログインが発生している場合は、パスワードスプレーやリスト型攻撃の可能性も考えられます。
海外・普段と異なるIPやASNからのアクセス
通常利用しない国・地域、普段と異なる通信事業者、匿名化サービスなどからログインされていないか確認します。
Impossible travelなど、短時間に物理的に移動できない場所から連続してログインしている記録も確認材料になります。
ただし、VPN利用など正当な理由がある場合もあるため、IPだけで不正アクセスと断定しないことが重要です。
MFA方式・電話番号・回復先の変更
攻撃者が侵入後にMFA登録を追加したり、復旧用電話番号やメールアドレスを変更したりする場合があります。
MFA fatigueのように大量の承認要求を送り、利用者に誤って許可させる攻撃も考慮します。
OAuthアプリ・APIトークンの新規追加
パスワードを変更しても、OAuthアプリやAPIトークンを使ってアクセスが維持される場合があります。
新たに同意されたOAuthアプリ、APIトークン、アプリパスワードなどに見覚えのないものがないか確認します。
特権ロール・管理設定の変更
侵害されたアカウントから管理者権限が付与されていないか、条件付きアクセスや監査設定が変更されていないか確認します。
監査ログの削除や無効化が行われている場合は、攻撃者が痕跡を隠そうとした可能性も考えられます。
大量ダウンロード・データエクスポート
不正ログイン後にファイル、メール、顧客情報などが大量に取得されていないか確認します。
共有リンク作成、メール検索、データエクスポート、請求情報変更なども確認対象です。
企業パスワード漏えいでは、ログインされたかだけでなく、ログイン後に何が操作・取得されたかまで確認する必要があります。
企業パスワードが漏えいする主な原因
パスワード漏えいが確認された場合は、自社システムが直接侵害されたと決めつけず、認証情報の流出経路を切り分けます。
フィッシングで認証情報を入力した
Microsoft 365、Google Workspace、VPN、クラウドサービスなどのログイン画面を装い、利用者にID・パスワードを入力させる手口があります。
MFAコードまで入力させたり、偽OAuth同意画面を使ったりするケースもあるため、パスワードだけでなく認証方式全体を確認します。
インフォスティーラに認証情報を窃取された
端末がインフォスティーラに感染すると、ブラウザ保存パスワード、Cookie、セッショントークンなどが窃取される場合があります。
この場合、パスワード変更だけではなく、感染端末の隔離やセッション失効、端末の再イメージングなども検討します。
外部サービスから漏えいしたパスワードを使い回していた
自社システムが侵害されていなくても、別のサービスから漏えいしたパスワードを使い回していると、リスト型攻撃で企業アカウントへ不正ログインされる可能性があります。
同一・類似パスワードを横断して変更する必要があるのは、このためです。
認証基盤の脆弱性や設定不備があった
認証システム、VPN、IdP、リモートアクセス製品などの脆弱性や設定不備から認証情報が悪用される場合もあります。
パッチ適用状況、外部公開範囲、不要なレガシー認証の有無などを確認します。
内部不正によって認証情報が持ち出された
退職者や内部関係者が共有アカウントや認証情報を持ち出している場合もあります。
特に共有IDを利用している環境では、誰がいつ利用したのか追跡しにくくなるため、個人単位のアカウント管理へ見直すことが重要です。
企業パスワード漏えいで確認すべき報告・通知
パスワード漏えいに個人データが含まれる場合や、不正アクセスによって個人情報が閲覧・取得された可能性がある場合は、法務・個人情報保護担当と連携して報告・通知義務を確認します。
漏えいした認証情報が個人データに該当するか確認する
漏えいしたIDやパスワードが個人に紐づく情報である場合は、対象データの内容や管理状況を確認します。
単なる認証情報だけなのか、氏名、メールアドレス、顧客情報など他の個人データと組み合わされているのかも確認します。
財産的被害につながるおそれを確認する
金融サービス、決済、顧客アカウントなど、認証情報の悪用によって財産的被害が発生する可能性がある場合は注意が必要です。
実際に不正ログインが発生しているか、利用者の権利利益を害するおそれが大きいかを確認します。
不正な目的によるアクセスの有無を確認する
攻撃者による不正アクセスや情報持ち出しが疑われる場合は、単なる設定ミスとは異なる扱いになる可能性があります。
そのため、侵害の蓋然性やログ上の不正操作を確認したうえで、法務と対応方針を決めます。
本人通知・当局報告の要否を法務と判断する
提供された情報では、速報は原則3～5日以内、確報は原則30日以内、不正目的による漏えいのおそれがある場合は60日以内という目安が示されています。
ただし、実際の報告義務は対象データ、暗号化などの保護措置、侵害の蓋然性、業種別規制などによって変わります。
そのため、「パスワードが漏れた＝必ず同じ期限で報告」と一律に判断せず、法務・個人情報保護担当と早い段階で該当性を確認することが重要です。
企業パスワード漏えい後の再発防止策
インシデント対応が完了した後は、同じ認証情報侵害を繰り返さないために、認証基盤や運用ルールを見直します。
全社でMFAを必須化する
パスワードだけでログインできる状態を減らし、MFAを全社で標準化します。
特権IDや管理画面については、FIDO2やパスキーなどフィッシング耐性の高い方式を優先します。
SSO・条件付きアクセスを導入する
SSOを導入し、認証基盤を集約することで、パスワードの乱立や使い回しを減らします。
あわせて、端末準拠、接続場所、リスク評価などを利用した条件付きアクセスを適用します。
特権IDをPAM・JITで管理する
管理者権限を常時付与するのではなく、必要な時間だけ昇格させるJITやPAMの仕組みを導入します。
一般利用者と管理者アカウントを分離し、日常業務で特権IDを使わない運用も重要です。
使い回し・漏えい済みパスワードを禁止する
パスワードの使い回しを禁止し、既知の漏えい済みパスワードを登録できない仕組みを導入します。
社員が安全に一意のパスワードを利用できるよう、パスワードマネージャーの導入も検討します。
IdPとEDRを連携して認証異常を検知する
IdP、EDR、SIEMなどを連携し、不審なログイン、OAuth同意、MFA変更、メール転送ルールなどを継続的に監視します。
パスワード漏えい後の初動を早めるには、平時から認証異常を検知できる仕組みが必要です。
フィッシング訓練をMFA・OAuthまで拡張する
従来の「リンクをクリックしない」だけの訓練では不十分です。
MFA fatigue、偽OAuth同意、ヘルプデスクなりすましなど、現在利用される認証突破手口も訓練対象に含めます。
企業パスワード漏えいの原因と被害範囲をフォレンジック調査で確認する方法
企業パスワード漏えいが判明しても、漏えい元や実際の悪用範囲まではすぐに分からないことがあります。フィッシングなのか、インフォスティーラなのか、別サービスから漏えいした認証情報の使い回しなのかを切り分けるには、端末・認証基盤・ネットワークの記録を時系列で確認します。
認証情報が漏えいした原因を確認する
対象利用者の端末やメール、ブラウザ履歴、ダウンロード履歴などを確認し、フィッシングサイトへのアクセスや不審なファイル実行がなかったかを調べます。
インフォスティーラが疑われる場合は、ブラウザ情報やセッション窃取につながる痕跡も確認します。
不正ログインが実際に成功したか確認する
IdP、VPN、メール、SaaSなどの認証ログを突き合わせ、漏えいした認証情報が実際に利用されたかを確認します。
攻撃元IP、利用端末、認証方式、セッション開始・終了時刻などを整理します。
侵入後の横展開や権限昇格を確認する
VPNや一般アカウントから侵入した後に、ファイルサーバー、管理画面、クラウド環境などへ横展開していないか確認します。
新規管理者ロール、サービスアカウント、APIキー、OAuthアプリなどが追加されていないかも調査します。
データ持ち出し・情報漏えいの有無を確認する
不正アクセス後に大量ダウンロード、共有リンク作成、メールエクスポート、クラウドストレージからの取得などが発生していないか確認します。
パスワード漏えいの対応では、「侵入されたか」だけでなく「何を見られ、持ち出された可能性があるか」まで確認することが重要です。
報告・再発防止に必要な時系列を整理する
漏えいの発生時期、不正ログイン、設定変更、データ取得、封じ込めまでを時系列で整理します。
この時系列は、経営層への報告、取引先説明、法的報告、再発防止策の策定にも利用できます。
フォレンジック調査会社に相談する
企業パスワード漏えいが確認されたものの、どこから漏れたのか、不正ログインが成功したのか、横展開や情報持ち出しまで発生しているのか判断できない場合は、フォレンジック調査会社への相談を検討します。
フォレンジック調査会社では、端末、IdP、VPN、メール、EDR、クラウドなどに残るログやデータを解析し、認証情報の漏えい経路、不正アクセスの有無、侵入後の操作、情報持ち出しの可能性などを調査できます。
特にメール、VPN、特権IDが侵害されている場合は、パスワード変更だけで復旧すると、攻撃者が残したOAuthアプリ、トークン、権限、永続化設定などを見落とす可能性があります。
また、個人情報保護委員会への報告や取引先への説明を見据える場合も、いつ・どの経路で侵害され、どの情報へアクセスされた可能性があるかを客観的に整理することが重要です。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
企業パスワード漏えいが判明した場合は、単にパスワードを変更するだけではなく、認証情報侵害インシデントとして対応する必要があります。該当アカウントの無効化・強制サインアウト、セッションやトークンの失効、同一・類似パスワードの横断変更、MFA再登録、ログ保全を並行して進めます。
特にメール、Microsoft 365、Google Workspace、VPN、特権ID、クラウド管理者などは優先度が高く、転送ルール、OAuthアプリ、MFA登録変更、権限昇格、大量ダウンロードなどを重点的に確認します。
また、パスワードが漏えいした原因は、フィッシング、インフォスティーラ、外部サービスからの流出認証情報の使い回し、認証基盤の脆弱性、内部不正など複数考えられます。自社システムが侵害されたと即断せず、認証情報の出所と実際の利用状況を分けて調査することが重要です。
個人データが関係する場合は、対象データ、侵害の蓋然性、不正目的の有無などを確認し、法務・個人情報保護担当と報告・本人通知の要否を早期に判断します。
不正ログインや横展開、情報持ち出しの有無まで詳しく確認する必要がある場合は、対象アカウントや端末を初期化したりログを削除したりする前に証拠を保全し、フォレンジック調査によって侵入経路と被害範囲を整理する方法があります。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
