3行でいうと

  • パスワードは、できるだけ長く、使い回しません。定期的な変更は基本は要りませんが、流出がわかったらすぐ変えます。
  • パスワードに確認コードなどを足す多要素認証を設定します。SMSより、認証アプリやセキュリティキーが勧められています。
  • パスキーは、指紋や顔、画面ロックでログインする新しい方法です。サービス側の対応が必要で、使えるところから増やします。
  • どの方法でも、確認コードを人に教えない、偽サイトに入力しない、が前提です。

この記事は、公式・一次資料（官公庁、標準化団体、各社の公式ヘルプ）を読んでまとめたものです。この記事は、実際に使って確かめた記録ではありません。画面の名前は、公式ページの表記です。

先に結論

何が問題なのか

IPAの「安心相談窓口だより」（2025年8月28日）によると、2025年7月に寄せられた不正ログインの相談は144件で、これまでで最も多い件数でした。多くは、InstagramやFacebookなどにログインされ、自分ではログインできなくなったという相談です。

IPAは、IDとパスワードが漏れる主な経路を、次の3つに整理しています。

  1. 単純なパスワードを、推測される。
  2. 別のサービスから漏れたパスワードを、試される。
  3. フィッシングサイト（本物そっくりの偽サイト）にだまされて、IDとパスワードを入力してしまう。

また、Instagramの事例では、知人になりすました相手からのメッセージをきっかけに、電話番号と認証コードを教えてしまい、アカウントを乗っ取られる流れが多く確認された、とあります。

AIのアカウントも例外ではありません。見立てです。チャットAIのアカウントには、会話の履歴や、場合によっては支払いの情報があります。乗っ取られれば、中身を見られたり、有料の機能を使われたりするおそれがあります。

第1の鍵：パスワード

公式に書かれていること

IPAの「不正ログイン対策特集ページ」（最終更新2023年9月29日）と、2025年の注意喚起は、パスワードを「できるだけ長く」「複雑で」「使い回さない」ものにするよう勧めています。

国家サイバー統括室（以前はNISC）の「インターネットの安全・安心ハンドブック」（Ver 5.10、令和7年3月11日）の第5章には、次の趣旨が書かれています。

数字の目安：米国の技術基準

日本の資料には、「何文字以上」という具体的な数字が、僕らが読んだ範囲では書かれていませんでした。参考として、米国のNIST（国立標準技術研究所）の文書を読みました。「SP 800-63B」（デジタル認証の技術要件、第4版）です。この文書は、サービスを作る側に向けた基準で、一般の利用者向けではありません。内容は、次のとおりです（言い換えです）。

見立てです。数字と日本の資料の方向（長く、使い回さない、定期変更は不要）は一致しています。一方、各サービスの入力画面の規則は、サービスごとに違います。使えるなら、長いほうを選ぶのが無難だと思います。

使い回さないためには

ハンドブックには、パスワード管理アプリが、サービスごとに別々の長いパスワードを自動で作って保管してくれる、とあります。この記事では、個別の製品を確かめていません。IPAの2つのページには、管理アプリの記載を見つけられませんでした。

第2の鍵：確認コード（2段階認証・多要素認証）

言葉の整理

多要素認証の利点は、IDとパスワードが漏れても、それだけではログインできないことです。

方式によって強さが違う

国のハンドブックは、多要素認証の確認方法を、次のように分けています。

方式 ハンドブックの扱い（言い換え）
認証アプリが作る1回限りのコード 基本的に推奨できる
USBセキュリティキー（物理的な鍵） 基本的に推奨できる
指紋認証などの生体認証 推奨できる。ただし100%安全とは言えない
SMS（電話番号に届くコード） 推奨できないほうに分類。海外でSIMの乗っ取りで破られた例がある
メールで届くコード 推奨できないほうに分類。送信される経路で奪われるおそれ

Googleの公式ヘルプも、2つ目の手順として、パスキー、セキュリティキー、認証アプリ、メッセージ、SMS・音声電話、QRコード、バックアップコードを挙げ、SMSなどの電話番号を使う方法は、電話番号を狙った攻撃を受けるおそれがあると書いています。

見立てです。SMSでも、設定がないよりは、はるかに良いと思います。ただ、選べるなら、認証アプリやセキュリティキー、パスキーを選ぶ、という順番になります。

AIサービスでの例（公式ヘルプ）

絶対に守ること

第3の鍵：パスキー

何のことか

パスキーは、パスワードの代わりに、指紋、顔、端末の画面ロックのPINなどでログインする方法です。FIDOアライアンス（この規格をつくる業界団体）は、暗号の鍵のペアを使う方式だと説明しています。

たとえ話です。サービス側には「錠前（公開鍵）」だけを渡し、対応する「鍵（秘密鍵）」は、自分のスマホやパソコンの中に置いたままにします。ログインのたびに、サービスが出す問いかけに、鍵で答える。その鍵を使うときに、指紋や顔で本人確認をします。

Appleの公式ページ（日本語）も、同じ説明です。公開鍵はサーバーに、秘密鍵はデバイスから出ず、サーバー側は秘密鍵を知らない、共有される秘密がない、と書かれています。

何がいいのか

IPAも、パスワードに代わる認証方法として、パスキーの利用を勧めています。

注意点：公式ヘルプに書かれていること

今日からできるチェックリスト

優先順位をつけた、僕らの整理です。

  1. メールのアカウント（Googleなど）。他のサービスの再設定の入口になるので、最優先。パスワードを長くし、使い回さず、多要素認証かパスキーを設定する。
  2. AIのアカウント（ChatGPT、Claude、Geminiなど）。パスワードの使い回しをやめる。Claudeのようにログインの仕組みが別のアカウントに頼るものは、そちらを守る。
  3. お金に関わるアカウント（カード、銀行、通販、アプリの課金）。
  4. 多要素認証は、選べるなら、認証アプリかパスキー、セキュリティキーを選ぶ。SMSは次善。
  5. パスキーが使えるサービスで、1つずつ作る。ほかの端末でも使うなら、同期の仕組みと復旧の手順を確かめてから。
  6. 確認コードを人に教えない。メッセージで「コードを教えて」と言われたら、断る。
  7. バックアップコードや復旧用の情報を、安全な場所に保管する。
  8. 「流出していた」という通知が来たら、そのパスワードと、同じものを使ったすべてのサービスを、すぐに変える。

気をつけること

出典

更新履歴