パスワード管理アプリとパスキーの使い方ガイド

パスワード管理アプリとは、アカウントごとに異なる強力なパスワードを作成・保存・自動入力してくれるアプリで、覚えるのは一つだけで済みます。顔、指紋、画面ロックでパスワードの代わりにサインインできるパスキーと組み合わせれば、日常でいちばん大きなリスクである「同じパスワードをあちこちで使うこと」をなくせます。

メール、ネットバンキング、SNSのアカウントは、主にパスワードで守られています。一つ盗まれると、犯罪者にメッセージを読まれ、ほかのアカウントのパスワードをリセットされ、お金を使われてしまうかもしれません。対策は思っているより短時間で済み、専門知識もいりません。

本当に危ないのはパスワードの使い回し

多くの人は、パスワードを推測されることを心配します。しかし、もっと大きな問題はパスワードの使い回しです。

Webサイトから情報が漏えいすると、メールアドレスとパスワードの一覧がネット上で出回ることがよくあります。攻撃者は自動化ツールを使い、同じ組み合わせをメール、ネットバンキング、ネットショップなどほかの多くのサイトで試します。これを パスワードリスト攻撃（クレデンシャルスタッフィング）と呼びます。

小さなネットショップから流出したパスワードをメールにも使っていたら、攻撃者はあなたのメールに入り込み、そこからほとんどすべてのパスワードをリセットできてしまいます。

だからこそ アカウントごとに別々のパスワードが必要 です。何十個も覚えるのは誰にも無理なので、そのためにパスワード管理アプリがあります。

今の時代の強いパスワードとは

複雑さより長さが大切です。長いパスワードは、記号だらけの短いパスワードよりずっと推測されにくくなります。

• 12〜16文字以上にする。 重要なアカウントはさらに長くしましょう。
• パスフレーズを使ってみる。 river-candle-orbit-pepper のように、関係のない単語を4つ以上ランダムに並べます。長く、入力しやすく、覚えやすいのが特長です。
• 個人情報を避ける。 名前、誕生日、電話番号などは使わないでください。
• よくあるパターンを避ける。 「Password1!」や、古いパスワードに年を付け足すだけ、といったものです。
• 絶対に使い回さない。 10のサイトで使った強いパスワードの安全性は、そのなかで最も弱いサイトと同じです。

覚えておく必要があるのは、スマホのロック解除コード、メインのメールのパスワード、パスワード管理アプリのマスターパスワードなど、ほんの数個だけです。

パスワード管理アプリの仕組みと始め方

パスワード管理アプリは、パスワードを暗号化された保管庫に保存します。保管庫はマスターパスワード一つで、多くの場合は指紋や顔認証でもロックされます。新しいランダムなパスワードを提案し、保存したパスワードを自動入力してくれますが、入力するのは保存したときの本物のサイトだけなので、偽のログインページからも守ってくれます。

パスワード管理アプリを選ぶ

• スマホやブラウザに標準搭載のもの。 iPhone、Android、Windows、macOS、主要なブラウザには、パスワードの生成・保存・同期ができる機能があります。いちばん手軽な出発点です。
• 信頼できる独立系のパスワード管理アプリ。 OSやブラウザをまたいで使えるので、さまざまな機器を組み合わせている人に便利です。App Store、Google Play、開発元の公式サイトからだけインストールしましょう。

手順に沿って設定する

1. 強力なマスターパスワードを一つ作ります。ほかでは一度も使ったことのない長いパスフレーズにしましょう。
2. パスワードを保管するアカウントで2段階認証をオンにします。方法は 2段階認証（2FA）ガイド で解説しています。
3. 復旧キーや復旧用の連絡先など、アカウント復旧の手段を設定し、安全な場所に保管します。
4. 数日かけて、ログインするたびにパスワードを保存させていきます。
5. メール、ネットバンキング、携帯電話会社、SNSなど、最も重要なアカウントから、アプリの「パスワードを生成」機能で新しいパスワードに置き換えます。1週間に数アカウントずつで大丈夫です。

パスキーをやさしく解説

では、パスキーとは何でしょうか。パスキーは、パスワードを完全に置き換える新しいサインイン方法です。スマホやパソコンのロックを解除するのと同じように、顔、指紋、PINで本人確認をします。

裏側では、端末が一対のデジタルな鍵を作ります。Webサイトが保管するのは公開用の部分だけです。秘密の部分は端末やパスワード管理アプリのなかで守られ、サイトに送られることはありません。つまり、

• サイトから盗まれるものがない。 情報漏えいが起きても、使い回せるパスワードは流出しません。
• フィッシングに強い。 パスキーは作成した本物のサイトでしか使えないので、偽のログインページにだまされて渡してしまうことがありません。
• 端末間で同期できる。 標準搭載や独立系のパスワード管理アプリに保存したパスキーは、同じアカウントでサインインしたほかの端末にも同期されます。

パスキーが入っていないパソコンでサインインするときは、サイトがQRコードを表示することがあります。スマホで読み取って確認すればサインインできますが、スマホが物理的に近くにある必要があります。

アカウントをパスキーに切り替える方法

1. いつもどおりアカウントにサインインし、セキュリティやサインインの設定を開きます。
2. 「パスキー」や「パスキーを作成」といった項目を探します。
3. 顔、指紋、画面ロックで確認し、保存先を選びます。
4. 一度サインアウトし、パスキーでサインインし直して動作を確かめます。
5. パスワードを予備として残すサービスもあるので、そのパスワードが強力で使い回していないものか確認しましょう。

まだすべてのサイトがパスキーに対応しているわけではありません。対応しているところではパスキーを、それ以外ではパスワード管理アプリを使いましょう。

流出したパスワードをチェックする

iPhone、Android、主要なブラウザに標準搭載のパスワード管理機能や、多くの独立系アプリには、パスワードチェックやセキュリティに関するおすすめの機能があります。保存したパスワードが次のような場合に警告してくれます。

• 既知のデータ漏えいで見つかった
• 複数のアカウントで使い回されている
• 弱い、または推測されやすい

数か月に一度この画面を開き、重要なアカウントから順に警告に対処しましょう。

情報漏えいのあとにやること

サービスから情報漏えいの連絡があったときや、パスワードチェックで警告が出たときは、次の順番で対処しましょう。

1. そのアカウントのパスワードを変更する。 パスワード管理アプリで作った新しいものを使います。
2. 使い回していたほかのサイトでも変更する。 本当の被害が出るのはここです。
3. 2段階認証かパスキーをオンにする。 まだ設定していなければ、そのアカウントで有効にしましょう。
4. アカウントを確認する。 見覚えのない端末、メールの転送設定、変更された復旧用の情報がないかを見ます。
5. 銀行の明細を確認する。 支払い情報が漏れた可能性があるなら、おかしな点があれば銀行に連絡します。
6. メッセージに特に注意する。 情報漏えいのあとには、偽の「セキュリティ警告」メール、SMS、QRコードがよく送られてきます。リンクは使わず、公式アプリを開くかアドレスを自分で入力しましょう。QRコード付きフィッシングメール のガイドも参考にしてください。

クイックチェックリスト

1. 重要なアカウントはすべて、それぞれ固有のパスワードを使っている。
2. メインのパスワードは、短く複雑な単語ではなく長いパスフレーズにしている。
3. 標準搭載か、信頼できる独立系のパスワード管理アプリを使っている。
4. マスターパスワードは強力で、ほかでは使っていない。
5. パスワード管理アプリの復旧手段を安全な場所に保管している。
6. メールとパスワード管理アプリを2段階認証で守っている。
7. 対応しているアカウントではパスキーをオンにしている。
8. 数か月に一度、パスワードチェックをしている。

よくある質問（FAQ）

パスワードを全部一つのパスワード管理アプリに入れて大丈夫ですか？

ほとんどの人にとって、パスワードを使い回すよりずっと安全です。保管庫は暗号化され、マスターパスワードでロックされています。マスターパスワードをしっかり守り、2段階認証をオンにしましょう。

マスターパスワードを忘れたらどうなりますか？

アプリによって異なります。多くは復旧キーや復旧用の連絡先を用意しているので、使い始めた日に設定しておきましょう。

パスキーは2段階認証の代わりになりますか？

パスキーはそれ自体で2つの要素を組み合わせています。持っているもの（端末）と、あなた自身や知っていること（指紋、顔、PIN）です。そのため、多くのサービスはパスキーでのサインインだけで十分に強力だと扱っています。

パスキーが入ったスマホをなくしたらどうなりますか？

パスキーをパスワード管理アプリで同期していれば、新しい端末でサインインすると戻ってきます。スマホをなくしたときにほかにやるべきことは スマホのセキュリティ対策 で解説しています。

固有のパスワードとパスキーがあれば、アカウント乗っ取りのほとんどは防げます。今週、まずはメールからパスワード管理アプリを設定しましょう。そして、QRコード付きの「セキュリティ警告」が届いたら、開く前にQR-THの無料 オンラインQRコードスキャナー で本当のリンク先を確認してください。