【セキュリティ入門 第2回】パスワードの正しい守り方——使い回しをやめるだけで、被害確率はぐっと下がる

中小企業のための情報セキュリティ超入門 2 / 8

「通販サイトから情報が漏れたって連絡来たけど、買い物用のサービスだしまぁいいか」——そう思って放置していたある朝、社内システムに見覚えのないログイン履歴が並んでいた。原因は、プライベートで使っていたパスワードを、会社のメールやクラウドサービスでも使い回していたから。これは中小企業の現場で実際に起きている、ありふれた事故です。

第2回は、もっとも身近で、もっとも狙われている入り口——「パスワード」を、暗記に頼らず守る具体的な手順を、Microsoft 365とGoogle Workspaceの両方の画面動線でたどります。読み終わるころには、今日中に着手できる手が3つは決まっているはずです。

▼前回の記事はこちら

この記事でわかること

• 使い回しが致命傷になる「アカウントリスト型攻撃」のしくみ

• いま国内・海外の公的機関が示している「強いパスワード」の最新ルール

• ブラウザ標準のパスワード管理機能を安全に使うための設定

• 自分のメールアドレスやパスワードが過去に漏れていないかを今日確かめる方法

• 漏えいが疑われたときに、慌てず順に動くための初動手順

なぜ「使い回し」がいちばん危険なのか

トレンドマイクロが2026年3月に公表した「パスワード・パスキー利用実態調査2026」によると、Webサービス利用者の84.3パーセントが、複数のサービスで同じパスワードを使い回しています。理由のトップは「異なるパスワードを設定すると忘れてしまう（74.3パーセント）」というもの。気持ちはとても自然ですが、攻撃者から見ると、この「人間らしい妥協」こそが最大の入り口です。

攻撃者は、どこか1つのWebサービスから漏れたメールアドレスとパスワードの組み合わせを大量に入手し、そのリストを片っ端から他のサービスに打ち込んで侵入を試みます。これをアカウントリスト型攻撃（あかうんとりすとがたこうげき：盗んだID・パスワードのリストを使い、別サービスへの不正ログインを次々と試す手口。パスワードリスト攻撃とも呼ぶ）と言います。「通販サイトの漏えい」が「会社のメール乗っ取り」につながるのは、まさにこの仕組みのためです。同じ調査で、不正アクセス・情報流出の被害経験があると答えた人は14.7パーセント。100人に14人がすでに踏まれている計算になります。

いまの「強いパスワード」は、長さ最優先・記号必須はもう古い

「英数字に大文字小文字と記号を混ぜて、3か月ごとに変えなさい」——そんなルールで作ったパスワードは、もはや最新の基準とずれています。

米国NIST（エヌアイエスティー：米国国立標準技術研究所。米政府機関のセキュリティ基準を作る組織）が2025年に改定した「SP 800-63B-4」では、パスワード単独でログインする場合は最低15文字、多要素認証（MFA：エムエフエー。Multi-Factor Authentication。パスワードに加えてもう1つの確認を組み合わせるしくみ。第3回で詳しく扱う）と組み合わせる場合は8文字以上を最低ラインとしています。一方で、「大文字・数字・記号をそれぞれ必ず入れる」といった文字種ルールや、漏えいの兆候がないのに定期的に変えさせる運用は、むしろ推奨されないと明記されました。日本のIPA（アイピーエー：情報処理推進機構。国のIT政策を支える独立行政法人）が2026年3月に公表した「中小企業の情報セキュリティ対策ガイドライン第4.0版」も、「長く・複雑に・使い回さない」を3本柱にしつつ、可能な限りMFAを併用するよう求めています。

実務に落とすと、ポイントはシンプルです。第一に、長さは12文字以上、重要なアカウントは15文字以上を目安にする。第二に、辞書に載っている単語や生年月日、社名・サービス名そのものは避ける。第三に、サービスごとに別のパスワードにする。これを人間の脳だけでこなすのは現実的に無理なので、後述するパスワード管理ツールに任せるのが正解です。

パスワード管理ツールを使えば、覚えるのは「1つ」だけでいい

サービスごとに15文字以上の別パスワードを設定すれば、もう人間の頭では覚えきれません。そこで使うのがパスワード管理ツール（複数サイトのIDとパスワードを暗号化して保管し、入力時に自動で呼び出してくれるアプリ。パスワードマネージャーとも呼ぶ）です。ユーザーが覚えるのは管理ツールを開くための「マスターパスワード」1つだけになります。

会社で多くの方が一番手軽に始められるのは、すでに使っているWebブラウザ（うぇぶぶらうざ：インターネット閲覧用ソフト。Microsoft EdgeやGoogle Chromeなど）の内蔵機能です。

Microsoft 365中心の環境であれば、Microsoft Edgeのパスワード マネージャーが選択肢になります。Edgeのウィンドウ右上のプロフィールアイコンから「設定」→「プロファイル」→「パスワード」と進むと、保存済みパスワードの一覧と、漏えい通知機能（侵害されたパスワードを警告してくれる機能）の有効化設定が見つかります。重要な変更点として、Edge独自の「主パスワード」機能は2026年6月で廃止され、パスワードを表示する際の本人確認はWindowsへサインインするときと同じPIN・指紋・顔認証（Windows Hello：ウィンドウズ ハロー。WindowsのPIN・指紋・顔による本人確認のしくみ）に統一されました。会社の端末でEdgeにパスワードを保存するなら、必ず「Windows Helloを有効にする」「PCのスリープ復帰時にサインインを要求する」をセットで設定してください。法人で管理者がいる場合は、Microsoft 365管理センターからEdgeの構成プロファイルを作り、「PasswordExportEnabled」を無効化して一括エクスポート自体を禁止する運用が安全です。

Google Workspace中心の環境であれば、Google Chromeに組み込まれたGoogleパスワードマネージャーが同様の役割を担います。Chromeの右上のプロフィールアイコン→鍵のマーク（パスワード マネージャー）、またはアドレスバーに「passwords.google.com」と入れてアクセスすると、一覧と「パスワード チェックアップ」（漏えい・脆弱・使い回しを自動診断する機能）が使えます。Googleアカウントにログインしている限りパスワードが復号されて使える設計なので、Googleアカウント自体を多要素認証で強く守ることが大前提になります。これは第3回でくわしく扱います。

自分のアドレス・パスワードが漏れていないかを今日確かめる

ここまでの対策をしても、「過去にどこかから漏れている」可能性は誰にでもあります。確かめる定番の手段がHave I Been Pwned（ハブ アイ ビーン ポウンド：海外のセキュリティ研究者が運営する、過去の漏えい事件のメールアドレス・パスワード照合サイト。略してHIBP）です。2026年7月時点で、登録されている漏えい事件は1,000件超、照合できるパスワードは10億件を超えています。直近でも2026年6月に、ウイルス経由で盗まれた情報約5,600万件分のメールアドレスと約1.24億件分のパスワードが新たに追加されました。東京都サイバーセキュリティポータルでも初心者向けに使い方が紹介されている、信頼の置けるサービスです。

使い方はとても簡単です。サイトを開いてメールアドレスを入力すると、そのアドレスが過去に漏えいしたサイトのリストが表示されます。「Oh no — pwned!」と赤く出れば、表示されているサービスのパスワードを今すぐ別のものに変えるサインです。
会社のメールアドレスでも、退会済みのプライベートアドレスでも、心当たりのあるものは順に確かめておきましょう。ブラウザ内蔵の「パスワード チェックアップ」（Chrome）や「漏えい通知」（Edge）も内部的に同じ仕組みを使っているので、両方をオンにしておくと普段の保存パスワードは自動で監視されます。

もし「漏れたかも」と気づいたら——初動の4ステップ

被害連絡や警告メールを受け取った瞬間、頭が真っ白になりがちですが、やることはシンプルです。

ひとつ目は、該当するサービスのパスワードを今すぐ別の強いパスワードに変えること。

ふたつ目は、同じパスワードを使い回している他のサービスを思い出して、そちらも順番にすべて変えること。会社のメールが含まれているなら最優先です。

三つ目は、会社のアカウントが関わるなら、自己判断で完結させず情報システム担当者か外部のITサポート（みよし屋など）に共有すること。社内の他の端末・アカウントにも被害が広がっていないかを横で確認してもらえます。

四つ目は、自分のアカウントのログイン履歴を確認することです。
Microsoft 365なら「mysignins.microsoft.com」（マイ サインイン）にアクセスすれば、誰でも自分のサインイン履歴・場所・端末・ブラウザ種別を一覧できます。
Google Workspaceなら、自分のGoogleアカウント設定画面→「セキュリティ」→「最近のセキュリティ関連のアクティビティ」「お使いのデバイス」で同様に確認できます。

見覚えのない場所・端末からのログインや、自分が送った覚えのない送信メールがないかをチェックし、心配があれば管理者に依頼して管理コンソール（Microsoft 365管理センター／Google Workspace管理コンソールの調査ツール）から組織全体への影響を見てもらいましょう。

このうち最も大事なのは、「とりあえず黙っておく」を選ばないことです。気づくのが早ければ早いほど被害は止められます。第1回でも触れたとおり、初動の判断ひとつで損害の大きさは桁が変わります。

まとめ：第2回のポイント

• 使い回しは「人間が忘れない工夫」ではなく「攻撃者を招き入れる工夫」になる。1つ漏れた瞬間に全サービスが危険にさらされる、アカウントリスト型攻撃の入り口

• 強いパスワードの新常識は「長さ最優先（重要アカウントは15文字以上）・複雑性ルールよりサービスごとに別パスワード・MFAとセット」。記号必須や定期変更はもう推奨されない

• 管理はEdge・Chromeのパスワード マネージャーで始め、Have I Been Pwnedや内蔵の漏えい通知で過去の流出も洗い出す。漏えいが疑われたら「変更→他サービスも変更→共有→ログイン履歴確認」の4ステップで動く

次回は、パスワードが万一漏れても突破されないための仕組み——多要素認証（MFA）の設定手順を、Microsoft Authenticator（マイクロソフト オーセンティケーター）とGoogle認証システムの両方で具体的に追いかけます。

情報セキュリティ対策や社内ルールづくりでお困りのことがあれば、みよし屋までお気軽にご相談ください。

#情報セキュリティ #中小企業 #パスワード管理 #パスワードマネージャー #Microsoft365 #GoogleWorkspace #IT初心者 #みよし屋