不正アクセスやってはいけないこと10か条やっておくと良いこと10か条

松島修

エフピーネット代表取締役

#リテラシー

不正アクセス被害に遭わないための「やってはいけないこと10個」と「やっておくと良いこと10個」をまとめました。今も続いている古い常識が一番危険かもしれません。

不正アクセスやってはいけないこと10か条やっておくと良いこと10か条のアイキャッチ画像

常識を疑う

昨今の不正アクセス急増に対抗するためには、一つひとつの対策の積み上げが必要です。
これらは今も続いている古い常識ですが、これらが一番危険かもしれません。

×パスワードをこまめに変える

×暗号化ファイルとパスワードを別メールで同時に送る

攻撃はどんどん変化しますので、現時点の注意点をまとめました。

やってはいけないこと10か条

1．簡単なパスワードにする
誕生日、名前、電話番号、辞書に載っている単語、「123456」などは、総当たりや辞書攻撃で短時間に破られます。
IDと同じ文字列も論外です。

2．同じパスワードを使い回す
どこか1か所から漏れると、そのIDとパスワードの組み合わせで他のサービスにも次々にログインを試みられます（パスワードリスト攻撃）。
とくに金融機関とネット通販、SNSで同じパスワードを使うのは避けてください。

3．パスワードをこまめに変える（古い常識）
総務省は「国民のためのサイバーセキュリティサイト」で、定期的な変更は不要と明記しています。
米国立標準技術研究所（NIST）も同様です。
定期変更を強いると「Pass01→Pass02」のような規則的な変更になり、かえって推測されやすくなるためです。
ただし、漏えいの疑いがあるときは直ちに変更します。
「変えなくてよい」のではなく「意味なく変えなくてよい」という意味です。

4．暗号化ファイルとパスワードを別メールで同時に送る（古い常識）
ビジネスのメール送信において「パスワード付きZIPファイル」を送り、その直後に「解読パスワードを記した別メール」を送る手法のことをPPAPといいます。
同じメール経路で送る以上、通信を盗み見られれば両方とも盗まれるため、防御になっていません。
さらに暗号化ZIPは受信側のウイルスチェックをすり抜けるため、マルウェア「Emotet」の感染手段にも悪用されました。
2020年11月には、平井卓也デジタル改革担当大臣（当時）が、内閣府・内閣官房でPPAPを廃止すると発表しました。
代わりに、アクセス権を設定できるクラウドの共有リンクを使うか、パスワードを電話など別の経路で伝えてください。

5．メールやSMSのリンクからログインする
送信元が本物の会社のアドレスに見えても安心できません。
リンク先の偽サイトは本物と見分けがつかない水準に達しています。
金融庁も、見覚えのある送信者からのメッセージであってもリンクを開かないよう呼びかけています。

6．「記号を混ぜたから安心」と短いパスワードで済ませる
強度を決める最大の要素は長さです。
8文字に記号を混ぜるより、無関係な単語を並べた長い文字列のほうが破られにくくなります。

7．認証コードを人に教える
SMSで届いた確認コードや認証アプリの数字を、電話やメールで聞き出す手口があります。
正規の金融機関や警察が認証コードを尋ねることはありません。

8．身に覚えのない承認通知を「承認」する
スマートフォンに「ログインしようとしています。承認しますか」という通知を何度も送りつけ、根負けして承認させる手口があります。
自分が操作していないときの通知は、すべて拒否してください。
それはパスワードが盗まれているサインでもあります。

9．SMSやメールの認証コードだけで万全だと思う
「二段階認証を設定したから、もう安心」。
多くの方がそう考えていますが、ここが今回いちばんの見落としです。
SMSやメールで届く認証コードは、パスワードだけの状態より格段に安全です。
しかし、偽サイトを使った「リアルタイム型フィッシング」には耐えられません。

詳しくは「最新のリアルタイム型フィッシング対策」で解説します。

10．「秘密の質問」に本当の答えを登録する
母親の旧姓や出身小学校、ペットの名前は、SNSや知人から調べられることがあります。
答えも一種のパスワードとして、推測できない文字列にしておくほうが安全です。

やっておくと良いこと10か条

1．パスワードは紙に書く（ただし置き場所に注意）
紙に書いたパスワードは、ネット経由では盗めません。
使い回しをやめて長いパスワードにすると覚えきれないため、紙に書くのは合理的な方法です。
ただし、モニターに貼る、財布に入れて持ち歩くといった使い方は避け、自宅の決まった場所に保管してください。
情報処理推進機構（IPA）は、共通の「コア」部分だけを暗記し、紙にはサービスごとの付け足し部分だけを書く方法を勧めています。
紙をなくしても、それだけでは使えないからです。
ただし、付け足し部分をサービス名そのもの（「amazon」など）にすると、1か所から漏れたときに規則を見抜かれます。
推測しにくい付け足しにしてください。

なお、総務省は紙のメモとは別の選択肢として、パスワード管理ツールの利用も勧めています。
管理ツールには、登録した正規サイトでしかパスワードを自動入力しないため、偽サイトに気づくきっかけになるという利点もあります。
いつもは自動入力されるのに入力されないときは、偽サイトを疑ってください。
紙の一覧は、万一のときに家族が口座の存在に気づく手がかりにもなります（デジタル資産の相続対策）。

2．長いパスフレーズにする
NISTの最新指針（SP 800-63B-4、2025年確定）は、パスワードだけで守る場合に15文字以上を求めています。
IPAも15桁程度を安全の目安としています。
短い複雑なパスワードより、長い推測ができないパスワードの方が良いです。
無関係な単語を3〜4個つなげると、長くても覚えやすくなります。

3．パスキーに切り替える
パスキーは、指紋・顔認証や端末のPINでログインする仕組みで、登録した正規のサイトでしか作動しません。
偽サイトに誘導されても認証そのものが成立しないため、フィッシングに強いのが最大の特長です。
日本証券業協会は2025年10月にガイドラインを改正し、ログイン、出金、出金先口座の変更の際に、パスキーなどフィッシング耐性のある多要素認証を必須としました。
お使いの証券会社や銀行が対応していれば、早めに登録してください。

4．多要素認証は、より強い方式を選ぶ
強さの目安は、SMS・メール＜認証アプリ＜パスキーの順です。
SMSは、電話番号を乗っ取るSIMスワップにも弱いとされます。
偽サイトを中継するリアルタイム型フィッシングを防げるのは、パスキーなど「フィッシング耐性のある認証」だけです。
認証アプリも、このタイプの攻撃には突破されます。
選べるならパスキー、次善として認証アプリを選んでください。

5．ログインする端末と、認証する端末を分ける
パソコンでログインし、認証は認証専用のスマートフォンで行う、というように端末を分けておくと、片方の端末がウイルスに感染しても、もう片方の認証まで同時に奪われにくくなります。
ただし、偽サイトに自分で認証コードを入力してしまうリアルタイム型フィッシングには、端末を分けても効果がありません。パスキーとの併用が前提です。

6．金融機関のサイトは、ブックマークか公式アプリから開く
正しいURLを一度ブックマークに登録し、以後はそこからアクセスします。
検索結果の広告枠に偽サイトが紛れ込むこともあるため、検索からのアクセスも避けたほうが安全です。

7．ログイン通知・取引通知・出金通知をオンにする
不正アクセスを完全に防ぐことはできなくても、早く気づけば被害を小さくできます。
あわせて、口座の残高や取引履歴をこまめに確認してください。

8．金融用のメールアドレスを分ける
ネット通販やメールマガジンに使うアドレスとは別に、金融機関専用のアドレスを用意すると、そのアドレスに金融機関以外からメールが届いた時点で、アドレスが漏れたか、なりすましだと判断できます。
漏えいの影響範囲も狭くできます。

9．OS・ブラウザ・アプリを最新に保つ
総務省が掲げる「サイバーセキュリティ初心者のための三原則」の筆頭です。
古いソフトの弱点を突かれると、パスワードをいくら強くしても意味がありません。

10．被害時の連絡先を、紙に控えておく
証券会社、銀行、カード会社の不正利用窓口の電話番号を紙に書いておきます。
スマートフォンやパソコンが乗っ取られた状態でも連絡できるようにするためです。