デンマークの880万人流出は「他人事」ではない——原因はパスワード「123456」
2026年10月14日、デンマークの中央個人登録簿（CPR）から約880万人分の氏名・住所・個人識別番号が不正に取得された事件が報じられました。原因は、照会権限を持つ民間企業のアカウントに設定されていた「123456」という単純なパスワードです。
攻撃者を名乗る人物は現地紙の取材に対し「特に難しくなかった」と語っています。ログイン後は自作のプログラム2本で約1,400万回の自動照会を実行し、9月10日から20日にかけてデータを外へ持ち出しました。発覚したのは10月2日、担当者が異常に大量の照会請求書に気づいたのがきっかけです。
さらに重いのは、管理者用を含む少なくとも3つのアカウントで同じパスワードが使い回されていた点です。副業でクライアントの顧客リストや売上データを預かる人にとって、この構図は対岸の火事ではありません。1つの弱いパスワードが、預かった情報すべての出口になるという構造は、案件を請ける側にもそのまま当てはまります。
副業のアカウントが狙われる3つの理由
「自分は個人事業主だから狙われない」と考えるのは早計です。副業の働き方には、企業以上にパスワード管理が崩れやすい条件がそろっています。
1つ目は、アカウント数が本業より多くなりがちな点です。クラウドソーシング、ASP、会計ソフト、請求書ツール、SNS、案件管理、チャット、オンラインストレージ。1つの案件を回すだけで5〜10個のログイン情報が増えます。案件が3つ重なれば、覚える側の限界はすぐに来ます。
2つ目は、使い回しが「普通」になっている点です。トレンドマイクロが2026年3月に公表した「パスワード・パスキーの利用実態調査2026」（n=1,034）では、8割以上の利用者がパスワードを使い回しており、パスワードマネージャーを使っている人は10.8%にとどまりました。ゾーホージャパンの調査（2026年6月・n=1,219）でも、経営層の約66%が業務用パスワードを使い回していたと報告されています。国内の被害も拡大が続き、東京商工リサーチの集計では2025年に公表された上場企業の情報漏えい事故は180件、漏えい・紛失人数は約3,063万人分に増えました。警察庁へのランサムウェア被害報告は2026年上半期だけで123件と、半期として過去最多の水準です。
3つ目は、端末とネットワークの境界が曖昧な点です。会社のPCで私用アカウントにログインする、私物スマホでクライアントのクラウドに触る、カフェのWi-Fiで案件ファイルを開く。これらは作業効率を上げる一方で、漏洩経路を一気に増やします。インシデントの背景も厳しさを増しており、日本経済新聞は2026年9月以降の約1カ月で世界延べ3億2,000万人分・国内延べ5,700万人分の情報漏洩が明らかになったと伝えました。
【比較表】副業で使うパスワード管理ツール6選
対策の第一歩は、記憶と使い回しをやめることです。ここでは副業用途で比較検討しやすい6つを、無料枠の有無・費用の目安・日本語対応で整理しました。料金は2026年10月時点の公開情報をもとにした目安なので、契約前に公式サイトで最新のプランを確認してください。
| ツール | 無料枠 | 有料の目安 | 日本語UI | 副業での使いどころ |
|---|---|---|---|---|
| 1Password | なし（無料体験あり） | 月450円〜 | 対応 | 案件ごとに保管庫を分けたい人 |
| Bitwarden | あり（保存数無制限） | 月1.65ドル〜 | 対応 | 無料で始めて費用を抑えたい人 |
| NordPass | あり（同時1台） | 有料で同時接続が無制限 | 対応 | 漏えい監視まで自動化したい人 |
| LastPass | あり | 月3ドル〜 | 対応 | 実績重視（過去の漏えい事案は要確認） |
| パスワードマネージャー | あり | 有料プランあり | 対応 | 総合セキュリティ製品とまとめたい人 |
| Google・Apple標準の保管庫 | あり（端末に標準搭載） | 無料 | 対応 | 追加費用ゼロで今日から始めたい人 |
タイプ別に選ぶ——3つの使いどころ
どれが優れているかよりも、自分の作業スタイルに合うかどうかで選ぶ方が長続きします。副業の現場では、次の3つの型に分かれます。
追加費用ゼロで始めたい人——Bitwarden・標準搭載の保管庫
まず無料の選択肢で構いません。Bitwardenは保存数無制限の無料プランがあり、オープンソースで中身が公開されています。GoogleやAppleの標準保管庫も、スマホとPCの同期と生体認証を無料で使えます。私の場合は、最初の2週間を無料枠で試し、使い勝手を確かめてから有料プランへ移りました。
案件ごとに情報を分離したい人——1Password
クライアントが3社以上になると、保管庫そのものを分けたくなります。1Passwordは複数の保管庫を作れるため、A社の情報をB社の作業中に誤って開く事故を減らせます。パスキー対応や共有リンクの期限設定も備わっており、NDAを結ぶ案件と相性が良いツールです。
漏えいチェックまで自動化したい人——NordPass・LastPass
NordPassは新しい暗号方式（XChaCha20）を採用し、保存したパスワードの健全性チェックやデータ漏えいスキャンを備えています。LastPassは大規模組織での導入実績が豊富ですが、過去に大規模な漏えい事案があった点は把握したうえで判断してください。過去の事案を隠すのではなく、公表内容を読んで評価する姿勢が選定では役立ちます。
副業アカウントを守る5つの習慣
ツールを入れるだけでは穴は塞がりません。次の5つを同時に整えると、守りが一段固くなります。
- 案件ごとにパスワードを分ける（同じ文字列を2つのサービスで使わない）
- 二段階認証を、まずメールとクラウドストレージに設定する
- 対応サービスではパスキーへ切り替える（トレンドマイクロ調査では、条件を満たす利用者の87.7%が既に利用開始）
- ブラウザの保存機能を止め、保管庫を1つに寄せる
- 四半期ごとに古いアカウントを棚卸しして削除する
パスキーはフィッシングやアカウントリスト攻撃のリスクを大きく下げます。復旧手段を先に決めておけば、パスキーは最も強い守りになります。ただし機種変更時の引き継ぎに不安を感じる人は35.6%、端末の紛失・故障でログインできなくなることを心配する人は35.3%います（同調査）。復旧用の連絡先と予備の認証手段を先に決めておけば、この不安は解消できます。
漏えいが疑われるときの初動対応の順序
慌てて全部のパスワードを変える必要はありません。守るべき順番は、被害の大きいものからです。
- 登録メールアドレスに不審な通知やログイン履歴がないか確認する
- メールアカウントのパスワードを変更し、二段階認証を有効にする
- クラウドストレージと決済・振込系サービスを変更する
- 同じパスワードを使っていた他のサービスを、保管庫の生成機能で作り直す
- クライアントに報告すべきか、NDAの条文を確認して判断する
順序の根拠は単純です。メールが取られれば、そこから全サービスの再設定が可能になります。逆に言えば、メールの二段階認証を入れておくだけで被害の連鎖の大半を止められます。クライアントへの報告は、契約上の守秘義務と通知義務の定めに従って判断してください。私は以前、使っていないサブスクの解約ページに入るパスワードが分からず、1時間を溶かしたことがあります。小さな詰まりの積み重ねが、使い回しを生む入口になります。
会社のPC・私物端末を使う副業のリスク管理
副業の初期は、会社のPCや私物スマホをそのまま使う人が少なくありません。ここには2種類のリスクが重なっています。
1つは、会社側の情報と副業先の情報が同じ端末に載るリスクです。共有フォルダの同期やブラウザのプロファイルが混ざると、どちらの情報がどこに残っているか追えなくなります。もう1つは、雇用契約や就業規則で副業が制限されている場合に、業務時間中の私的利用が懲戒の対象になり得る点です。
現実的な折衷案は、ブラウザのプロファイルを分ける・専用のユーザーアカウントを作る・案件ファイルは暗号化した外付け領域に置く、の3点です。副業で受け取った顧客情報は守秘義務の対象になり、契約によっては損害賠償の請求に発展する可能性もあります。「端末を分ける」は経費ではなく保険と考えてください。専用端末を1台用意する選択肢も現実的です。中古PCやタブレットなら月数千円に収まる場合もあり、契約している案件の数によっては十分に回収できます。
よくある失敗と回避策
実際に起きやすいつまずきは、パターンが決まっています。事前に知っておけば避けられます。
| 失敗 | 起きる理由 | 回避策 |
|---|---|---|
| 保管庫に全部入れたのに、結局1つだけ強いパスワードを使い回す | マスターパスワード1本に戻ってしまう | パスフレーズ形式（無関係な単語4〜5個）にする |
| ブラウザ保存と保管庫の二重管理になる | 移行時に古い保存が残る | 移行後はブラウザの保存機能を止め、CSVは完全削除する |
| クライアント情報を私物クラウドに置く | 共有が手軽すぎる | 案件専用フォルダを作り、共有リンクに期限を付ける |
| 退職・案件終了後もアカウントが残る | 棚卸しの担当が決まっていない | 案件終了時に削除する日を決めて保管庫にメモする |
| パスキーを設定したが復旧手段がない | 予備の認証手段を決めていない | 復旧用メールとバックアップコードを別の場所に保管する |
ゾーホー調査では、退職者のアカウントが残った経験を持つ回答者が約11%いました。個人の副業でも、案件が終わったら即座にアクセス権を切る運用を徹底してください。
セキュリティ投資は月5万円への近道になる
対策費用は月数百円です。有料プランでも年5,000〜6,000円程度、無料枠なら0円で運用できます。一方、1回の漏えいで失うものは金額に表れにくい部分に集中します。
IBMが2026年8月に公表した調査では、データ侵害の世界平均コストは499万ドル、AIを活用した攻撃による侵害は平均600万ドル（前年比56%増）でした。日本の個人事業主にこの金額がそのまま当てはまるわけではありませんが、信用の毀損は案件の再受注に直結します。1件の失注が5万円なら、月10円の安心は十分に元が取れます。無料枠で始める場合でも、ログインのたびにパスワードを思い出す時間が消える分だけ、作業時間は確実に短くなります。
【FAQ】副業の情報セキュリティに関するよくある質問
最後に、副業とパスワード管理についてよく寄せられる疑問をまとめました。気になる項目があれば、設定画面を開いて確認してください。
| 無料のパスワード管理ツールでも安全ですか？ | 仕組みが公開されているものを選べば実用上十分です。ゼロ知識暗号化かどうかを必ず確認してください。 |
| パスワード管理ツール自体が攻撃されたらどうなりますか？ | ゼロ知識設計なら保管庫の中身は復号できません。マスターパスワードと二段階認証の強度が最後の壁になります。 |
| スマホの標準機能だけで十分ですか？ | 1台で完結するなら十分です。PCとスマホを併用する副業では、同期と共有のしやすさで専用ツールが有利になります。 |
| パスワードは何文字あれば安全ですか？ | 長さが強度の主要因です。12文字以上より、無関係な単語を4〜5個つないだパスフレーズの方が推測されにくくなります。 |
| クライアントから預かった情報はどこに置くべきですか？ | 案件専用フォルダを作り、共有リンクに期限を設定したうえで保管庫で管理してください。 |
| 漏えいが起きたらクライアントに報告すべきですか？ | 契約の通知義務の定めによります。NDAの条文を確認し、判断に迷う場合は専門家に相談してください。 |
まとめ：今日の1時間で、明日の信用を守りましょう
デンマークの事例が示したのは、高度な攻撃技術の話ではありません。弱いパスワード1つと、使い回しという日常的な習慣が、880万人分の情報を動かしたということです。
やることは3つだけです。パスワード管理ツールを1つ選ぶ。メールとクラウドストレージに二段階認証を設定する。案件が終わったらアカウントを消す。ここまでを1時間で終えれば、副業の土台は変わります。まずは無料プランで保管庫を作り、メールの二段階認証を設定してください。守りを整えた人は、案件を断らずに受けられる幅が広がります。今日から始めましょう。
コメント