連載【サイバー防御実務入門】第5回
今回のゴール
- パスワードの使い回しがなぜ危険なのかを理解する
- 「複雑さより長さ」「定期変更は不要」という新しい常識を知る
- 多要素認証の種類と、それぞれの強さの違いを知る
- フィッシングに強い「パスキー」の仕組みをイメージできる
はじめに：第2部「身近な防御編」のスタート
前回までの第1部「基礎編」で、攻撃の現状、守るべきもの、攻撃の流れ、ネットワークの仕組みを学びました。今回からは第2部「身近な防御編」です。学んだことを、自分のパソコンやスマホ、アカウントに当てはめて、実際に守りを固めていきます。
最初のテーマに「アカウント」を選んだのには理由があります。第1回で見たIPAの「情報セキュリティ10大脅威 2026」の個人向けには、「インターネット上のサービスへの不正ログイン」が11年連続で選ばれています。さらに、フィッシング、ネットバンキングやクレジットカード、スマホ決済の不正利用など、個人向けの脅威の多くは、結局のところ「アカウントを乗っ取られること」につながっています。
第3回のフィッシング詐欺の流れでも、「盗んだ情報でログインする」段階を止められるかどうかが分かれ目でした。今回は、その一番大事な「鍵」の守り方を整理します。
1. パスワードの使い回しは、なぜ危ないのか
たくさんのサービスにそれぞれ違うパスワードを付けるのは大変です。私自身、正直に言うと、いくつかのサービスで同じパスワードを使っていました。
ところが、使い回しは「家、車、職場、金庫の鍵を、全部同じ1本の鍵で開くようにしている」のと同じ状態です。その1本を落としたら、すべてが開いてしまいます。
どこかのサービスからIDとパスワードの組み合わせが漏れると、攻撃者はその一覧を使って、ほかの有名なサービスに次々とログインを試します。これを「パスワードリスト攻撃」と言います。攻撃者にとっては、難しいパスワードを推測するより、すでに漏れているものを「使い回されていそうな場所」で試すほうがずっと簡単なのです。つまり、自分がどれだけ気をつけていても、使い回している限り、一番守りの弱いサービスから漏れた時点で全部が危うくなります。
第2回で学んだ言葉で言えば、使い回しは自分で作ってしまった「脆弱性」です。そして、私たちが一番手を出しやすいのも、この脆弱性でした。
2. パスワードの新しい常識：「複雑さ」より「長さ」
以前は「英大文字・小文字・数字・記号を混ぜる」「90日ごとに変更する」といったルールがよく言われていました。ところが、この考え方は変わってきています。
米国NIST（国立標準技術研究所）は、本人確認に関するガイドライン（SP 800-63B）を2025年に改訂し、次のような方針を示しています。
| 項目 | 以前よく言われたこと | NISTの新しい方針 |
|---|---|---|
| 長さ | 8文字以上 | パスワードだけで本人確認する場合は15文字以上（多要素認証の一部なら8文字以上） |
| 文字の種類 | 大文字・数字・記号を必ず混ぜる | 混ぜることを強制すべきではない |
| 定期変更 | 90日ごとなどに変更 | 求めるべきではない（漏えいの疑いがあるときに変更） |
| 漏えい済みパスワード | — | 過去に漏れたものやよくあるものは使わせない |
| パスワード管理ソフト | — | 貼り付けや自動入力を認めるべき |
※NISTのガイドラインは、主にサービスを提供する側（本人確認をする側）に向けたものです。私たち利用者は「考え方の参考」として受け止めるとよいと思います。
「記号を混ぜろ」と言われると、多くの人が「Password1!」のような、ありがちなパターンに落ち着いてしまいます。それよりも、関係のない言葉をいくつかつなげた長いパスワードのほうが、覚えやすく、破られにくいというわけです。
定期変更についても、日本の総務省の「国民のためのサイバーセキュリティサイト」で、サービスから漏れたなどの事情がない限り、定期的に変える必要はないという考え方が示されています。「毎回少しだけ変える」くらいなら、最初から長くて使い回さないパスワードを1つ持つほうが安全なのです。
3. 「全部違うパスワード」を現実にする方法
とはいえ、何十ものサービスに、15文字以上のバラバラのパスワードを付けて、全部覚えるのは無理です。そこで頼りになるのがパスワード管理ソフト（パスワードマネージャー）です。
- ブラウザの保存機能：ChromeやEdgeなどには、パスワードを保存して自動入力する機能が標準で付いています。手軽に始められます。
- 専用のパスワード管理ソフト：スマホとパソコンなど、複数の機器やブラウザをまたいで使いたい場合に便利です。
どちらも、長くて推測されにくいパスワードを自動で作ってくれるうえ、覚えておくのは管理ソフトを開くための「マスターパスワード」1つだけで済みます。
パスワード管理ソフトは、保存したときのサイトのアドレスと一致しないと自動入力しません。見た目がそっくりな偽サイトを開いても、アドレスが違えば自動入力されないので、「あれ、いつもと違う」と気づくきっかけになります。第3回のフィッシング詐欺の表で、3番目の段階に書いた「自動入力しない＝偽サイトの合図」はこのことです。
- マスターパスワードは、ほかのどこにも使っていない、長いものにしましょう。
- 管理ソフトやブラウザのアカウント自体にも、次の章で説明する多要素認証を必ず設定しましょう。
- 紙に書いて保管する場合は、パソコンのそばに貼らず、家の中の安全な場所にしまいましょう。
4. 多要素認証：鍵を「2つ」にする
どんなに良いパスワードでも、フィッシングでだまし取られたり、サービス側から漏れたりすれば終わりです。そこで、パスワードとは別の種類の確認をもう一つ組み合わせるのが多要素認証です。
本人確認に使う「要素」は、次の3種類に分けられます。
| 要素 | 意味 | 例 |
|---|---|---|
| 知識 | 本人だけが知っているもの | パスワード、暗証番号 |
| 所持 | 本人だけが持っているもの | スマホ、セキュリティキー |
| 生体 | 本人の体の特徴 | 指紋、顔 |
このうち異なる種類を2つ以上組み合わせるのが多要素認証です。パスワードを2回聞くのは「知識」が2つなので、多要素にはなりません。よく聞く「二段階認証」は確認を2回に分けることを指し、多くの場合、多要素認証と同じような意味で使われています。
多要素認証にも「強さ」の違いがある
調べていて驚いたのは、多要素認証にも強い・弱いがあることです。
| 方式 | しくみ | フィッシングへの強さ |
|---|---|---|
| SMSで届く確認コード | 電話番号宛てのショートメッセージでコードが届く | △ |
| 認証アプリのコード | スマホのアプリが30秒ごとに新しいコードを表示する | △〜○ |
| アプリでの承認通知 | スマホに届いた通知で「はい」を押す | ○ |
| パスキー・セキュリティキー | 端末の中の秘密の鍵で本人確認する（次章） | ◎ |
※強さの評価は、各種資料をもとにした筆者の大まかな整理です。
SMSやコード入力の方式は、偽サイトがパスワードと一緒にコードも入力させ、その場で本物のサイトに転送するという手口に弱いとされています。また、SMSは電話番号を乗っ取られると突破されるおそれもあります。警察庁の資料でも、SIMカードを不正に再発行させる「SIMスワップ」という手口を使った不正送金事件が紹介されていました。
それでも、多要素認証を何も設定していない状態に比べれば、SMSでもずっと安全です。「SMSしか選べないなら、まずSMSで設定する」が正解だと思います。
自分がログインしようとしていないのに確認コードや承認通知が届いたら、誰かがすでにパスワードを知っているという合図です。通知は絶対に承認せず、そのサービスのパスワードをすぐに変更しましょう。
5. パスキー：パスワードのいらない、新しい鍵
ここ数年で急速に広がっているのが「パスキー」です。GoogleやApple、Microsoftなどが参加する業界団体「FIDOアライアンス」の技術をもとにした仕組みで、名前のとおり、パスワードの代わりになる鍵です。
仕組みをざっくり言うと、次のようになります。
- パスキーを登録すると、自分のスマホやパソコンの中に「秘密の鍵」が作られ、サービス側には対になる「公開の鍵」だけが保存されます。
- ログインするときは、スマホの指紋認証・顔認証・画面ロックの暗証番号で本人確認をするだけ。秘密の鍵は端末の外に出ません。
- 秘密の鍵は登録した本物のサイトにしか反応しないので、偽サイトでは使えません。
つまりパスキーは、「スマホを持っている（所持）」と「指紋や顔、暗証番号（生体・知識）」を組み合わせた多要素認証が、最初から組み込まれている鍵です。しかも、私たちが入力して盗まれるパスワードそのものがないので、フィッシングに非常に強いのが最大の特長です。サービス側に保存されるのは「公開の鍵」だけなので、サービスから情報が漏れても、それだけではログインできません。
日本でも、2025年に証券口座の乗っ取りによる不正な取引が相次いだことをきっかけに、金融庁と日本証券業協会が、多要素認証の必須化などを盛り込んだ指針の改正案を公表しました。フィッシングに強い認証方式への切り替えは、これからさらに進んでいくと考えられます。
- パスキーは端末と結び付くので、スマホを機種変更したり、なくしたりしたときの備えが必要です。多くの場合、GoogleやAppleのアカウントを通じて新しい端末に引き継げますが、その親アカウントの守りがいっそう重要になります。
- パスキーに対応していないサービスもまだ多くあります。対応しているところから、少しずつ切り替えていけば十分です。
6. やってみよう：アカウントの守りを点検する
第2回で作った「情報資産リスト」を手元に置いて、次の順番で点検してみましょう。
- 最優先のアカウントを3つ決める：多くの場合、メール（ほかのサービスのパスワード再設定に使われるため）、ネットバンキング、スマホの親アカウント（GoogleアカウントやApple ID）です。
- 使い回しをなくす：その3つが、ほかと同じパスワードになっていないか確認し、なっていれば長いパスワードに変更します。
- 多要素認証を設定する：各サービスの「セキュリティ」や「ログイン」の設定画面を開き、多要素認証（2段階認証）を有効にします。
- パスキーに対応していれば登録する：同じ設定画面に「パスキー」の項目があれば、登録してみましょう。
- ブラウザのパスワード診断を使う：ChromeやEdgeのパスワード管理画面には、使い回しや漏えいの疑いがあるパスワードを教えてくれる機能があります。
※設定画面の名前や場所は、サービスや時期によって変わります。迷ったときは、各サービスの公式ヘルプを確認してください。
用語メモ
- パスワードリスト攻撃
- どこかで漏れたIDとパスワードの組み合わせを、ほかのサービスで次々に試す攻撃。使い回しが狙われる。
- パスワード管理ソフト（パスワードマネージャー）
- パスワードを安全に保存し、自動で作成・入力してくれる仕組み。ブラウザに標準で付いているものもある。
- 多要素認証
- 知識・所持・生体のうち、異なる種類の要素を2つ以上組み合わせる本人確認。
- SIMスワップ
- 携帯電話会社をだまして他人のSIMカードを再発行させ、電話番号を乗っ取る手口。
- パスキー
- 端末の中の秘密の鍵と、指紋・顔・画面ロックなどを組み合わせてログインする方式。フィッシングに強い。
まとめと、今日からできること
- 個人向けの脅威の多くは、最終的にアカウントの乗っ取りにつながる。
- パスワードの使い回しは、すべての鍵を1本にするのと同じ。一番弱いサービスから漏れた時点で全部が危うくなる。
- パスワードは複雑さより長さ。定期変更より、使い回さないことが大切。
- 多要素認証は設定するだけで大きな効果。できればフィッシングに強い方式を選ぶ。
- パスキーは、盗まれるパスワードそのものがない、フィッシングに強い新しい鍵。
- メールアカウントに多要素認証を設定する：メールが乗っ取られると、ほかのサービスのパスワードも次々に再設定されてしまいます。最初に守るべき場所です。
- 使い回しているパスワードを1つ減らす：一度に全部でなくて大丈夫。大事なものから1つずつ。
- パスキーを1つ登録してみる：GoogleアカウントやMicrosoftアカウントなど、対応しているサービスで試してみましょう。
OSやソフトの更新はなぜ大切なのか。Windowsに標準で入っているセキュリティ機能の確認や、見直しておきたい設定など、毎日使うパソコンの守りを固めます。
参考資料
- NIST「SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management」
https://pages.nist.gov/800-63-4/ - 総務省「国民のためのサイバーセキュリティサイト」
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/ - FIDOアライアンス「パスキー」
https://fidoalliance.org/passkeys/ - IPA「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html - 大和総研「証券口座の不正アクセス対策 ガイドライン改正案の公表」（2025年9月）
https://www.dir.co.jp/report/research/law-research/securities/20250901_025284.html - 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
※本記事は2026年10月時点の情報をもとに作成しています。
