ハッシュ化されたパスワードが流出したら?「復元できない形式」の意味と対処

※この記事は、2026年10月14日時点の一般的な情報にもとづいています。

ハッシュ化の仕組みそのもの(ソルト・bcryptなど)は、パスワードのハッシュ化とは?で解説しています。この記事では、流出した時の考え方と、対処を中心にまとめています。

一言でいうと

ハッシュ化とは、パスワードを、元に戻せない形に変換して、保管する仕組みです。

サービスは、利用者のパスワードを、そのままの文字で保管するのではなく、**変換した値(ハッシュ値)**を、保管します。ログインの時は、入力されたパスワードを、同じ方法で変換し、保管されている値と一致するかを確認します。

たとえ話:粉々にしたメモと、照合

大事なパスワードを書いたメモを、シュレッダーにかけて、細かい紙片にして保管するとします。紙片から、元のメモを復元するのは、とても難しい。

ログインする時は、利用者が書いたパスワードを、同じ方法で、シュレッダーにかけ、保管されている紙片と、一致するかを見ます。元のメモは、どこにも残っていません。これが、ハッシュ化のイメージです。

流出の発表で見かける表現

2026年10月の流出の発表でも、パスワードについて、次のような表現が使われています。

• 「パスワードは、復元できない形式で保管している」(タイムズカー)
• 「パスワードのハッシュ値」が含まれる可能性(ブックオフ)
• 「ハッシュ化したログインパスワード」を含む(skyticket)
• 「暗号化されたパスワード」(infoQ、楽天ドライブの一部)

各社の公表は、個人情報流出 2026年10月の主な事案|パスワード変更は必要?早見表で整理しています。

「元に戻せない」でも、安全とは限らない

ハッシュ化されたパスワードが流出しても、元のパスワードを、そのまま読み取れるわけではありません。しかし、安全とは言い切れません。

攻撃者は、よく使われるパスワードや、推測できそうなパスワードを、大量に変換して、流出したハッシュ値と見比べることで、元のパスワードを割り出そうとします。

つまり、ハッシュ化は、パスワードの強さを、補うものではありません。強いパスワードを、さらに守るための仕組みです。

暗号化と、ハッシュ化は違う

「暗号化されたパスワード」という表現も、見かけます。

ただし、公表の言葉は、必ずしも厳密に使い分けられていません。どの方式か、どんな強さかは、発表だけでは、分からないことが多くあります。ですから、利用者の側では、**「安全のため、変更する」**と考えるのが、確実です。

対処:変更する、使い回しをやめる

ハッシュ化されたパスワードが流出した(可能性がある)場合は、次の対処をおすすめします。

1. そのサービスのパスワードを、変更する(公式サイトや公式アプリから)
2. 同じパスワードを使っている、他のサービスも、すべて変更する
3. 多要素認証を、設定する(2段階認証とパスキー)
4. パスワード管理ツールで、サービスごとに、別々の長いパスワードにする(パスワード管理の基本)

流出したパスワードが、他のサービスでも使われていると、リスト型攻撃で悪用される恐れがあります(リスト型攻撃とは)。

サービス側が、できること(参考)

利用者から見えない部分ですが、サービスを運営する側には、次のような対策が求められます。

• パスワードを、十分に強い方式でハッシュ化し、利用者ごとに異なる値(ソルト)を加える
• 多要素認証や、パスキーを導入して、パスワードだけに依存しない
• ログイン試行の制限や、不審なログインの検知を行う
• そもそも、不要なデータを持たない

まとめ

• ハッシュ化は、パスワードを元に戻せない形に変換して保管する仕組み
• 「元に戻せない」ことと「安全」は別。短い、推測されやすいパスワードは、割り出される
• 暗号化と、ハッシュ化は違うが、発表の言葉からは、実際の方式や強さは分からない
• 流出の対象になったら、変更し、使い回しをやめ、多要素認証を設定する

この特集の記事(個人情報流出)

• 個人情報流出 2026年10月の主な事案|パスワード変更は必要?早見表
• 「パスワードは流出していない」と言われたら、パスワード変更は必要?
• 自分の情報が流出したと通知が来たら(最初の24時間)