Instagram、1750万アカウントの情報流出か。ダークウェブで取引、不正ログイン試行も

パスワード変更と二段階認証を今すぐ実施、メールアドレス・電話番号・住所などが漏洩

セキュリティ企業Malwarebytesは今週、Instagramで1750万アカウントの情報が漏洩していることを明らかにした。漏洩したデータには、ユーザー名、メールアドレス、電話番号、物理的な住所などの機密情報が含まれており、すでにダークウェブで取引されている。一部のユーザーには実際にInstagramからパスワードリセット通知が届いており、攻撃者が盗んだ情報を使って不正アクセスを試みている可能性が高い。

Cybercriminals stole the sensitive information of 17.5 million Instagram accounts, including usernames, physical addresses, phone numbers, email addresses, and more. pic.twitter.com/LXvjjQ5VXL

— Malwarebytes (@Malwarebytes) January 9, 2026

2024年のAPI露出が原因か

Malwarebytesによると、今回の漏洩は2024年に発生したInstagram APIの露出に関連している可能性がある。データは1月7日にBreachForumsに投稿され、「Solonik」と名乗るハッカーによって公開された。流出したデータは大規模かつ構造化されたJSON形式やTXT形式のファイルで、1750万人分のユーザー情報が含まれていることから、小規模または単発的なインシデントではないとみられる。

🚨Cyber Alert – Instagram breach exposes data of 17.5 million accounts

A major security breach affecting Instagram was discovered this week by Malwarebytes, revealing that 17.5 million user accounts were compromised.

The stolen data includes usernames, email addresses, phone… pic.twitter.com/4DrtPgXqm5

— Hackmanac (@H4ckmanac) January 10, 2026

幸いなことに、パスワードは漏洩データに含まれていない。しかしメールアドレスと電話番号の組み合わせは、フィッシング詐欺やSIMスワップ攻撃、アカウント乗っ取りなどに悪用される可能性が高い。

今すぐ実施すべき対策

ジャーナリストの松村太郎氏は、「漏れたかどうかを気にするのではなく、漏れても被害が出ない状態を作ることが重要」と指摘している。以下の対策を今すぐ実施してほしい。

❌漏れたかどうかを気にする、ではなく、
⭕️漏れても被害が出ない状態を作る！

Instagramとユーザー名やメアドが同じだったり、パスワードを使い回している場合は、影響が広がる可能性があります。

♻️パスワードを即変更
・他サービスと使い回している場合は「必ず」全て変更…

— 松村太郎 #マツムラボ (@taromatsumura) January 10, 2026

パスワードを即座に変更

Instagramで使用しているパスワードを、12文字以上の英数字と記号を組み合わせたものに変更しよう。特に他のサービスでパスワードを使い回している場合は、全てのサービスで変更する必要がある。パスワード変更は必ずInstagram公式アプリから直接行うこと。

二段階認証を有効化

二段階認証（2FA）を有効にすることで、不正ログインへの耐性が大きく向上する。SMSよりも認証アプリ（Google Authenticatorなど）を使うほうが、SIMスワップ攻撃のリスクを軽減できるため安全だ。

ログインアクティビティを確認

Instagramの「設定」→「セキュリティ」→「ログインアクティビティ」から、見覚えのない地域や端末からのログインがないか確認しよう。不審なアクセスがあれば即座にログアウトすべきだ。

フィッシング詐欺に警戒

今後、「Instagram」「Meta」「警告」「確認してください」といった文言を含むDMやメールが増加する可能性が高い。送信元やリンク先のアドレスを慎重に確認し、不用意にリンクをクリックしないようにしたい。公式アプリから直接確認するのが最も安全だ。

Metaは沈黙、被害は拡大中

記事執筆時点で、InstagramやMetaからは公式声明が出されていない。データがどのように流出したのか、影響を受けたユーザーに直接通知する予定があるのかも不明だ。

メールアドレスが流出した前提で行動することが重要だ。迷惑メールの増加は避けられない可能性があるため、重要なサービスには別のメールアドレスを使用し、必ず2FAを設定することが現実的な対策となる。1750万アカウントという規模を考えると、今後さらなる被害報告が増える可能性は高い。今すぐ対策を講じてほしい。