スクウェア・エニックス不正ログイン｜パスワード使い回しの危険

会社のメール、クラウド、工程管理システム。社員がこれらにログインするとき、同じパスワードを使い回していないでしょうか。

「会社のシステムが直接攻撃されなければ大丈夫」と考えていると、思わぬところから被害が広がる可能性があります。

2026年10月19日、スクウェア・エニックスは「スクウェア・エニックス アカウント」への不正ログインを確認したと報じられました。

報道によると、他社サービスから流出したとみられるIDとパスワードを利用する「パスワードリスト型攻撃」が問題となっています。

同社は被害が疑われるアカウントにログイン制限をかけ、パスワードの再設定を案内。攻撃が続く場合には、全アカウントのパスワードをリセットする可能性も示しています。

今回のニュースで社長に考えていただきたいのは、「別の会社から流出した情報が、なぜ自社の被害につながるのか」という問題です。

この記事では、攻撃の仕組みから、建設会社を含む中小企業のリスク、具体的な対策、事故発生時の初動対応まで解説します。

※本記事は2026年10月20日時点の報道および公開されている参考情報に基づきます。他社から流出した認証情報が使われたという点は報道上の見立てであり、全アカウントの強制リセットは検討されている措置です。実施済みとは扱いません。

1. スクウェア・エニックスで何が起きたのか

2026年10月19日、ゲーム大手のスクウェア・エニックスは、同社が提供するアカウントへの不正ログインを確認したと報じられました。

報道では、他社サービスから流出したとみられるIDとパスワードを使った「パスワードリスト型攻撃」が指摘されています。

同社は不正アクセスが疑われるアカウントにログイン制限を設定し、登録メールアドレス宛てに解除手続きを案内しています。

また、パスワードの使い回しや推測されやすいパスワードに注意を呼びかけ、ワンタイムパスワードの利用を推奨しています。

攻撃が増え続けた場合には、全アカウントのパスワード強制リセットも選択肢としています。

ただし、全アカウントの強制リセットが実施されたと確認されたわけではありません。

2. パスワードリスト型攻撃の仕組み

パスワードリスト型攻撃とは、別のサービスなどから流出したIDとパスワードの組み合わせを使い、ほかのサービスへのログインを試す攻撃です。

例えば、ある通販サイトで利用していたメールアドレスとパスワードが第三者に知られたとします。

その組み合わせを、攻撃者が別のクラウドサービスやメールサービスでも試す場合があります。

利用者が同じパスワードを使っていれば、不正ログインにつながるおそれがあります。

攻撃者が最初に狙ったサービスと、実際に被害を受けるサービスが異なることが、この攻撃の特徴です。

3. 他社から漏れた情報が自社を危険にする理由

自社が適切にシステムを管理していても、社員が別のサービスで同じパスワードを使っていれば、リスクが残ります。

例えば、社員が個人用サービスと会社のクラウドで同じ認証情報を使用していたとします。

個人用サービス側で情報が流出した場合、その情報を使って会社のクラウドへのログインを試される可能性があります。

これは今回の事故とは別の仮想例ですが、企業が対策を考えるうえで重要です。

自社の情報が流出していなくても、他社で流出した認証情報が自社の侵入口になる場合があります。

そのため、会社のパスワード管理は、自社システムの安全性だけでなく、社員の認証情報の使い回しまで考える必要があります。

4. パスワードの使い回しが起こる背景

社員が利用するサービスは年々増えています。

メール、勤怠管理、会計ソフト、工程管理、顧客管理、オンライン会議、クラウドストレージなどです。

複数のサービスにログインするため、覚えやすいパスワードを使い回したくなることもあるでしょう。

しかし、同じパスワードを複数の独立したサービスで使用すると、一つの認証情報が知られた際の影響範囲が広がります。

会社が社員に求めるべきなのは、複雑なパスワードをすべて暗記させることではありません。

安全なパスワード管理ツールや、サービスごとに異なるパスワードを設定できる仕組みを整えることです。

5. 建設会社で想定される被害

今回の報道はゲーム関連サービスの話ですが、パスワードの使い回しは建設会社にも関係します。

ここからは、今回のスクウェア・エニックスの事案とは別の仮想事例です。

実際にどこまで被害が生じるかは、アカウントに与えられた権限やシステムの設定によって異なります。

だからこそ、重要な業務システムほど、パスワードの使い回しを避け、多要素認証を利用することが重要です。

6. 会社のメールが乗っ取られたら

会社のメールは、取引先との連絡や請求書の送付など、重要な業務に利用されています。

メールアカウントに不正ログインされると、過去のやり取りを閲覧されたり、取引先を装った連絡に悪用されたりするおそれがあります。

例えば、取引先に対して振込先の変更を依頼する偽のメールが送られる可能性も考えられます。

また、メールがほかのサービスのパスワード再設定に使われている場合、影響が広がることがあります。

そのため、会社メールの認証対策は特に重要です。

• 会社メールに多要素認証を設定する
• 他サービスと同じパスワードを使わない
• 不審なログイン通知を確認する
• メールの自動転送設定に不審な変更がないか確認する
• 振込先変更はメールだけで判断せず、登録済みの連絡先で確認する

7. 顧客情報とクラウドへの影響

会社のクラウドには、顧客情報、契約書、図面、見積書、写真などが保存されている場合があります。

アカウントが不正利用されると、そのアカウントの権限で閲覧できる情報が危険にさらされる可能性があります。

そのため、認証対策に加えて、必要以上に広い閲覧権限を与えないことも大切です。

外部サービスの管理や委託先との役割分担については、クラウド事業者のリスクと企業が確認したいことも参考になります。

8. パスワード管理の基本対策

中小企業が確認したい基本対策は次のとおりです。

• 仕事用パスワードを他サービスで使い回さない
• サービスごとに異なる、十分な長さのパスワードを設定する
• 会社が認めたパスワード管理ツールを利用する
• 初期設定のパスワードを変更する
• パスワードをメールや共有文書で安易に配布しない
• 不正利用が疑われる場合は速やかに変更する

すべてのパスワードを頻繁に変更すれば安全になるというわけではありません。

重要なのは、使い回しを避けること、認証情報の漏えいが疑われたときに適切に変更すること、多要素認証を組み合わせることです。

独立行政法人情報処理推進機構（IPA）の中小企業の情報セキュリティ対策ガイドラインも参考にしてください。

9. 多要素認証で守る重要アカウント

多要素認証は、パスワードに加えて別の認証要素を使い、ログイン時の安全性を高める仕組みです。

例えば、認証アプリによる確認、パスキー、セキュリティキーなどがあります。

今回の報道では、スクウェア・エニックスもワンタイムパスワードの併用を推奨しています。

ただし、多要素認証を設定すれば絶対に侵入されないという意味ではありません。偽サイトへの誘導や認証情報の窃取など、別の攻撃にも注意が必要です。

中小企業では、まず会社メール、クラウド、会計、顧客管理など、影響の大きいアカウントから設定状況を確認しましょう。

10. 社員・退職者のアカウント管理

認証情報の管理は、パスワードの強さだけでは完結しません。

退職した社員のアカウントが残っていたり、担当業務が変わった後も以前の権限が残っていたりすると、不要なリスクにつながります。

次のような運用を決めておきましょう。

• 社員ごとに個別のアカウントを発行する
• 共通アカウントの利用を必要最小限にする
• 異動時にアクセス権限を見直す
• 退職時にアカウントを停止する
• 外部委託先のアカウントにも期限と責任者を設定する
• 重要システムのログイン履歴を確認できるようにする

社長がすべてを操作する必要はありません。

管理担当者を決め、定期的に確認できる体制を作ることが重要です。

11. 不正ログインを疑ったときの初動

不審なログイン通知や、身に覚えのない操作が見つかった場合には、早めの確認が必要です。

1. 異常を発見した日時と内容を記録する
2. 社内のシステム管理者へ連絡する
3. 安全な端末と正規の手段で認証情報を変更する
4. 利用できる場合は不審なセッションを無効化する
5. 多要素認証や回復用情報の設定を確認する
6. ログイン履歴と操作履歴を保全する
7. 閲覧・送信・変更された情報がないか調査する
8. 必要に応じて専門家、関係先、保険会社へ連絡する

侵害が疑われる端末から不用意に操作を続けると、情報が再び盗まれる可能性があります。

また、原因調査のために必要なログや証拠を消さないことも重要です。

緊急連絡先の準備については、サイバー事故の緊急連絡先を事前に準備する重要性も参考にしてください。

12. 事業への影響とサイバー保険

アカウントへの不正ログインが発生すると、状況によっては次のような影響が生じます。

• アカウント調査や安全確認に必要な費用
• 業務システムの一時停止
• 顧客情報への影響調査
• 取引先への説明や問い合わせ対応
• システム復旧・再設定の費用
• 不正送金などの金銭被害

サイバー保険では、契約内容と事故状況によって、調査費用、復旧費用、賠償責任、事業中断による損失などが補償対象となる場合があります。

ただし、不正送金や資金詐取などは、一般的なサイバー保険で必ず補償されるわけではありません。別の補償や特約が必要な場合もあります。

契約ごとの補償範囲、免責金額、支払限度額、事故通知条件などを確認することが大切です。

詳しくは中小企業が知るべきサイバー保険の全貌と実務ポイントも参考にしてください。

13. 社長向けチェックリストと今日の一歩

自社のアカウント管理について、次の項目を確認してみてください。

• □ 会社のメールで多要素認証を利用している
• □ 業務用パスワードを私生活のサービスで使い回していない
• □ 重要システムでサービスごとに異なるパスワードを使っている
• □ パスワード管理の社内ルールがある
• □ 管理者アカウントの利用者を把握している
• □ 退職者のアカウントを停止している
• □ 不審なログイン履歴を確認できる
• □ 異常を発見したときの連絡先が決まっている
• □ 顧客情報への影響を調査できる体制がある
• □ サイバー保険の事故対応条件を確認している

今回のスクウェア・エニックスのニュースは、他社から流出した認証情報が、別のサービスの不正ログインにつながるリスクを考えるきっかけになります。

会社が直接攻撃されていなくても、社員の認証情報の使い回しが入口になる場合があります。

今日の一歩は、会社メールと重要なクラウドサービスについて、「パスワードを使い回していないか」「多要素認証が設定されているか」の二つを確認することです。

顧客情報と会社の仕事を守るために、まずは認証の基本から点検してみてください。

【出典・参考情報】

• ITmedia NEWS｜2026年10月19日 スクウェア・エニックスのアカウント不正ログイン報道
• スクウェア・エニックス｜ログイン制限の解除方法
• IPA｜中小企業の情報セキュリティ対策ガイドライン