アカウント乗っ取り、クレデンシャルスタッフィング攻撃、ソーシャルエンジニアリングによるパスワード推測——そのほとんど全てが、ある一つの名前にたどり着きます。それがRockYouです。

ほとんどの人はその名前を聞いたことがないでしょう。しかしRockYouの漏えいは、インターネットの歴史上最大かつ最も長く続いているパスワード災害であり、今なお現実のユーザーに対して積極的に悪用され続けています。始まりは2009年、あるソーシャルゲーム企業への単一の侵害でした。それが次第に規模を拡大する一連の統合データセット——RockYou2021、RockYou2024——へと成長し、合わせて数百億件もの実際に使われたことのあるパスワードを抱えるまでになりました。攻撃者はもはやあなたのパスワードを「解読」する必要すらありません。それはすでにこれらのファイルのどこかに存在している可能性が非常に高いのです。

TL;DR

2009年、RockYou（ハッカー集団ではなく、ソーシャルアプリ企業です）は3200万件のユーザーパスワードを平文のまま保存していました。この漏えいにより、攻撃者は史上初の実世界規模の巨大パスワード辞書を手に入れ、この種の漏えい全体にその名を与えることになりました。
RockYou2021（84億件）とRockYou2024（約100億件のユニークな平文パスワード）は、単一の新しいハッキングではなく、長年にわたる別々の漏えいをまとめた統合データセットです——しかし、その中に含まれるパスワードは本物であり、今も多くのアカウントで有効です。
2025年6月に広く報じられた「160億件の認証情報」というニュースは、Google、Apple、Facebookが侵害されたことを意味するものではありませんでした——3社とも自社は侵害されていないと確認しています。これはCybernewsが発見した、過去のインフォスティーラー型マルウェアのログをまとめた統合データセットでした。
こうした古い漏えいを今なお危険にしているのはパスワードの使い回しです。対策は、すべてのアカウントに対してユニークで高エントロピーな、ローカルで生成されたパスワードを使うことです——攻撃者の辞書にすでに含まれている可能性のあるパスワードは決して使わないことです。

簡単な答え

RockYouの漏えいが重要な理由は、「実在の人々が実際にどんなパスワードを選ぶか」という情報を、公開されダウンロード可能なデータセットに変え、しかもそれが増え続けているという点にあります。攻撃者はもはや推測する必要がありません——あなたのメールアドレスをこれらのファイルに照合するだけでよく、この15年間のどこかでパスワードを使い回していたなら、それがすでに含まれている可能性は現実に存在します。唯一の恒久的な対策は、パスワードの使い回しをやめ、自分で考えて選ぶこともやめることです。すべてのアカウントに対して、ブラウザ内でローカルにユニークなランダムパスワードを生成すれば、あなたが作成したものが次のバージョンのこの辞書に入り込むことは決してありません。

一、始まりはここから：2009年のRockYou情報漏えい

多くの人は「RockYou」をハッカー集団だと思い込んでいます。しかしそうではありません。RockYouは実在する合法的なソーシャルゲーム企業で、初期のソーシャルネットワーク向けにウィジェットやゲームを制作しており、最盛期には数千万人ものアクティブユーザーを抱えていました。

その致命的な過ちは、すべてのユーザーのパスワードを、ハッシュ化すら一切せずに平文のまま保存していたことです。2009年当時、まともなプラットフォームの多くはすでにハッシュ化されたパスワード保存方式に移行しており、たとえデータベース全体が侵害されても読み取り可能なパスワードが渡ることはありませんでした。RockYouはその手順を完全に飛ばしていたのです。

攻撃者が侵入した際、彼らは何も解読する必要がありませんでした——ただデータベースをコピーするだけでよかったのです。その結果、3200万件の実在アカウントの、実際に使われている本物のパスワードが、そのままそっくり読み取り可能な形で流出しました。

その影響はRockYou自身のユーザーだけにとどまりませんでした。

パスワードの使い回しはすでに一般的な習慣となっており、RockYouのゲームで使っていたパスワードが、そのままメールや掲示板、ショッピングサイトのアカウントを守るパスワードと同じであることも珍しくありませんでした。
3200万件もの実際に使用されていた平文パスワードは、史上初の実世界規模の巨大パスワード辞書となりました——理論上の単語リストなどよりもはるかに優れた攻撃ツールです。なぜなら、それらは実在の人間が実際に選んだパスワードだったからです。
これは、業界全体が今なお対抗し続けている手口の原型を確立しました。漏えいしたパスワードリストを入手し、見つけられる限りのあらゆるログインページに対して試し、何が通用するかを確かめる——というものです。

「RockYou」が単なる一企業の名前ではなくなったのも、これが理由です。その後に登場したあらゆる主要なパスワードリスト統合データセット——RockYou2021、RockYou2024——がこの名前を受け継ぎました。RockYouが始めたパターンが、決して止まることがなかったからです。

二、統合データセットは膨張し続けている（2021年〜2025年）

2009年の情報漏えいは始まりに過ぎず、終わりではありませんでした。その後の10年間で、数え切れないほどの無関係な漏えい事件から流出した認証情報が収集され、重複を除去され、次々と規模を拡大するファイルへと再パッケージ化され続けました。それぞれが前の記録を塗り替えていきました。

1. RockYou2021（2021年6月）：初の10億件規模の統合データセット

2021年6月、あるハッキングフォーラムの投稿に新しいファイルが共有されました。100GBを超え、84億件のユニークなパスワードエントリを含んでいました。これは一企業への侵害ではなく、ソーシャルネットワーク、掲示板、eコマース、ゲーム、業務システムなど、長年にわたる別々の漏えいを一つの参照ファイルへと大規模に集約したものでした。当時、これは公に出回った史上最大のパスワードコレクションでした。

2. RockYou2024（2024年7月）：約100億件のユニークな平文パスワード

2024年7月、あるハッキングフォーラムのユーザーがrockyou2024.txtを投稿しました。これはRockYou2021をベースに、2021年から2024年の間に新たに収集された約15億件のパスワードを追加し、精緻化・重複除去した版で、合計9,948,575,739件のユニークな平文パスワードを含んでいました。

このバージョンを危険にしているのは高度な技術ではなく、その精度です。すべてのエントリは、実在する誰かが実際に、しばしば複数のアカウントで繰り返し使っていたパスワードです。攻撃者は何かを総当たりで解読する必要はなく、すでにファイルの中にあるものを試すだけでよいのです（一部の研究者は、このファイルがあまりに巨大なため、標的を絞った解読には価値の低いノイズが多く含まれていると指摘していますが、その規模こそが、広範囲かつ自動化されたクレデンシャルスタッフィングにおいて効果を発揮する理由でもあります）。

3. 2025年の「160億件の認証情報」報道——その実態は何だったのか

2025年6月、セキュリティ研究者集団Cybernewsは、合計160億件を超える認証情報レコードを含む、保護されていない30件の露出データセットを発見したと報告しました。その中にはGoogle、Apple、Facebookをはじめとする多数のサービスのログインURLが含まれるものもありました。

ここが正確に理解しておくべき部分です。Google、Apple、Facebookはいずれも、自社のシステムが侵害されていないことを確認しています。 160億件という数字は、これらの企業のいずれかに対する新たなハッキングを意味するものではありませんでした——それは、個別に感染した端末から数年間にわたって収集され、保護されていないストレージに放置されていた過去のインフォスティーラー型マルウェアのログをまとめた統合データセットであり、単一の新たな大規模侵害ではありませんでした。当時のセキュリティ報道でも、そのデータのかなりの部分が古い、重複している、あるいは質の低いものであったと指摘されていました。

この区別は重要ですが、それによって実際のリスクが消え去るわけではありません。このファイルは今なお、これまでに集められた中でも最大級のクレデンシャルスタッフィング用データセットの一つであり、そのままRockYou方式の統合データセットのエコシステムに合流していったのです。

三、なぜこれらの古い漏えいが今なお通用するのか

よくある思い込みに、「あの漏えいはもう何年も前のことだし、以来パスワードも変えたから自分は大丈夫」というものがあります。しかし実際には、次の2つの習慣がこれらの古いデータセットを今なお危険なものにし続けています。

パスワードの使い回し。 多くの人は今も同じパスワード、あるいはそれに近い変形パターンを複数のアカウントで使い回しています。あるサイトでパスワードを「変更」した後でも、古い（漏えいした）パスワードが別の場所ではまだ有効なままであることは珍しくありません。
弱く予測しやすいパスワード。 123456、password、qwerty、誕生日、電話番号——これらは毎年、あらゆる漏えいデータの上位に登場し続けており、RockYou2024のような統合辞書はミリ秒単位でこれらを一致させます。
漏えいしたデータには期限がない。 一度パスワードがこれらのファイルの一つに含まれてしまえば、それは永久にそこに残り続け、次の統合データセットに組み込まれ、自動化されたクレデンシャルスタッフィングツールによって何度も繰り返し試され続けます。

四、2026年、実際に有効な対策とは

100億件もの実在の、過去に使われたエントリを含む辞書を相手にする以上、「もっと複雑なパスワードを選ぶ」だけではもはや十分ではありません。実際に効果があるのは次の3つです。

アカウントごとにユニークなパスワードを使う。例外は一切なし。 使い回しこそが、古い漏えいが今なお危険であり続ける最大の理由です——一つの使い回されたパスワードが、それが使われたすべてのアカウントを危険にさらします。
自分で考えたパスワードではなく、ランダムで高エントロピーなパスワードを使う。 人間が簡単に思いつき、記憶できるようなものは、すでに漏えいした辞書に含まれている可能性が不釣り合いに高いのです。パターンのないパスワード——ランダムな長さ、大文字小文字、数字、記号の組み合わせ——は、そもそもこうしたファイルには存在しません。
パスワードは、生成内容を保存・記録するオンラインツールではなく、ローカルで生成する。 生成したものをサーバーにアップロードするパスワード生成ツールは、それ自体が将来の漏えい元になり得ます。新しく生成したパスワードが明日のRockYouの新バージョンに含まれることを確実に防ぐ唯一の方法は、自分の端末上だけで完結して生成し、どこにも一切送信しないことです。

五、PassGenerateがどう役立つか

PassGenerateはまさにこのロジックを軸に設計されています。すべてのパスワードはWeb Crypto APIを使って、お使いのブラウザ内でローカルに生成されます——サーバーへのアップロードも、記録も、保存も一切ありません。つまり、ここで生成したものが、将来の漏えい統合データセットの一部になることは絶対にありません。

100%クライアントサイド、サーバーへのアップロードはゼロ。 ランダム生成、強度スコアリング、パスフレーズの組み立ては、すべてcrypto.getRandomValues()を通じてブラウザ内で実行されます。生成したパスワードがあなたの端末の外に出ることはありません。
アカウント登録もデータ保持も不要。 サインアップもデータベースも存在しないため、そもそも侵害される対象がありません。
オープンソースで検証可能。 コードは公開されているため、「ローカルで完結している」という主張を信じるかどうかを、あなた自身が確かめることができます。
カスタムのランダムパスワード、または覚えやすいパスフレーズ。 完全にランダムなパスワードのために長さと文字セットを調整するか、予測しやすいパターンに頼ることなくタイプしやすくするために、区切り文字・大文字化・数字を組み合わせたパスフレーズモードを使うこともできます。
一括生成とダウンロード、そしてリアルタイムの強度インジケーターにより、あるパスワードが「すでに漏えい辞書に含まれている」状態からどれだけ離れているかを正確に確認できます。

このツールは無料で、18言語に対応しており、さらに深く知りたい方はブログでパスワードエントロピー、パスワードマネージャーは安全か、攻撃者が人間の作るパスワードを好む理由といった関連トピックも取り上げています。

重要なポイント

2009年のRockYou情報漏えい（3200万件の平文パスワード）は史上初の実世界規模の巨大パスワード辞書を生み出し、その後のあらゆる統合データセットにその名を与えました。
RockYou2021（84億件）とRockYou2024（約100億件のユニークなパスワード）は、単一の新たな漏えいではなく、長年にわたる別々の漏えいを集約したものです——しかし、そこに含まれるすべてのパスワードは本物であり、使い回されている限りどこでも通用してしまいます。
2025年の「160億件の認証情報」報道は、Cybernewsが発見したインフォスティーラーログの統合データセットであり、Google、Apple、Facebook自身のシステムへの侵害ではありませんでした——この二つは同時に成り立ちます。新たな企業へのハッキングはなかったが、それでも巨大で現実的なクレデンシャルスタッフィングのリスクは存在する、ということです。
パスワードの使い回しと予測しやすいパスワードこそが、15年も前の漏えいが今日もアカウント乗っ取りを引き起こし続けている理由です。
対策は、すべてのアカウントに対してユニークでランダムな、ローカルで生成されたパスワードを使うことです——攻撃者の辞書にすでに含まれている可能性のあるパスワードは決して使わないことです。

結論

最初のRockYou情報漏えいから17年が経ちましたが、教訓そのものは変わっていません。変わったのはその規模だけです。攻撃者が強力なパスワードを解読する必要に迫られることはめったにありません——彼らが必要としているのは、あなたが弱いパスワードを使い回してくれることだけです。後になってパスワードを変更しても、他のアカウントでの10年分の使い回しをなかったことにはできません。RockYou方式の攻撃に対して実際に効果のある唯一のアプローチは、すべてのアカウントに対してユニークで高エントロピーなパスワードをローカルで生成することです。そうすれば、それが次の統合データセットに紛れ込む可能性は決して生まれません。

PassGenerateが信頼できる理由

パスワードはWeb Crypto APIを使って、お使いのブラウザ内でローカルに生成されます。
パスワードがサーバーに送信されることはありません。
暗号学的に安全な擬似乱数生成器（CSPRNG）を使用しています。
NISTおよびOWASPが推奨する最新のセキュリティベストプラクティスに従っています。

参考文献

Cybernews – 2025年の30件のデータセット・160億件の認証情報統合に関する調査
Malwarebytes – RockYou2024：約100億件のパスワードがオンラインに流出
Have I Been Pwned – Pwned Passwordsデータセット
NIST SP 800-63B – デジタルアイデンティティガイドライン、認証とライフサイクル管理

RockYouパスワード漏えいの全歴史：2009年から2026年まで（そして本当に自分を守る方法）