Apple Accountのリスト型攻撃に注意｜手口と対策

Apple Accountのリスト型攻撃に注意｜手口と対策

iPhoneに突然、「Apple Accountのサインインが要求されました」と表示される。地図には、行ったこともない外国の都市。そんな通知を受け取った経験はありませんか。

こうした通知の背景として、よく挙げられるのが「リスト型攻撃」です。別のサービスから流出したメールアドレスとパスワードの組み合わせを使って、ほかのサービスに自動でログインを試す手口のことです。

確認できるのは、国内で個人情報の流出が相次いでいることと、Appleを名乗る偽メールの注意喚起が、10月に入って複数の機関から出ていることです。

この記事では、リスト型攻撃の概要、手口の例、被害の事例、効果的な対策を、順番に説明します。YouTubeチャンネルのテックスタイルchでも、Apple Accountの守り方を動画で紹介しています。画面を見ながら確認したい方は、あわせてご覧ください。

まず結論：今すぐやる3つ

優先順位の早見表

優先	やること	目安の時間
1	Apple Accountのパスワードを、ほかのサービスと重ならない、長いものに変える	5分
2	2ファクタ認証と、信頼できる電話番号を確認する	5分
3	身に覚えのない「サインインが要求されました」は、必ず「許可しない」を押す	通知が出たとき

なぜこの3つなのか

リスト型攻撃が成功する条件は、「同じパスワードを使い回していること」です。1番目で、その条件をなくします。2番目と3番目は、万が一パスワードが知られても、アカウントに入られないようにする守りです。

リスト型攻撃の概要

リスト型攻撃とは

リスト型攻撃は、「パスワードリスト攻撃」や「リスト型アカウントハッキング」とも呼ばれます。ほかのサービスから流出したり、ほかの手段で入手したりした、IDとパスワードの組み合わせ（リスト）を使い、別のサービスに自動でログインを試みる手口です。

仕組みを4つの手順で見る

1. どこかのサービスで、メールアドレスとパスワードの組み合わせが流出する
2. 攻撃者が、その組み合わせを集めて、リストにする
3. 専用のプログラムが、リストの内容を、別のサービスに、次々と入力して試す
4. 同じパスワードを使い回している人のアカウントだけが、突破される

攻撃者は、パスワードを推測しているわけではありません。「すでに知っている正解」を、ほかのサービスで試しているだけです。

なぜApple Accountが狙われるのか

Apple Accountは、メールアドレスがそのままIDになっています。メールアドレスは、ほかのサービスでも使われることが多く、攻撃者が、リストの中身をそのまま入力しやすい仕組みです。

また、Apple Accountには、写真、連絡先、バックアップ、パスワードなどが保存されています。乗っ取れた場合の価値が高いため、狙われやすいと考えられます。これは一般的な見方で、Appleが狙われやすいと公表したわけではありません。

似た手口との違い

手口	何をするか	リスト型との違い
リスト型攻撃	流出した「正解の組み合わせ」を、別のサービスで試す	使い回しが成立の条件
ブルートフォース（総当たり）攻撃	パスワードを、片っ端から試す	正解を知らずに、推測で入力する
フィッシング	偽のメールやサイトで、本人に入力させる	本人が、自分で入力してしまう

リスト型攻撃は、利用者が何もしなくても起こります。一方で、フィッシングは、利用者が偽サイトで入力することが、きっかけになります。

日本では、使い回しが多い

Okta Japanが、2025年6月に公表した調査では、日本の消費者の71%が、パスワードをなんらかの形で使い回しているとされています。世界平均は68%でした。この調査は、2025年2月に、世界9か国の6,750人を対象に行われたものです。使い回しが多いほど、リスト型攻撃が成立しやすくなります。

リスト型攻撃の手口の例

手口1　流出した情報を手に入れる

流出した情報は、ダークウェブ（検索では見つからない、特殊な通信を使った場所）などで取引されることがあります。企業からの情報流出が相次ぐ2026年は、メールアドレスとパスワードの組み合わせが、リストとして出回りやすい状況だと言えます。

手口2　自動プログラムで、大量に試す

人の手では、とても追いつかないため、自動で入力するプログラムを使います。次の事例のように、短い時間に、数百万件近くのログインの試行が行われることもあります。普通のアクセスに紛れるように、ゆっくり試す手口も指摘されています。

手口3　当たったアカウントを悪用する

ログインに成功すると、攻撃者は、会員情報の閲覧、ポイントの不正な利用、アカウントの乗っ取りなどを行います。Apple Accountは、パスワードが合っていても、2ファクタ認証（パスワードに加えて、もうひとつの確認を行う仕組み）があるため、確認コードがなければ、サインインが完了しません。

手口4　「サインインが要求されました」の通知を出す

パスワードが合っていると、持ち主のiPhoneなどに、「サインインが要求されました」という確認が表示されます。この確認で、「許可する」を押すと、確認コードが表示されます。そのコードが攻撃者に渡ると、サインインが完了します。

この通知が届いたということは、攻撃者が、少なくともパスワードの正解を知っている可能性が高い状態だと考えられます。通知が届いた場合の対処は、Apple Account不正ログイン｜海外から通知が来たらで、くわしく説明しています。

手口5　フィッシングと組み合わせる

リスト型攻撃で、うまく入れなかった場合に、次の手として使われるのが、フィッシングです。実際に、2026年10月5日には、「Apple Accountが不正利用されるおそれがあります」という件名のAppleを名乗る偽メールが確認されたと、セキュリティ分析のサイトが報告しています。10月7日にも、電気通信大学が、Appleを名乗る詐欺メールが学内のメールアドレスに届いているとして、注意を呼びかけました。

偽メールの目的は、パスワードや確認コード、カード番号を、本人に入力させることです。Apple Accountを名乗る偽メールの見分け方は、「ご利用のApple Accountによる最近のダウンロードについて」フィッシング詐欺の見分け方で、くわしく説明しています。

手口6　何度も通知を出して、押させる

報告されている手口として、短い時間に、何度も通知を出し続けるものがあります。うんざりして、うっかり「許可する」を押してしまうのを、狙っていると考えられます。心当たりがない通知は、すべて「許可しない」を押してください。

リスト型攻撃の被害の事例

国内の事例

時期	事例	内容
2025年6月	通販サイト「PAL CLOSET」（株式会社パル）	リスト型アカウントハッキングとみられる不正ログイン。6月15〜16日に1,722,379件の試行があり、194,307件でログインされた
2026年5月	転職サイト「女の転職type」（キャリアデザインセンター）	5月26〜28日に、リスト型攻撃によるとみられる不正ログインが発生したと公表

PAL CLOSETの事例では、会員情報のページに、氏名、性別、生年月日、郵便番号、住所、電話番号、バーコード番号が記載されていました。閲覧された可能性があるものの、不正注文などの二次被害は、確認されていないと公表されています。会社は、全会員のパスワードを無効にして、再設定を呼びかけました。IDとパスワードが、会社から流出した証拠はなかったとのことです。

Apple Account自体の被害事例

Apple Accountが、リスト型攻撃で被害に遭った事例が、公式に公表されたものは、確認できていません。「知らない外国からサインイン要求が届いた」という声は、質問サイトなどに、個人の体験談として多く投稿されています。件数は確認できていません。

証券会社からの注意喚起

2026年10月6日に、SMBC日興証券は、「パスキー等を保存している『Apple Account』や『Google アカウント』の乗っ取り被害にご注意ください」というお知らせを出しました。Apple Accountなどが乗っ取られると、そこに保存されたパスキーやパスワードを使って、証券口座に不正アクセスされる可能性がある、という内容です。リスト型攻撃そのものを指した注意喚起ではありませんが、Apple Accountの守りが大切だと分かる事例です。

起こりうる被害の種類

被害は、次のように広がります。

• 情報の閲覧： 氏名、住所、電話番号などが見られる
• ポイントや決済の不正利用： ポイントの交換や、登録したカードでの買い物
• 乗っ取りの連鎖： 同じパスワードを使うほかのサービスにも、入られる
• 詐欺メールへの悪用： 手に入れた情報をもとに、本物らしい偽の連絡を送る
• iCloudのデータの閲覧： 写真、連絡先、バックアップなど
• 家族や友人への、なりすまし： 連絡先を使って、周りの人にも被害が広がる

被害に遭ったあとの流れ

流出から被害までの時間は、短いこともあります。通知や不審な動きに気づいたら、先に延ばさず、パスワードの変更から始めてください。

リスト型攻撃に効果的な対策

対策1　パスワードの使い回しをやめる

最も効果的なのは、使い回しをやめることです。リスト型攻撃は、同じパスワードを使っていなければ、成立しません。変更の順番は、メール、Apple Account、お金に関わるサービス（銀行、証券、決済）、通販やポイント、そのほかの順がおすすめです。

対策2　Apple Accountのパスワードを、専用の長いものにする

Apple Accountのパスワードは、ほかのサービスと重ならない、長いものにします。誕生日や電話番号など、推測されやすいものは避けてください。iPhoneが提案する強力なパスワードを使うと、覚える手間がかかりません。

変更の手順は、「設定」を開き、自分の名前をタップして、「サインインとセキュリティ」→「パスワードを変更」と進みます。画面の表示は、iOSのバージョンによって異なる場合があります。

パスワードを変更するときに、「セキュリティ遅延が必要です」と表示され、60分ほど待つことがあります。盗難デバイスの保護がオンのとき、普段使う場所以外で、大事な設定を変えようとすると、表示される仕組みです。待ち時間が終わってから、もう一度変更してください。

対策3　2ファクタ認証と、信頼できる電話番号を確認する

「設定」→自分の名前→「サインインとセキュリティ」→「2ファクタ認証」で、オンになっているかを確認します。信頼できる電話番号が、最新かも、あわせて見てください。古い番号や、使っていない番号は、削除します。

対策4　パスキーとセキュリティキーを使う

パスキーは、パスワードの代わりに、顔や指紋の認証でログインできる仕組みです。偽のサイトにパスワードを入力してしまう被害を、防ぎやすくなります。対応しているサービスから、少しずつ使ってみてください。

対策5　「許可しない」を押し、コードを教えない

心当たりのない「サインインが要求されました」は、「許可しない」を押してください。確認コードは、電話やメッセージで、誰かに聞かれても、教えてはいけません。公式のサービスが、コードを聞き出すことはありません。

対策6　流出していないかを確認する

iPhoneの「パスワード」には、使い回しや、流出が確認されたパスワードを知らせる表示があります。表示が出ているサービスから、パスワードを変更してください。使っているメールアドレスが流出していないかを確認できる、無料のサービスもあります。

対策7　サインインしている端末と、登録メールアドレスを見直す

「設定」で、自分の名前をタップし、下にスクロールすると、サインインしている端末が一覧で表示されます。見覚えのないものがあれば、「アカウントから削除」を選びます。登録しているメールアドレスが、自分のものかも、確認してください。

対策8　偽メールが大量に届くときは、メールアドレスの変更も考える

偽のメールが大量に届くのは、メールアドレスが、攻撃者に知られていることを意味します。フィッシング対策協議会は、そのような場合は、新しいメールアドレスを作成して、移行する方法をすすめています。

2ファクタ認証を、さらに固める「セキュリティキー」

2ファクタ認証の確認コードは、電話やメッセージで、相手に教えてしまうと、効果がなくなります。この弱点を減らす方法が、物理的な鍵にあたる「セキュリティキー」です。

セキュリティキーは、USBやNFCで接続する、小さな鍵です。Apple Accountのサインインに、確認コードの代わりに使えます。キーを持っていない相手は、パスワードを知っていても、サインインできません。

使うには、対応するiOSと、2本以上のFIDO対応セキュリティキーが必要です。初心者の方には、少し難しい選択肢かもしれませんが、重要なアカウントを持つ方には、検討する価値があります。購入する前に、Appleの案内で、対応の条件を確認してください。

通知が届いたとき：場面別の対応

一覧表

場面	対応
「サインインが要求されました」が出た	「許可しない」を押す。そのあと、パスワードを変更する
間違えて「許可する」を押した	確認コードを誰にも伝えず、すぐにパスワードを変更する
何度も通知が来る	すべて「許可しない」を押す。パスワードの変更を進める
偽サイトに入力してしまった	すぐにパスワードを変更し、同じパスワードを使うサービスも変更する
コードを教えてしまった	パスワードを変更し、端末を確認して、Appleに相談する

迷ったときの相談先

どの手順から進めるか迷うときや、操作でつまずいたときは、LINEサポートでご相談いただけます。状況に合わせて、次に確認する場所をご案内します。

家族や高齢の方に伝えたいこと

通知が出ても、あわてない

通知が出ても、「許可しない」を押して、コードを教えなければ、サインインは完了しません。画面が出たことだけで、乗っ取られたわけではありません。家族にも、この点を、伝えておくと安心です。

電話で、コードを聞かれたら、切る

「Appleのサポートです」と名乗る電話や、メッセージで、確認コードやパスワードを聞かれても、教えないでください。Appleが、確認コードを電話で聞くことはありません。

パスワードを紙に控えるときは

パスワードを使い回さない代わりに、紙に控える方もいます。紙に書く場合は、人目につかない場所に保管し、持ち歩かないでください。iPhoneの「パスワード」に保存する方法も、選べます。

よくある質問（Q&A）

Q1　リスト型攻撃とは、簡単に言うとどんな攻撃ですか？

ほかのサービスから流出したIDとパスワードの組み合わせを、別のサービスに、自動で入力して試す攻撃です。同じパスワードを使い回していると、突破されるおそれがあります。

Q2　Apple Accountにサインイン要求が届いたのは、リスト型攻撃のせいですか？

原因は、確認できません。リスト型攻撃のほかに、フィッシングで、パスワードが知られた可能性もあります。いずれの場合も、パスワードが知られている可能性があるため、パスワードの変更をおすすめします。

Q3　2ファクタ認証をオンにしていれば、安全ですか？

パスワードが知られても、確認コードがなければ、サインインできないため、効果は高いです。ただ、確認コードを人に教えてしまうと、意味がなくなります。「許可しない」を押し、コードを教えないことが前提です。

Q4　パスワードは、どのくらい長くすればいいですか？

何文字以上という公式の決まりは、ここでは確認できていません。長くて、ほかのサービスと重ならないことが大切です。iPhoneが提案するパスワードを使うと、安全で、覚える手間も省けます。

Q5　メールアドレスが流出しているか、どう確認しますか？

iPhoneの「パスワード」で、流出が確認されたパスワードの表示を確認できます。メールアドレスの流出を確認できる、無料のサービスもあります。確認のために、パスワードそのものを、見知らぬサイトに入力することは、避けてください。迷うときは、LINEサポートにご相談ください。

Q6　パスワードを変えたら、ほかの端末はどうなりますか？

パスワードを変更すると、ほかのデバイスで、サインインし直す必要が出ることがあります。変更のあとに、画面の案内に従って、再度サインインしてください。

まとめ

リスト型攻撃は、ほかのサービスから流出したIDとパスワードの組み合わせを使って、別のサービスに、自動でログインを試す手口です。国内で個人情報の流出が相次ぐ今、備えておく価値は高いと言えます。

• 概要： 使い回しているパスワードが、突破される原因になる
• 手口： 自動で大量に試し、当たったら通知やフィッシングと組み合わせる
• 被害の事例： 2025年のPAL CLOSETでは、約172万件の試行のうち、約19万件でログインされた
• 対策： パスワードの使い回しをやめる、2ファクタ認証とパスキーを使う、心当たりのない通知は「許可しない」を押す

まずは、Apple Accountのパスワードを、ほかと重ならない、長いものに変えるところから始めてください。通知が届いても、あわてず、「許可しない」を押して、コードを教えなければ、サインインは完了しません。

画面を見ながら確認したい方は、テックスタイルchの動画もご覧ください。大切なApple Accountを守って、毎日を安心して過ごせますように。