Crunchbaseの情報流出とは？約56万件がHIBPに登録 2026年10月21日

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシング情報流出

スタートアップ企業のデータベース「Crunchbase」の流出事件で、メールアドレスなど559,908件の記録が流出データベース検索サービス「Have I Been Pwned（HIBP）」に2026年10月14日に追加されました。流出日は2026年1月で、流出データにはメールアドレス・氏名・電話番号・実住所・職種・雇用主・ソーシャルメディアプロフィールが含まれます。Crunchbaseのアカウントを使っている人は、パスワードの変更と二段階認証の有効化を今すぐの対策として進めてください。

この記事の要点を最初にまとめます。

何が起きたか（要点）

• Crunchbase の流出データ 559,908件が、流出データベース検索サービス「Have I Been Pwned（HIBP）」に2026年10月14日付けで追加された（出典: HIBP、2026年10月21日取得）。
• 流出の発生日は2026年1月。HIBP の説明では、Crunchbase は2026年1月に ShinyHunters と呼ばれる脅威アクターから「pay or leak」（支払わなければ漏洩する）型の恐喝を受けた。
• 流出したデータは主にリードやビジネスコンタクトに属するメールアドレスで、氏名・実住所・電話番号・職種・雇用主・LinkedIn などのソーシャルメディアプロフィールも含まれる。Crunchbase は脅威アクターが社内ネットワークから文書を持ち出したことを後に確認した（HIBP の説明）。

流出したデータの種別を次に整理します。

流出したデータ

流出したデータは、メールアドレス・雇用主・職種・氏名・電話番号・実住所・ソーシャルメディアプロフィールの7種別で、公表データの種別にパスワードは含まれていません（出典: HIBP の Crunchbase 登録ページ、2026年10月21日取得）。

• メールアドレス（Email addresses）
• 氏名（Names）
• 電話番号（Phone numbers）
• 実住所（Physical addresses）
• 職種（Job titles）と雇用主（Employers）
• ソーシャルメディアプロフィール（Social media profiles。LinkedIn プロフィールを含む）

HIBP の登録ページに列挙されたデータ種別にパスワードは含まれていません。ただし HIBP 自身が、影響を受けた人のパスワード変更を推奨事項として案内しています。パスワードが含まれない公表データでも、氏名・電話番号・実住所・職種などの情報は、後述する標的型のフィッシングに使われる恐れがあります。

利用者が今すべきこと（パスワード変更と二段階認証）

Crunchbase のアカウントを持つ人が今とるべき対策は、パスワードの変更と二段階認証の有効化です（HIBP が推奨する対応・2026年10月21日取得）。手順は次のとおりです。

1. Crunchbase にログインし、パスワードを変更する。ログインできなくなっている場合は、パスワードリセット手続きとアカウントの不正利用の確認（登録メールアドレス・連携設定・活動履歴）を行う。
2. 同じパスワードを他のサービスで使い回している場合は、そのサービスのパスワードも別のものに変更する。Crunchbase の登録メールアドレスと同じメールアドレスが登録済みのサービスを優先して見直す。
3. Crunchbase で二段階認証（多要素認証）を有効にする。設定がまだのアカウントは、パスワード変更と合わせて設定する。
4. 自分のメールアドレスが過去の流出に含まれているか、HIBP の検索や通知サービスで確認する。含まれていた場合は、流出した可能性のある各サービスのパスワードを見直す。
5. 氏名・電話番号・メールアドレス・職種が流出しているため、送り主を装った不審なメール・SMS・電話に注意する。リンクのクリックや添付ファイルの開封はせず、公式サイトに自分でアクセスして確認する。

使い回しパスワードの危険

今回の公表データにパスワードが含まれないとしても、パスワードの使い回しは不正ログインの入口として危険です（HIBP が2026年10月21日時点で案内している推奨事項はパスワードの変更）。流出したメールアドレス・氏名・職種・雇用主などの情報は、別のサービスへの不正ログインや標的型フィッシングの材料に使われる恐れがあり、Crunchbase のアカウントだけでなく、同じメールアドレスで登録している他のサービスの防御を同時に見直す意味があります。

対策の軸は、サービスごとに異なるパスワードを設定すること、パスワードを記憶させる代わりにパスワード管理を利用すること、ログインに二段階認証を重ねることの3つです。流出の有無にかかわらず、この組み合わせはアカウント乗っ取りの被害を減らします。

よくある質問

Q. Crunchbaseの情報流出で自分が含まれているか確認する方法は？

HIBP のサイトで自分のメールアドレスを検索すると、過去に確認された流出に含まれているかが分かります。通知サービスに登録しておけば、以後に新しい流出が登録されたときに届きます。Crunchbase の利用者でなくても、リードやビジネスコンタクトとして登録済みの人が含まれる可能性があるため、仕事の連絡先として登録したメールアドレスも確認してください。

Q. 流出したデータにパスワードは含まれていますか？

HIBP に公表されたデータ種別には、メールアドレス・雇用主・職種・氏名・電話番号・実住所・ソーシャルメディアプロフィールが含まれ、パスワードは列挙されていません（出典: HIBP、2026年10月21日取得）。ただし HIBP 自身がパスワードの変更を推奨しているほか、流出した氏名・電話番号・実住所などの情報はフィッシングや別サービスへの不正ログインに使われる恐れがあるため、パスワード変更と二段階認証の有効化が対策になります。

Q. Crunchbaseの情報流出でまず何をすればよいですか？

まず Crunchbase のパスワードを変更し、二段階認証を有効にします。そのうえで、同じパスワードを使い回している他のサービスのパスワードも変更してください。Crunchbase に登録したメールアドレス宛てに不審な連絡が来た場合は、メール内のリンクや添付ファイルを使わず、公式サイトに自分でアクセスして確認してください。

Q. Crunchbase側の公式対応は公表されていますか？

2026年10月21日時点で、Crunchbase の公式サイト・公式ブログでの本件の告知は確認できておらず、対応状況は公式未公表です。HIBP の説明では、Crunchbase は2026年1月に「pay or leak」型の恐喝を受け、後に脅威アクターが社内ネットワークから文書を持ち出したことを確認したとされています。対応の公表が進んだ場合は、公式サイトの情報を確認してください。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。新しい注意喚起が公表されたときは、利用者が取るべき手順と一緒にまとめてお伝えします。

出典: Have I Been Pwned「Crunchbase」の登録ページ（2026年10月14日追加・流出日2026年1月・559,908件）、2026年10月21日取得。流出の有無を確認する通知サービスは HIBP Notify（HIBP Notify）。Crunchbase 側の公式告知は2026年10月21日時点で確認できず、対応状況は公式未公表です。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針