不正ログインを防ぐパスワードと多要素認証：総務省と IPA の案内で今日から見直す順番

SNS に覚えのない投稿がある、ネットの買い物に覚えのない注文がある、メールにログインできなくなった。どれも、他人があなたのアカウントにログインした「不正ログイン」で起きることがあります。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、個人の脅威の1つに「インターネット上のサービスへの不正ログイン」が挙がっています。

この記事では、総務省の「国民のためのサイバーセキュリティサイト」と IPA の案内をもとに、パスワードと多要素認証の見直しを、今日できる順に並べました。

最終確認：2026年10月29日（公的な資料と突き合わせた日）。設定の画面の場所は、サービスや機種によって違います。各サービスの公式のヘルプで確かめてください。

1. 不正ログインはどう起きるか

IPA の注意喚起（2025年8月28日）は、主な手口として次のものを挙げています。

同じ注意喚起では、2025年7月の不正ログインの相談が144件で、これまでで最も多かったとされています。相談の多くは、Instagram や Facebook などに他人がログインし、本人がログインできなくなったというものでした。

リスト型攻撃があるため、1つのサービスから漏れたパスワードを使い回していると、ほかのサービスにも入られるおそれがあります。

2. パスワードの作り方

総務省の「推測できる簡単なパスワードを利用しないようにしよう」と、IPA の「情報セキュリティ10大脅威 2026 個人編」のハンドブックが勧めていることを、1つの表にまとめました。

総務省のページは、パスワードを定期的に変える必要はないとしています。漏れた事実がない限り変える必要はなく、決まった時期に変えると、決まった型や使い回しにつながるおそれがある、という説明です。漏れたと分かったときや、偽のサイトに入力してしまったときは、すぐに変えます。

3. パスワードを覚えずに管理する

長くて使い回さないパスワードを、全部覚えるのはむずかしいものです。総務省のページは、覚えなくてよいパスワード管理のツールを勧めています。

• スマートフォンやブラウザに付いている保存の機能か、専用のアプリを使う
• そのツール自体は、覚えやすく安全な「マスターパスワード」や、端末のロック（指紋・顔などの生体認証）で守る
• 紙にメモするときは、画面の横など人の目にふれる所に貼らず、鍵のかかる机や金庫などにしまう

IPA のハンドブックも、パスワードマネージャー（パスワード管理のアプリ）の利用を考えるよう勧めています。

パスワード管理のサービスの料金や条件、使える端末、データの保管のしかたは、選ぶ前に各社の公式のページで確かめてください。

4. 多要素認証を設定する

総務省のページは、多要素認証を「通常のユーザ名とパスワードに加え、追加のセキュリティ要素を使用してアカウントへのアクセスを確認する方法」と説明しています。要素は次の3つで、2つ以上を組み合わせます。

IPA の不正ログイン対策の特集ページは、多要素認証を使っていれば、ID と1つ目のパスワードが他人に使われてもログインできないため、不正ログインを防ぐのに効果がある、としています。同じページには、主なサービスの設定の方法へのリンクがまとめてあります。

認証のコードはだれにも教えない

IPA のハンドブックは、偽のサイトに入力させたパスワードと認証のコードをその場で使う「リアルタイム型フィッシング」で、二要素認証が突破される手口が増えている、と注意しています。また、IPA の注意喚起には、知り合いになりすました相手に SMS の認証コードを教えてしまい、アカウントを乗っ取られた例が載っています。

• SMS やアプリに届いた認証のコードは、家族や知り合いを名乗る相手にも教えない
• よく使うサイトは、検索の結果やメールのリンクからではなく、ブックマークから開く（IPA のハンドブック）

パスキーが使えるなら使う

IPA は、パスキーを、パスワードの代わりになるログインの方法として勧めています。指紋・顔の認証や、端末に登録した PIN の番号でログインするしくみです。サービスの側が対応している必要があるので、使っているサービスの設定の画面やヘルプで、パスキーが選べるかを確かめてください。

5. 見直す順番（当サイトの整理）

どこから見直すかを自分で確かめたいときは、わが家のネットの守り 点検表で「はい・いいえ」を選ぶと、まだの所が一覧になります。パスワードそのものを入れる所はありません。

全部を一度に直そうとすると続きません。被害が大きくなりやすい順に、1日1つずつ見直すやり方を勧めます。

1つのアカウントでするのは、①パスワードを長く、ほかと違うものに変える ②多要素認証かパスキーを設定する ③登録してあるメールアドレスと電話番号が自分のものかを見る、の3つです。

6. 入られていないかを見る

IPA のハンドブックは、被害があるかどうかを早く知るために、次のことを勧めています。

• ログインしたときに届く通知（ログインアラート）や、使った状況の通知の機能を使う
• サービスのログインの履歴を見る
• クレジットカードやポイントの使った履歴を、ときどき見る

7. 乗っ取られたかもしれないとき

IPA の注意喚起（2025年8月28日）は、次のように案内しています。

同じパスワードをほかのサービスでも使っていたときは、そちらも変えてください（当サイトの整理）。技術的なことで迷ったら、IPA の「情報セキュリティ安心相談窓口」に相談できます。カードやネットバンキングで覚えのない支払いがあれば、カード会社・金融機関の公式の窓口に連絡します。

偽のメールや SMS への備えは、家族で決めるフィッシング対策のルールの記事にまとめています。公衆 Wi-Fi の記事の「URL と https を確かめる」や、偽の警告画面（サポート詐欺）の記事もあわせて読んでください。

出典（確かめた日：2026-10-29）

• 総務省「推測できる簡単なパスワードを利用しないようにしよう」（国民のためのサイバーセキュリティサイト）https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/security/end_user/general/01/
• IPA（情報処理推進機構）「不正ログイン対策特集ページ」（公開 2018年3月8日・最終更新 2023年9月29日）https://www.ipa.go.jp/security/anshin/measures/account_security.html
• IPA「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日）https://www.ipa.go.jp/security/anshin/attention/2025/mgdayori20250828.html
• IPA「情報セキュリティ10大脅威2026 個人編ハンドブック［一般利用者向け］」https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/setsumei_2026_kojin.pdf
• IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）https://www.ipa.go.jp/security/10threats/10threats2026.html
• IPA「情報セキュリティ安心相談窓口」https://www.ipa.go.jp/security/anshin/about.html