パスワードの変更とアカウントを守る方法：流出後の優先順位

情報漏洩のお知らせを受けたり、アカウントに不審なログインがあったりしたときは、パスワードの変更が最初の対策です。ただ、手当たり次第に変えても、見落としが残ります。順番と、変えたあとの守り方を決めておくと、落ち着いて進められます。

このページでは、公的機関の案内に沿って、変更の優先順位、パスワードの作り方、管理の方法、多要素認証とパスキーまでを整理します。

まず結論：変更の優先順位

IPA（情報処理推進機構）は、不正ログインされたときの対応として、パスワードの変更と、使い回している他のサービスの確認を挙げています。次の順で進めるのが現実的です。

1. 漏えいの対象になったサービス、または不審なログインがあったサービスのパスワードを変更する。
2. 同じパスワードを使い回している他のサービスも、続けて変更する。
3. 個人情報や金銭情報を登録しているサービス、メールアドレスをIDにしているサービスを先に回す。
4. 多要素認証を設定する。使えるサービスではパスキーも設定する。
5. 利用明細やログイン履歴を確認し、不審なメールやSMSに備える。

警察庁も、サイバー警察局便りで、安全なパスワードを設定して使い回さないこと、ワンタイムパスワードなどの多要素認証が有効なことを呼びかけています。

無料で公開情報を確認すると、メールアドレスが知られている漏えいに含まれていないかを調べられます。詳しくは、後半の「公開情報を確認する」をご覧ください。

アカウントを乗っ取られるとどうなるか

IPAの「情報セキュリティ安心相談窓口」には、SNSアカウントの乗っ取り被害の相談が数多く寄せられています。国民生活センターの「国民生活」に載ったIPAの解説によると、乗っ取りとは、不正ログインした相手にパスワードを変えられ、持ち主がログインできなくなることです。乗っ取られたアカウントから、不審な商品やサービスを宣伝する投稿をされることもあります。

証券口座に不正ログインされ、不正な株取引をされる被害も、大きな問題として取り上げられています。このように、アカウントの悪用は、金銭的な被害にもつながります。

だからこそ、変更の順番が大切です。お金や個人情報に直接かかわるサービス、ほかのサービスの入口になるサービスから先に守ると、被害の広がりを抑えやすくなります。

変更の前に確認しておくこと

変更を始める前に、次の点を確認します。慌てて動くと、偽のメールに誘導されるおそれがあるためです。

• 漏えいを知った経路が、公式の発表やサービス内のお知らせかどうか。
• 手順を案内するメールやSMSのリンクを開いていないか。

警察庁は、情報流出の元になった企業をかたる偽メールの可能性があるとして、メール内のリンクを安易にクリックしないよう求めています。変更するときは、メールのリンクではなく、ブックマークや公式アプリから、サービスのログイン画面を開いてください。IPAの「情報セキュリティ10大脅威 2025 個人編」も、IDとパスワードを入力するサイトは、あらかじめブックマークして、そこからだけアクセスするよう勧めています。

漏えいの連絡が届いたときの考え方は、情報漏洩のお知らせが届いたら：まずやることにまとめています。

使い回しが危ない理由

パスワードの使い回しは、被害を広げます。IPAは、複数のサービスで同じパスワードを使い回していると、漏えいしたパスワードのリストを使った攻撃の被害に遭う可能性があると説明しています。

IPAが挙げる代表的な手口は、次の4つです。

• 総当たり攻撃：パスワードの文字の組み合わせを、すべて試します。
• 辞書攻撃：よく使われる言葉を集めた辞書を使います。「password123」のような単純な組み合わせが狙われます。
• リスト型攻撃：漏えいしたパスワードのリストを、他のサービスに試します。使い回しがあると被害に遭う可能性があります。
• フィッシング：実在する事業者をかたる偽のメールやSMSから、本物そっくりの偽サイトに誘導し、パスワードを入力させます。

使い回さないことは、リスト型攻撃への対策になります。長く複雑にすることは、総当たりや辞書攻撃への対策になります。一方、フィッシングはパスワードそのものを盗む手口です。どれだけ長くしても、これだけでは防げません。そこで多要素認証が必要になります。

安全なパスワードの作り方

IPAは、安全なパスワードを「長く」「複雑で」「使い回さない」ものとしています。目安として、数字・英大文字・英小文字を組み合わせて15文字以上を推奨しています。

避けたい例は、IPAと総務省の案内から次のようにまとめられます。

• IDと同じ文字列。
• 名前、電話番号、生年月日、住所など、個人に関する情報。
• 辞書にある単語だけのもの。
• 同じ文字の繰り返しや、キーボード配列、連続した数字。
• 短すぎるもの。

覚える必要があるときは、関連のない複数の単語をつなぎ、間に数字を入れる方法が、総務省のサイトで紹介されています。IPAは、使い回さないパスワードの作り方として「チョコっとプラスパスワード」という方法も案内しています。

定期的な変更は必要か

総務省の「国民のためのサイバーセキュリティサイト」によると、流出や乗っ取りの事実がなければ、定期的な変更は不要です。定期変更はパターン化や使い回しを招くおそれがあるとされています。

変更が必要なのは、漏えいが分かったときや、不正ログインがあったときです。このページの優先順位は、その場合の進め方です。

パスワードの管理と保管

サービスごとに別の長いパスワードを覚えるのは、現実的ではありません。IPAの「10大脅威 2025 個人編」は、覚えきれない場合の方法として、次を挙げています。

• 自宅で保管するノートなど、オフラインの媒体に記録する。
• OSやブラウザのパスワード管理機能を使う。
• パスワードマネージャ（パスワード管理ソフト）を使う。

総務省のサイトも、パスワード管理ツールの利用を勧めています。ただし、管理ツールそのものを、マスターパスワードや端末のロック（生体認証など）で守る必要があるとしています。

やってはいけないことも、公的機関の案内で共通しています。

• パスワードを他人に教えない。
• メールでやり取りしない。
• 画面の周りに付箋で貼らない。
• 複数の人が使うパソコンで、ブラウザにパスワードを記憶させない。

IPAは、ログイン通知をメールで受け取る設定と、利用しているサービスのログイン履歴の確認も勧めています。使っていないサービスは退会する、という対策も挙がっています。

変更したあとの点検リスト

変更が終わったら、次の点を確認しておくと、見落としを減らせます。IPAの案内をもとにしています。

• 使い回していたサービスのパスワードを、すべて別のものに変えたか。
• ログイン通知をメールで受け取る設定にしたか。
• ログイン履歴に、心当たりのない記録がないか。
• クレジットカードの利用明細に、見覚えのない利用がないか。
• 使っていないサービスを、退会できないか。
• 利用頻度が低いサービスに、クレジットカード情報を登録したままにしていないか。

ネットワークカメラのように、共通のパスワードが初期設定されている機器もあります。IPAは、初期設定のまま使わず、変更するよう求めています。

多要素認証を設定する

多要素認証は、本人であることを示す情報を、複数組み合わせる方法です。IPAは、知識情報（パスワード）、所持情報（スマートフォンなど）、生体情報（指紋や顔）のうち、2つ以上を組み合わせるものと説明しています。

たとえば、パスワードに加えて、ログインのたびに変わるワンタイムパスワードを使います。ワンタイムパスワードは、SMSで届く方法と、スマートフォンの認証アプリで作る方法があります。パスワードとスマートフォンの2つが鍵になるため、片方だけを盗まれても、不正ログインされにくくなります。

多要素認証の設定は、サービスごとに画面が違います。IPAの「不正ログイン対策特集ページ」には、各社の公式ヘルプへのリンクがまとめられています。掲載のないサービスは、そのサービスの公式ヘルプで確認してください。

多要素認証が破られることもある

IPAは、多要素認証を破る手口として「リアルタイムフィッシング」を紹介しています。攻撃者が、偽サイトに入力されたIDとパスワードをその場で本物のサイトに入力します。続けて届いたワンタイムパスワードも、偽サイトで入力させて盗みます。

このため、多要素認証を設定したあとも、メールやSMSのリンクを安易に開かない注意が必要です。

パスキーの位置づけ

パスキーは、パスワードの代わりに電子署名を使う認証方式です。IPAの解説では、スマートフォンの生体認証（顔や指紋）で本人を確認したうえで、電子署名を行います。署名は、事前に登録した正規のサイトにしか送られません。偽サイトにアクセスしても、署名は送られないため、フィッシングへの対策になるとされています。

警察庁も、サイバー警察局便りで「パスワードだけの認証はもう限界です」として、パスキーの導入を呼びかけています。ここでいう呼びかけは、サービスを提供する事業者に向けたものです。

利用者側の注意点は、IPAが次のように述べています。

• パスキーが使えるサービスでは、設定することを推奨する。
• ただし、すべてのサービスが対応しているわけではない。
• 使えないサービスでは、安全なパスワードと多要素認証を設定する。
• パスキーに対応していても、ID・パスワード認証が併用されている場合は、安全なパスワードと多要素認証も設定する。

公開情報を確認する

Remove Meは、インターネット上の公開情報と、知られている漏えいを調べて、結果を表示します。まだ削除の依頼を送る機能はありません。このスキャンは、特定の企業の事案を探すものではありません。

結果が空でも、情報が漏れていない、あるいは安全だという意味にはなりません。調べた範囲に出てこなかった、というだけです。

どのサービスのパスワードから変えるかを決める材料にしたいときは、無料で公開情報を確認するをお試しください。メールアドレスが漏えいに含まれているかを調べる方法は、メールアドレスが漏洩していないか確認する方法でも解説しています。

変更したあとに気をつけること

パスワードを変えたあとも、漏れた情報を使った連絡が続くことがあります。

• メールやSMSのリンクを開かない。連絡の真偽は、公式サイトや公式アプリで確かめる。
• クレジットカードや電子決済の利用明細を、定期的に確認する。
• ログイン履歴に心当たりのない記録がないか確認する。

偽のメールの見分け方は、フィッシング詐欺の見分け方と、被害に遭ったときの対処法で解説しています。

被害に遭ったとき・不安なときの相談先

IPAの「10大脅威 2025 個人編」は、自分のアカウントにログインされたときの相談先として、ログインされたサービスの提供会社を挙げています。そのとき、不審なメールやSMSのリンクは使わず、サービスの窓口を自分で調べ直して連絡するよう注意しています。

不審なWebサイトに個人情報や金銭情報を入力してしまった場合は、クレジットカード会社や金融機関、都道府県警察本部のサイバー犯罪相談窓口が相談先として挙げられています。どこに当てはまるか分からないときは、IPAの情報セキュリティ安心相談窓口や、国民生活センター・消費生活センターに相談できます。

警察庁は、少しでも不審に思ったときは、最寄りの警察署やサイバー犯罪相談窓口に相談するよう案内しています。警察相談専用電話「#9110」番でも相談できます。

出典

• 警察庁：サイバー警察局便り R8 Vol.19「情報流出に注意」
• 警察庁：サイバー警察局便り R8 Vol.12「パスワードだけの認証はもう限界です」
• 国民生活センター「国民生活」2025年11月号：不正ログインの脅威と対策（IPA）
• IPA：情報セキュリティ10大脅威 2025 個人編
• IPA：不正ログイン対策特集ページ
• 総務省：推測できる簡単なパスワードを利用しないようにしよう