240億件の認証情報が露出、6月にコダックも被害 — 2026年6月のセキュリティインシデント

記録的な露呈：240億件の認証情報が無防備な状態で発見される

2026年6月、セキュリティ研究者は、今年の他のほぼすべてのデータ漏洩を比較対象にさせるような何かを偶然発見しました。それは、240億件以上の盗まれた認証情報レコードを含む、一般にアクセス可能なデータベースでした。パスワードも、ログイン画面も、暗号化も、インターネットとデータの間に立ちはだかるものは何もありませんでした。露出したサーバーを見つけた人は誰でも、自由に閲覧できたのです。

明確にしておくと、240億件のレコードが240億人のユニークな個人を意味するわけではありません。この種のデータベースは通常、過去数年にわたる侵害、マルウェアログ、流出したパスワードダンプから収集・結合された認証情報セットの編集物であり、すべてが1つの巨大なファイルに集約されています。重複エントリは一般的で、同じメールアドレスが、異なる時点で盗まれた異なるパスワードと組み合わせて数十回表示されることもあります。それでも、露呈の規模の大きさは、2026年に日常的となった問題、すなわち、以前に盗まれたデータの膨大な山が、安全対策のないまま新しい場所に次々と再浮上しているという問題を浮き彫りにしています。

この種の露呈は、サイバー犯罪者への参入障壁を下げるため、特に危険です。ダークウェブフォーラムで厳選された侵害データセットへのアクセスにお金を払う代わりに、攻撃者はオープンなデータベースから単に認証情報を取得し、自動化された「クレデンシャルスタッフィング」攻撃を通じて、銀行サイト、メールプロバイダー、企業ログインに対してそれらをテストし始めることができます。

コダック、2026年の侵害被害者のリストに加わる

同じ月に、2つ目のより標的を絞ったインシデントが発生しました。コダックは、ハッキンググループが約220万件の顧客および企業レコードを盗んだと主張した後、侵害を確認しました。このグループは、ダークウェブのリークサイトにコダックを掲載しました。これは、盗まれたデータが公開または販売される前に企業に支払いを強要しようとする、恐喝に焦点を当てたハッキング集団の標準的な戦術となっています。

このアプローチは、年間を通じて他の組織で展開されたものと類似しています。CMDのようなグループは、単にデータの漏洩を脅すのではなく、盗んだデータを直接オークションにかけることで恐喝の手口をさらに推し進めました。一方、DARK PROJECTは、圧力を最大化する方法として、複数の被害者を一度にリークサイトに掲載しました。コダックの攻撃者が完全なデータセットを公開するという脅しを実行したかどうかに関わらず、パターンは同じです：先に盗み、その後、公開露出をてことして使うのです。

2026年のより大きなパターンの一部

240億件の認証情報の露出もコダックの侵害も、単独で発生したわけではありません。2026年は、セクターや地理を問わず、大規模なインシデントが着実に続いています。政府システムも例外ではなく、8月上旬に英国とスイスの政府の侵害が業務を混乱させ、公共部門の組織も民間企業と同じ露出リスクに直面していることを示しています。消費者側では、6月の侵害をめぐる訴訟が、最大24億人のTikTokユーザーのデータが露出した可能性があると主張しており、この主張が正確であれば、これまでに報告された中で最大級の侵害にランク付けされます。

これらのインシデントを結び付けるのは、単一の原因ではなく、一連の共通する根本的な弱点です：インターネットに開放されたままの安全対策のないデータベース、サービス間で再利用される認証情報、そして盗んだデータを単に蓄えるのではなく、オークション、漏洩、または身代金要求のための商品としてますます扱う攻撃者たちです。

これがあなたにとって意味すること

ほとんどの人は、自分の特定の認証情報がその240億件のレコードのデータベースの中にあったかどうかを確実に知ることは決してないでしょう。また、コダックも侵害の影響を受けた人の完全なリストを公開していません。その不確実性こそが、2026年のデータ漏洩がIT部門だけでなく一般ユーザーにとっても重要である理由の一部です。あなたのメールアドレスとパスワードの組み合わせが過去の侵害に登場したことがあるなら、そしてそれは数多くありますが、それが現在流通しているより大きな集約データセットの一部である可能性は十分にあります。

実践的な対応にパニックは必要ありません。最も一般的な攻撃経路を遮断する基本的な衛生管理、つまり、アカウントごとにユニークなパスワード、提供されている場所での多要素認証、そしてあなたのメールアドレスが既知の侵害に登場していないかどうかの定期的なチェックが必要です。

実践可能な要点

• パスワードマネージャーを使用して、すべてのアカウントにユニークなパスワードを生成・保存し、1つの侵害から漏洩した認証情報が他のアカウントを解放できないようにする。
• メール、銀行、および機密の個人情報や財務情報を保持するすべてのアカウントで多要素認証を有効にする。
• 侵害監視サービスを定期的にチェックして、あなたのメールアドレスが既知の漏洩に登場していないか確認する。6月に発見されたような大規模な集約データベースも含めて。
• 予期しないパスワードリセットメールやログインアラートを受け取ったら、どの侵害が引き金になったか確認できなくても、すぐにパスワードを変更する合図として扱う。
• 取引のある企業に影響を与える進行中の2026年のデータ漏洩について最新情報を把握する。侵害通知は実際のインシデントから数週間から数ヶ月後に届くことが多いため。

この規模のデータ漏洩が2026年に減速する可能性は低いでしょう。先手を打つことは、すべてのリスクを回避することではなく、漏洩が発生したときに、それがアカウントの乗っ取りやアイデンティティの盗難に発展しないようにすることです。