2026年10月版 市民のための自衛ガイド

パスワードとログインの守り方

全部を一度にやる必要はありません。乗っ取られたときの被害が大きく、ほかのサービスの鍵にもなるものから順に見直します。

• 事実には出典を明記
• 最終更新 2026年10月16日

どこから見直すか（優先順位）

1. メール（Gmail、iCloud、Yahoo!メール、キャリアメールなど）多くのサービスのパスワード再設定がここに届くため、重要な合鍵です。
2. 携帯電話会社のアカウントと電話番号SMSの認証コードの受け取り先です。番号を奪われると、SMSを使う認証が突破されるおそれがあります。
3. Apple ID、Googleアカウントスマホのバックアップ、保存したパスワード、パスキーの保管場所です。
4. 銀行・証券お金そのものです。
5. スマホ決済とクレジットカードPayPayなど。銀行口座からの自動チャージが付いていることがあります。
6. 通販とポイントAmazon、楽天など。登録したカードで買い物をされ、貯めたポイントも狙われます。
7. LINEとSNS乗っ取られると、あなたの名前で家族や友人に詐欺のメッセージが送られます。LINEの認証番号は、家族や友人に頼まれても教えません。LINEは、家族や知人であっても受信した認証番号を教えないよう呼びかけています。
8. それ以外使っていないものは退会と消去請求へ。

パスワード：全部を別々にする

パスワードは長く、推測しにくく、サービスごとに別々にします。1つが漏れても、ほかのサービスで使われないようにするためです。

• パスワード管理の機能を使う。iOS 18以降は「パスワード」アプリ、以前のiOSは設定のパスワード管理、Androidは「Googleパスワードマネージャー」を利用できます。専用アプリ（1Password、Bitwardenなど）も使えます。
• パスワードは機械に作らせる。管理機能が提案する、長くてランダムなものをサービスごとに使います。サービスが対応していれば16文字以上を目安にします。覚える必要はありません。
• 管理機能そのものの鍵と復旧手段を守る。スマホの画面ロックとApple ID、Googleアカウント、専用アプリの管理用パスワードは、推測されにくく、ほかで使っていないものに。復旧用の連絡先や予備のコードも確認し、安全な場所に保管します。
• 復旧に「秘密の質問」だけを使わない。出身地などは調べられる場合があります。別の復旧方法を選べるなら利用します。任意の答えを認める質問では、推測されにくい答えを管理機能に保存できます。本人確認として事実の申告を求める欄には、虚偽を記入しません。

パスワードの流出や使い回し、不審なログインが分かったら、公式アプリや自分で開いたサイトから変更します。メールアドレスだけが漏れ、パスワードに異常がないなら、それだけを理由に変更を急ぐ必要はありません。漏れた項目が分からないときは、まず事業者の公式発表で確かめます。根拠なく定期的に変えるより、固有のパスワードと追加の認証を保つことが大切です。

事業者がパスワードを暗号化して保存したのか、元に戻せない形に加工（ハッシュ化）して保存したのかは別です。ハッシュ化されていても弱いパスワードは推測され得ます。保存方法や攻撃者の手元の情報が分からない限り、「何時間で解読」とは言えません。

出典：NIST SP 800-63B-4（パスワード、保存方法、変更条件）、CISA（長く、ランダムで固有のパスワード）、NCSC（メールとパスワード管理）

パスキー：偽サイトに強いログイン

パスキーは、端末にある鍵を使ってログインする仕組みです。顔認証・指紋認証・PINなどは、その鍵を使うための端末側の確認です。生体認証という表示だけで、偽サイトに強い方式とは判断できません。

金融庁は、証券口座での不正アクセスに加え、口座内の株式を勝手に売買される不正取引に注意を呼びかけています。ログイン・取引・出金などで、対応するパスキーなど偽サイトに強い認証と通知を利用してください。

始め方

1. 使っているサービスの設定画面で「セキュリティ」や「ログイン方法」を開く
2. 「パスキーを作成」を選び、画面の案内に従って端末の画面ロックで登録する
3. まずは、メール、Apple ID・Googleアカウント、携帯会社、銀行・証券、通販のうち、対応しているものから

パスキーには、対応する管理機能を通じて別の端末へ同期できるものと、作った端末やセキュリティキーだけで使うものがあります。機種変更時に必ず引き継げるとは限りません。登録先を確かめ、端末を失った場合の復旧方法や予備の認証手段を用意してください。

切り替えるときは、新しい方法でログインできることと復旧手段を確認してから、不要になった古い方法を外します。パスキーを追加しただけでは、残るパスワードや再設定先まで安全にはなりません。

パスキーは認証を強める方式で、偽フォームへの氏名・カード情報の入力や、相手の指示による送金・アプリ連携の許可まで防ぐものではありません。届いた連絡から手続きせず、自分で開いた公式の入口から確かめてください。

出典：NIST（偽サイトに強い認証の条件）、FIDO Alliance（同期型と端末固定型）、Apple（iCloudキーチェーンのパスキー）、金融庁（証券口座の不正取引）

メールアドレスをサービスごとに分ける（エイリアス）

エイリアスは、届いたメールを自分の本当のアドレスに転送してくれる「別名のアドレス」です。サービスごとに別のエイリアスで登録すると、3つの効果があります。

• 不審な連絡に気づく手掛かりになる。A社用のアドレスに「B社です」というメールが来たら、宛先と名乗る会社が合っていないと分かります。ただし、A社を名乗る偽メールも届くため、宛先だけで真偽は判断できません。
• 流出経路を調べる手掛かりになる。迷惑メールが届いたアドレスから候補を絞れますが、転送や共有もあるため流出元の証明にはなりません。
• 不要な連絡を止められる。そのエイリアスを使うサービスの登録先と復旧先を変えてから停止します。元のアドレスが漏れない保証にはなりません。

作り方の例です。

• iCloud＋の「メールを非公開」：iPhoneの設定から作れます（iCloudの有料プランが必要）。
• Firefox Relay：無料でいくつか作れます。
• Gmailの「＋」：例えば name+shop@gmail.com のように書くと、name@gmail.com に届きます。手軽ですが「＋」以降を消せば元のアドレスが分かるため、流出経路を調べる手掛かりにとどまります。

出典：IPA「メールの見かけ上の送信元情報を安易に信じないで」

SNSの見つけやすさと公開範囲を見直す

メールアドレスや電話番号は、SNSのアカウントを見つける手掛かりとして使われる場合があります。照合やおすすめの設定を見直し、プロフィールや投稿に出している情報も、自分が望む範囲に絞ります。

• X：公式ヘルプにある「見つけやすさと連絡先」を確認し、メールアドレスや電話番号から他の利用者に見つけられる設定が不要ならオフにします。同じ番号を使う別アカウントも、それぞれ確認します。
• 連絡先の同期と、登録済みデータは別です。Xで同期をオフにしても、その端末からの今後の同期が止まるだけで、過去にアップロードした連絡先は残ります。不要な場合は、公式ヘルプの管理・削除方法を確認します。
• 他のSNS：公開範囲や、電話番号・メールアドレスに基づく見つけやすさを調整できるか、各サービスの公式ヘルプで確認します。設定名と機能はサービスや端末によって異なります。

設定を変えても、既に集められた情報や、公開情報・他者の投稿などからの照合まで止められるとは限りません。認証コードを伝えず、届いた連絡から手続きしない対策も続けてください。

出典：X（メール・電話番号での見つけやすさ）、X（連絡先の同期と管理）、NCSC（公開情報とSNSのプライバシー設定）

携帯電話：番号を奪われない

• 携帯会社のIDを乗っ取られないようにする。dアカウント、au ID、My SoftBank、楽天IDなどのパスワードを固有のものにし、2段階認証やパスキーをオンにします。盗まれたIDとパスワードで、店に行かずにeSIMを再発行され、番号を奪われた事例があります。ログイン通知や再発行の連絡が来るようにしておき、身に覚えのない連絡が届いたら、すぐ携帯会社に連絡します。
• 契約時の4桁の暗証番号を見直す。生年月日、電話番号の一部、「0000」「1234」なら変更します。
• 迷惑SMSのフィルタをオンにする。ドコモの「危険SMS拒否設定」、au・UQ mobile・povoの「迷惑SMSブロック」、ソフトバンク・ワイモバイル・LINEMOの「迷惑SMSフィルター」などがあり、多くは無料です。名称と内容は各社の公式サイトで確認してください。偽のSMSは、本物と同じ送信者名で、本物のSMSと同じスレッドに並ぶことがあります。届いた場所や送信者名では見分けず、リンクを押さずに公式アプリで確かめます。
• 大事なサービスの認証を、可能ならパスキーや認証アプリに移す。新しい方法でログインでき、予備の手段も使えると確かめてからSMSの設定を見直します。SMSしか選べないなら、認証をオフにはしません。
• 突然「圏外」「SIMなし」になったら、すぐ動く。電波の問題でなければ、SIMが乗っ取られた可能性があります。障害や端末故障の場合もあります。不審な変更通知や障害情報を確認し、説明できないときは別の電話から携帯会社に至急連絡し、必要な回線停止を相談します。

出典：ITmedia Mobile「携帯電話に届く迷惑SMS、未然に防ぐには？」、ソフトバンク（同じスレッドに表示される偽装SMS）、楽天モバイル「身に覚えのないeSIMの再発行にご注意ください」

銀行・証券・カード・決済

銀行

• 1日の振込限度額を、普段の振込に必要な範囲へ下げる。対象となる送金経路と、上限を引き上げる際の認証も確認する
• ログイン、振込、出金、登録情報の変更のお知らせをオンにする
• パスキーに対応していれば利用する。「生体認証」は方式を確認し、ほかの認証や復旧方法も点検する
• 使っていない口座とキャッシュカードは解約する
• 突然の電話で「資産を守るために別の口座へ移して」「手続きを代わりに進めます」と言われても応じない。一度切り、以前から使っている銀行の公式窓口へ自分から確認する

証券

• ログインと取引、出金に使う認証を確認する。パスキーに対応していれば利用する
• 売買・出金・出金先の変更の通知をオンにし、覚えのない取引があればすぐ証券会社に連絡する

クレジットカード

• 対応する利用通知をオンにする。通知されない取引や遅延もあるため、毎月の明細も確認する。不正利用はすぐカード会社へ連絡し、補償の期限・条件を確認する
• カード番号の一部や有効期限が漏れた場合は、カード会社にカード番号を変える再発行を相談する
• ネットで買い物をするときの本人認証（3Dセキュア）の画面にも偽物があります。偽サイトでカード番号を入力させた直後に、ワンタイムパスワードを入れる偽の画面を出し、その場で別の買い物に使う手口があります。自分で始めた買い物でないのに届いたワンタイムパスワードは、入力せず、カード裏面の番号に連絡します
• ネット通販用のカードを1枚に絞り、利用限度額を低めにする

スマホ決済（PayPayなど）

• パスワードを固有のものにし、アプリのロックに生体認証を使う
• 利用通知をオンにする
• 銀行口座からの自動チャージは、オフにするか金額を低くする
• 返金を受けるはずなのに、QRコードから金額入力や送金・支払いを求められたら、操作をやめる。通常の店頭決済では金額を入力する方式もあります。「代金は〇〇ペイで返金します」と操作を指示する相手には、その場で応じず、購入先の公式窓口で確認する
• お店のQRコードは、上からシールが貼られていないか、読み取る前に指で触って確かめる

出典：JCB「リアルタイム型フィッシング詐欺」、警視庁「QRコードを悪用した詐欺」、PayPay（返金を装った送金の指示）、PayPay（通常の支払いの金額入力）

スマホとパソコン

• OSとアプリを自動で更新する。公表済みの弱点を突く攻撃への基本対策です。今回の事案すべての侵入原因が判明しているわけではありません。
• アプリは公式ストアを使い、提供者も確かめる。サービスの公式案内からアプリと提供者名を確認します。SMSやメールからアプリを入れる操作はしません。「アクセシビリティ」「デバイスのフルコントロール」「VPN接続」の許可を求めるアプリは、本当に必要か確かめ、分からなければ入れません。
• 電話やチャットで言われたアプリは入れない。画面も共有しない。遠隔操作や画面共有を許すと、認証コードや暗証番号が相手に見えます。
• 自分で操作していないのに届いた認証コードや「承認しますか」は、断る。誰かがログインしようとしているおそれがあります。届いたときの手順
• 「ウイルスに感染しました」という画面の電話番号にかけない。
• 指示されてもコマンドを貼り付けない。本人確認や修復を理由に、内容の分からないコマンドを貼り付けて実行するよう求められたら従わないでください。

漏えいの確認サービス

• Have I Been Pwned：メールアドレスを入れると、HIBPに収録され、検索できる事案への掲載を確認できます。見つからなくても、漏えいしていない証明にはなりません。企業の公式通知と併せて確認してください。
• 信用情報の開示：あなたの名前でのカードやローンの申し込みを確認できます。免許証が漏れたらを参照。
• 「無料で漏えいを調べます」とうたう知らないサイトに、氏名、住所、電話番号、カード番号を入力しないでください。それ自体が情報集めのことがあります。

確認に使った追加資料：Appleのパスワード管理、iCloudのメールを非公開、Firefox Relay、Gmailのアドレスの使い分け、ドコモのSMS対策、auのSMS対策、povoのSMS対策、ソフトバンクのSMS対策、三井住友銀行のセキュリティ設定、JCBの利用通知、JCBの不正利用時の対応、PayPayの自動チャージ、IPAの偽警告対策