「お客様のパスワードのハッシュ値が漏えいした可能性があります」
企業からこんなお知らせが届いたら、
「ハッシュ値って何？」
「パスワードそのものは漏れていないなら大丈夫？」
「パスワードは変更した方がいい？」
と迷う人も多いのではないでしょうか。
結論からいうと、
ハッシュ値の漏えいは、パスワードが平文のまま漏えいするよりは安全です。しかし、「パスワードを知られる可能性がゼロ」という意味ではありません。
特に、短いパスワードや推測しやすいパスワードを使っている場合、あるいは同じパスワードを複数のサービスで使い回している場合は注意が必要です。
2026年8月には、ペット用品通販サイト「チャーム本店」が不正アクセスを受け、氏名・住所・電話番号・メールアドレスなどとともに、約23万件を対象として「お客様が設定したパスワードに戻すことができない形式のデータ（ハッシュ値）」が漏えいしたおそれがあると公表しました。
チャームは、漏えい対象に「パスワードの文字列そのもの」は含まれないと説明しています。
この記事では、この事例を入口に、
- 平文とハッシュ値は何が違うのか
- ハッシュ値からパスワードを知られることはあるのか
- 「ハッシュ化されているから安全」と言い切れない理由
- 情報漏えいが発生したとき利用者は何をすればいいのか
を、専門知識がなくても分かりやすく解説します。
結論：ハッシュ値なら即パスワードが読まれるわけではない
最初に重要な違いを整理します。
| 保存方法 | 「neko1234」というパスワードが漏えいした場合 | 特徴 |
|---|---|---|
| 平文 | neko1234 とそのまま読める | 非常に危険 |
| 暗号化 | 暗号を解く鍵があれば元に戻せる | 復号を前提とする |
| ハッシュ化 | 一定の計算によって別の値へ変換され、通常は元に戻せない | パスワード保存で利用される |
例えば、パスワードがそのまま
neko1234
とデータベースに保存されていて、それが漏えいすれば、攻撃者はその瞬間にパスワードを知ることができます。
これが平文での保存です。
一方、ハッシュ化して保存すると、
neko1234
という文字列そのものではなく、
xxxxxxxxxxxxxxxx...
のような別の値が保存されます。
ハッシュは基本的に一方向の処理です。
そのため、
パスワード → ハッシュ値
という計算はできますが、
ハッシュ値 → 元のパスワード
と単純に逆算する仕組みではありません。
NIST（米国国立標準技術研究所）も、パスワードについて、適切なソルトを加えたうえでパスワード用のハッシュ方式を使って保存することを求めています。
「元に戻せない」ならハッシュ値が漏れても安全では？
ここが最も誤解されやすいところです。
ハッシュ値そのものを逆算するのが難しくても、攻撃者には別の方法があります。
例えば、盗んだハッシュ値に対して、
123456passwordneko1234abc12345tanaka2026
など、候補となるパスワードを大量に用意します。
そして、それぞれを同じ方法でハッシュ化します。
もし、
盗んだハッシュ値＝「neko1234」をハッシュ化した値
となれば、
「この人のパスワードはneko1234だった可能性が高い」
と分かります。
つまり攻撃者は、
ハッシュ値を元に戻すのではなく、パスワード候補を次々に試して答え合わせする
わけです。
このため、「ハッシュ化されている＝絶対にパスワードを特定できない」という意味ではありません。
平文・暗号化・ハッシュ化は何が違う？
似た言葉ですが、それぞれ目的が違います。
平文
元の文字列をそのまま保存する方法です。
例えば、
MyPassword123
というパスワードを、
MyPassword123
のままデータベースに保存します。
データベースが漏えいすれば、攻撃者にもそのまま読まれてしまいます。
パスワードの保存方法としては非常に危険です。
暗号化
暗号化は、あとで元の情報に戻すことを前提とした仕組みです。
暗号化するための「鍵」を使い、必要なときには復号して元のデータに戻します。
住所や機密文書など、「後から内容を取り出す必要がある情報」では暗号化が利用されます。
ハッシュ化
ハッシュ化は基本的に、元の情報に戻さないことを前提にした仕組みです。
Webサービスがログインを確認するときも、保存してあるパスワードを元に戻して比較する必要はありません。
入力されたパスワードを同じ方法で処理し、
保存されている値と一致するか
を確認すればよいからです。
そのためパスワード保存では、平文保存や単純な暗号化ではなく、適切なパスワードハッシュ方式を利用することが重要になります。
「ハッシュ化していた」という説明だけでは安全性を判断できない
情報漏えいのお知らせで、
パスワードはハッシュ化して保存していました。
と書かれていると、かなり安心できそうに見えます。
しかし、本当の安全性は「どのようにハッシュ化していたか」によって変わります。
特に重要なのが、
- 使用しているパスワードハッシュ方式
- ソルトを使用しているか
- 計算を意図的に重くしているか
- 利用者のパスワード自体が十分に長いか
といった点です。
パスワード用のハッシュは「速ければよい」わけではない
通常のコンピューター処理では計算が速いことはメリットです。
ところが、パスワードでは逆です。
攻撃者が1秒間に非常に多くのパスワード候補を試せる方式では、ハッシュ値が流出した際に大量のパスワードを試されやすくなります。
そのため、パスワード保存ではあえて計算に時間やメモリを使わせる方式が利用されます。
OWASPは、パスワード保存にはArgon2idを第一候補として推奨し、利用できない場合にscryptなどを挙げています。bcryptについては主として既存システム向けという位置付けです。
「ソルト」があると何が変わる？
パスワードのハッシュ化を調べると、「ソルト」という言葉もよく出てきます。
例えばAさんとBさんが偶然、
neko1234
という同じパスワードを使っていたとします。
単純に同じ方法でハッシュ化すると、2人のハッシュ値も同じになります。
そこで、利用者ごとに異なるランダムな値を追加してからハッシュ化します。
この追加する値がソルト（salt）です。
イメージとしては、
- Aさん：
neko1234 + ランダム値A - Bさん：
neko1234 + ランダム値B
としてから処理するようなものです。
同じパスワードでも異なるハッシュ値になるため、攻撃者による効率的な解析を難しくできます。
チャームの「ハッシュ値漏えいのおそれ」はどのくらい危険？
今回のチャームの事例では、2026年8月13日時点で、チャーム本店について約23万件のお客様情報が漏えいしたおそれがあるとされています。
対象として公表されているのは、
- 氏名
- 住所
- 電話番号・FAX番号
- 生年月日
- 性別
- メールアドレス
- 所持ポイント数
- お客様対応に関する社内記録
- パスワードのハッシュ値
などです。
一方、クレジットカード情報は含まれていないとしています。
ここで重要なのは、
「ハッシュ値なのでパスワードそのものは漏れていない」ことと、「何もしなくても安全」ということは別
だという点です。
また、チャームの2026年8月13日の発表では、ハッシュ方式やソルトなど、パスワード保存方式の詳細までは公表されていません。
そのため、外部から実際の解析難易度を正確に判断することはできません。
ハッシュ値が漏えいしたらパスワードを変更した方がいい？
同じパスワードを他でも使っているなら変更する
最も優先度が高いのがこれです。
例えば、
- 通販サイト
- Google・Apple・Microsoftなどの主要アカウント
- メール
- SNS
- 金融サービス
などで同じ、あるいはよく似たパスワードを利用している場合です。
一つのサービスから認証情報が漏れると、攻撃者が別のサービスへのログインを試すことがあります。
これは一般にパスワードリスト攻撃などと呼ばれます。
IPAも、不正ログイン対策としてパスワードを長く複雑にし、複数のサービスで使い回さないことを推奨しています。
今回チャームも、チャーム本店と同一または類似したID・パスワードを他のサービスでも利用している場合は、他サービスについて異なるパスワードへ変更するよう利用者に呼びかけています。
したがって、同じ・似たパスワードを他サイトで使っているなら、そちらの変更を優先してください。
「1文字だけ変えている」なら使い回しではない？
例えば、
- Amazon：
Neko1234Amazon - 楽天：
Neko1234Rakuten - Google：
Neko1234Google
のようにサービス名だけ変えているケースです。
一見すると全部違うパスワードですが、基本部分が同じなのでおすすめできません。
一つのパスワードが知られれば、
「サービス名を末尾につけているのでは？」
と推測される可能性があるからです。
理想は、サービスごとにまったく異なる長いパスワードを設定することです。
覚えられない場合は、パスワードマネージャーを使って管理する方法があります。
多要素認証を設定していれば安心？
かなり有効な対策です。
多要素認証（MFA）を設定すると、IDとパスワードだけではログインできなくなります。
そのため、仮にパスワードが第三者に知られても、不正ログインを防げる可能性が高まります。
利用しているサービスが、
- パスキー
- 認証アプリ
- セキュリティキー
- ワンタイムパスワード
などに対応していれば、設定を検討するとよいでしょう。
ただし、多要素認証があるからパスワードを使い回してよい、という意味ではありません。
サービスごとに異なるパスワード＋多要素認証
という組み合わせが基本です。
クレジットカード情報が漏れていなければ安心？
今回のチャームの公表では、対象となるお届け先情報にクレジットカード情報は含まれていないとされています。
これは重要な情報ですが、個人情報漏えいのリスクがなくなるわけではありません。
今回公表されている情報には、氏名、住所、電話番号、メールアドレスなどが含まれます。
そのため、今後は特に、
「チャームからのお知らせ」などを装ったメールやSMS
には注意しておいた方がよいでしょう。
情報漏えいのニュースを見た直後は、
「パスワード変更はこちら」
「本人確認が必要です」
「注文をキャンセルしてください」
などと言われると、本物だと思ってリンクを押してしまいやすくなります。
メールやSMSに記載されたリンクからではなく、公式サイトや公式アプリを自分で開いて確認する方が安全です。
情報漏えいが起きたときに確認するポイント
今後、別のサービスで情報漏えいが発生した場合も、ニュースの「○万人分流出」という数字だけを見るのではなく、次の点を確認すると危険度を判断しやすくなります。
1．何が漏れたのか
「個人情報」と一括りにせず、
- 氏名
- 住所
- 電話番号
- メールアドレス
- 生年月日
- クレジットカード情報
- ID
- パスワード
のどこまで含まれているか確認します。
2．パスワードは平文かハッシュ値か
パスワード関連で特に重要です。
平文なら緊急度は非常に高く、ハッシュ値なら平文よりは安全ですが対策不要とは言えません。
3．ハッシュ化の方式は公表されているか
企業によっては、
- 使用した方式
- ソルトの有無
- パスワードリセットの必要性
などを公表することがあります。
「ハッシュ化していた」という一文だけで危険度を正確に判断するのは困難です。
4．同じパスワードを他で使っていないか
利用者側で最も確認してほしいポイントです。
使い回している場合、漏えい元だけでなく同じパスワードを使っている他サービスも変更します。
5．不正ログインが発生していないか
ログイン履歴、注文履歴、登録メールアドレス、配送先などを確認します。
身に覚えのない操作があれば、サービス提供会社へ連絡してください。
6．公式が利用者に何を求めているか
情報漏えい発生直後は調査中の場合もあります。
企業から、
- パスワードを変更する
- パスワードをリセットする
- 再ログインする
- 特定のメールに注意する
などの案内が出ていないか、公式サイトを確認してください。
今回チャームを利用していた人がやること
2026年8月14日時点の公表内容を踏まえると、優先順位は次のようになります。
優先度：高
チャームと同じ、または似たパスワードを使っている他サービスのパスワードを変更する。
特に、
- メール
- Google・Apple・Microsoftアカウント
- Amazon・楽天などの通販
- 金融サービス
- SNS
など重要なアカウントで使い回している場合は優先してください。
優先度：高
今後届くメール・SMS・電話を警戒する。
チャームを名乗る連絡が届いても、リンクをすぐに開かず、公式サイトから情報を確認します。
優先度：中
各サービスで多要素認証を有効にする。
対応しているサービスでは、パスキーや多要素認証を設定しておくと、不正ログイン対策をさらに強化できます。
チャーム本店のパスワード
チャーム本店については、公式からパスワード変更方法などの案内が出たら、それに従って対応します。
よくある質問
Q. ハッシュ値から元のパスワードを復号されるのですか？
厳密には、ハッシュは暗号化とは異なるため、通常「復号する」とは言いません。
攻撃者はハッシュ値を逆変換するのではなく、大量のパスワード候補をハッシュ化して一致するものを探す方法などを利用します。
Q. ハッシュ値なら放置しても大丈夫ですか？
おすすめできません。
特に短いパスワード、推測しやすいパスワード、他サービスと同じパスワードを利用している場合はリスクがあります。
同じ・似たパスワードを利用している他サービスは変更してください。
Q. 20文字以上のランダムなパスワードなら？
短く単純なパスワードより、長くランダムなパスワードの方が推測攻撃に対して強くなります。
さらにサービスごとに異なるパスワードにしておけば、一つのサービスで問題が発生したときに他サービスへ被害が広がるリスクも抑えられます。
Q. パスワードを毎回変えるのは大変です
すべて覚えようとすると、使い回しにつながりがちです。
パスワードマネージャーを利用すれば、サービスごとに長く異なるパスワードを作って管理できます。
また、対応サービスではパスキーを利用する方法もあります。
Q. 情報漏えいしたサービスのアカウントを削除すれば安全になりますか？
すでに外部へコピーされた情報がある場合、後からアカウントを削除しても、そのコピーまで消えるわけではありません。
まずはパスワードの使い回しを解消し、多要素認証を設定し、不審な連絡やログインを警戒することが重要です。
まとめ：ハッシュ値は「平文より安全」だが「漏れても安全」ではない
パスワード漏えいのニュースを見るときは、
「パスワードが漏れた」という言葉だけではなく、どのような形式で保存されていたのか
を見ることが重要です。
平文で漏えいした場合、攻撃者はパスワードをそのまま読むことができます。
一方、ハッシュ値の場合、パスワードそのものが保存されているわけではなく、通常はハッシュ値から直接元の文字列へ戻すことはできません。
しかし、
「ハッシュ値＝絶対安全」ではありません。
攻撃者はパスワード候補を大量に計算し、漏えいしたハッシュ値と一致するものを探すことができます。
そのため私たち利用者にとって最も重要なのは、
- パスワードを使い回さない
- サービスごとに異なる長いパスワードを使う
- 多要素認証やパスキーを利用する
- 情報漏えい後のフィッシングに注意する
- 企業からの公式案内を確認する
という基本対策です。
今回のチャームのように「パスワードのハッシュ値が漏えいしたおそれ」と発表された場合も、
「パスワードそのものではないから何もしなくていい」ではなく、「使い回しているパスワードがないかを確認する機会」
と考えるのがよいでしょう。
参考情報
- 株式会社チャーム「不正アクセスによるシステム障害発生に関するお知らせとお詫び」
https://charm.co.jp/honten/info/notice/20260813.html - IPA「不正ログイン対策特集ページ」
https://www.ipa.go.jp/security/anshin/measures/account_security.html - IPA「インターネットサービスへの不正ログインによる被害が増加中」
https://www.ipa.go.jp/security/anshin/attention/2025/mgdayori20250828.html - NIST SP 800-63B Digital Identity Guidelines
https://pages.nist.gov/800-63-4/sp800-63b.html - OWASP Password Storage Cheat Sheet
https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html
