そのパスワード、使い回していませんか？｜中小企業のための“乗っ取り”を防ぐパスワード管理・多要素認証・パスキー入門【2026・IPA準拠】

「うちは大丈夫」がいちばん危ない

「取引先から急に、身に覚えのないメールが届いたと連絡が来た」。「通販サイトに勝手にログインされ、心当たりのない注文が入っていた」。「クラウド会計や業務システムに、知らない端末からアクセスされた形跡があった」。——こうしたアカウントの“乗っ取り”（不正ログイン）は、大企業だけの話ではありません。むしろ、対策が後回しになりがちな中小企業・個人事業こそ、ねらわれやすいのが実情です。

やっかいなのは、乗っ取りの多くが「高度なハッキング」ではなく、私たちの何気ない習慣の“スキ”を突いてくること。その代表がパスワードの使い回しです。逆に言えば、正しい順番で手を打てば、追加費用ゼロでも大きくリスクを下げられます。この記事では、国の専門機関であるIPA（情報処理推進機構）と金融庁の公式情報にそって、「今日からできること」を順番に解説します。

なぜ「パスワードの使い回し」が乗っ取りの入口になるのか？

多くの人が、複数のサービスで同じ（または似た）パスワードを使っています。覚えやすいので当然なのですが、これが攻撃者にとって最大の“ごちそう”になります。仕組みはこうです。

IPA（情報処理推進機構）の不正ログイン対策でも、「パスワードを、他人に推測されにくい長く複雑なものにする」「複数のサービス間で使い回さない」ことを基本として挙げ、さらに一歩進んだ対策として「多要素認証」を設定するよう勧めています。まずはこの順番で手を打っていきましょう。

お金をかけずに守るには？｜今日からの3ステップ

用意するものは、ふだんお使いのパソコン・スマホと、少しの時間だけ。新しいソフトの購入は不要です。次の3ステップを、上から順に進めてください。

1. ステップ1：重要アカウントから「使い回し」をやめる
   まずは全部を一度に、ではなく“被害が大きい順”に手を付けます。目安は、①メール（乗っ取られると各種の再設定に悪用されます）②ネット銀行・決済・クレジットカード③クラウド会計・業務システム④主要なSNS——の順。これらはそれぞれ別々の、長く複雑なパスワードに変更します。「名前＋生年月日」「password」「社名＋123」のような推測されやすいものは避けましょう。
2. ステップ2：パスワード管理ツールで“覚えない”仕組みにする
   「サービスごとに複雑なパスワードなんて覚えられない」——その通りです。人が覚える必要はありません。パスワード管理ツールを使えば、サービスごとに長く複雑なパスワードを自動で作り、暗号化して保管し、ログイン時に自動入力してくれます。まずはふだんお使いのブラウザ（Chrome・Edge・Safari）やスマホに標準で付いている「パスワード保存機能」から始めるのが手軽です。あなたが覚えるのは、そのツールを開くためのマスターパスワードひとつ（＋端末のロック解除）だけになります。
3. ステップ3：多要素認証（MFA）を主要サービスでオンにする
   多要素認証（MFA）とは、ID・パスワードに加えてもう1つ別の要素——スマホアプリに出る確認コード、SMSで届く番号、指紋・顔などの生体認証——を求める仕組みです。IPAによると、多要素認証を設定していれば、仮にIDとパスワードが漏れても、それだけではログインできないため、不正ログインの防止に効果があります。多くのサービスは設定画面の「セキュリティ」から無料でオンにできます。ステップ1で挙げた重要アカウントから順に有効化しましょう。

一歩先の対策｜「パスキー」でフィッシングに強くする

上の3ステップができたら、次の一歩がパスキーです。パスキーは、パスワードそのものを使わず、スマホやパソコンの指紋・顔認証や画面ロックでログインする新しい方式です（国際的なFIDOという規格にもとづいています）。利点は大きく2つあります。

社会全体でも導入が進んでいます。金融庁は監督指針を改正し、証券会社などに対して、ログインや出金といった重要な操作で「フィッシングに耐性のある多要素認証（パスキーによる認証など）」を、原則2026年6月末までに求めました。大手のIT・SNS・通販サービスでも順次パスキーに対応しています。まずは、お使いのサービスの設定に「パスキー」の項目があれば、有効化してみるところから始めましょう。

今日からのチェックリスト

まずは会社の“いちばん大事なアカウント”ひとつで構いません。次の項目を上から確認してみてください。

• メール・ネット銀行・業務システムなど、重要アカウントを洗い出した
• 重要アカウントは、それぞれ別々の・長く複雑なパスワードに変えた
• パスワード管理ツール（ブラウザ標準／専用アプリ）で保管・自動入力にした
• 重要アカウントで多要素認証（MFA）をオンにした
• 対応しているサービスは、パスキーを有効化した
• 付箋・平文Excelでのパスワード共有をやめた
• 退職者・異動者が使っていたアカウントの棚卸し・停止をした

あわせて確認｜IPA「情報セキュリティ5か条」

不正ログイン対策は、会社を守る“土台”の一部です。IPA（情報処理推進機構）は中小企業向けに、まず取り組みたい基本として「情報セキュリティ5か条」を示しています。

まとめ｜“順番に、できるところから”が最短の近道

アカウントの乗っ取りは、特別な会社だけの問題ではありません。けれど、守り方はシンプルです。①使い回しをやめる → ②管理ツールで覚えない仕組みに → ③多要素認証をオンに。この3ステップを重要アカウントから進め、対応サービスはパスキーへ切り替える。これだけで、被害のリスクは大きく下がります。しかも、そのほとんどが追加費用ゼロで実行できます。

「うちの場合、どのアカウントから手を付ければ？」「社内でルール化して全員に徹底させたい」——そんなときは、Office N がお手伝いします。中小企業・個人事業の実態に合わせて、無理なく続けられるセキュリティの“最初の一歩”を一緒に設計します。