IDとパスワード管理を安全にする方法｜使い回しをやめる具体手順

2026年7月11日

前田壮一

この記事のポイント

✓IDとパスワード管理を安全にする具体的な方法を解説します
✓紙やExcelでの管理の是非
✓2要素認証との組み合わせ

まず、安心してください。IDとパスワードの管理は、全部を覚え直す必要はありません。結論から言えば、皆さんがやるべきことは3つです。使い回しをやめること、覚えるパスワードを数個に絞ること、そして金銭が動くサービスだけは2要素認証を必ず付けること。この3つが揃えば、個人の防御としては十分に強くなります。

私は43歳でメーカーを辞めてフリーランスになりましたが、退職前の副業を始めた頃、使っていたパスワードは3種類を回しているだけでした。仕事の相手が増え、登録するサービスが増えて、さすがに無理があると気付きました。この記事では、そのときに調べて実際に切り替えた手順を、失敗した点も含めて順番に書いていきます。難しい知識は要りません。皆さんが今日から動ける形に落とします。

パスワードが破られる原因は複雑さではなく使い回しです

最初に、思い込みを1つ外しておきましょう。「パスワードを複雑にすれば安全」という話は、半分しか合っていません。

不正ログインの現場で実際に起きていることの中心は、パスワードを総当たりで解読する攻撃ではありません。どこかのサービスから流出したIDとパスワードの組み合わせの一覧を買い、それを他のサービスで順番に試す攻撃です。試して通ったところに入る。この形なので、パスワードがどれだけ複雑でも、使い回していれば意味を持ちません。「Kx9#mQ2vZp」のような強い文字列でも、5つのサービスで同じものを使っていれば、そのうち1つが漏れた時点で5つ全部が開きます。

逆に言うと、サービスごとに違う文字列を使っていれば、1か所が漏れても被害はそこで止まります。管理の目的は、パスワードを強くすることよりも、被害を1か所に閉じ込めることだと理解してください。ここが出発点です。

では、なぜ皆さんは使い回してしまうのか。覚えられないからです。人が登録しているサービスの数は、通販、金融、SNS、動画、行政、仕事のツールと数えていくと、50件を超えることが珍しくありません。これを全部別の文字列で覚えるのは不可能です。つまり、使い回しは意志の弱さの問題ではなく、記憶に頼る設計そのものの限界なのです。

だから解決策は「頑張って覚える」ではありません。記憶に頼らない仕組みを1つ入れて、覚える対象を数個に減らす。これが唯一現実的な方法です。市場でもその流れが定着していて、管理ツールの紹介記事は次のように整理しています。

そこで今回は、パスワード管理アプリのおすすめ人気ランキングと、その選び方をご紹介します。iPhone・Androidで使えるものはもちろん、無料や買い切りのもの・安全性に配慮したアプリもピックアップ。パスワードを忘れて困ったことがある人は必見ですよ！出典: my-best.com

無料のもの、買い切りのもの、スマートフォンで使えるもの、と選択肢が分かれている点が大切です。皆さんの使い方によって正解が変わります。次の章から順に見ていきましょう。

覚えるパスワードは3つに絞ります

具体的な設計の話に入ります。私が使っていて、周りにも勧めている形はこうです。

覚えるのは3つだけにします。1つ目は、パスワード管理ツールのマスターパスワード。2つ目は、メールアカウントのパスワード。3つ目は、端末のログインパスワードです。この3つ以外は、全部ツールに生成させて保存し、自分では覚えません。

なぜこの3つなのか。理由があります。管理ツールのマスターパスワードは、他の全てを守る鍵なので当然です。メールアカウントは、他のサービスのパスワード再設定の窓口になるため、ここが破られると全部が破られます。端末のログインは、物理的に手元を守る最後の壁です。この3か所だけは、ツールに頼れません。だから覚えます。

覚え方も決めておきましょう。ランダムな記号の羅列は覚えられないので、単語を4つ並べる方式が実用的です。「秋刀魚と自転車と灯台と乾電池」のように、関連のない具体的な名詞をつなげて、それをローマ字と数字と記号で書く。文字数が長くなるので、解読に対して十分な強度が出ます。ここで注意したいのは、名前、誕生日、住所、ペットの名前、好きなチームの名前を使わないことです。これらはSNSから推測される情報です。

反対に、やってはいけない設計を挙げます。1つは、サービス名を混ぜる方式です。「Amazon2024kx」「Rakuten2024kx」のように、共通部分にサービス名を足す形です。1つ漏れると規則が読めてしまうので、全部漏れたのと同じことになります。2つ目は、パスワードの末尾の数字だけを定期的に変える方式です。流出した一覧から数字を1つずつ動かして試すのは、攻撃側にとって何の負担にもなりません。

そして、優先順位を付けてください。50件を一度に変えるのは無理です。順番は、ネット銀行と証券、クレジットカードの会員サイト、メール、通販、クラウドストレージ、SNS、その他という並びが妥当です。金銭が動くものと、他のサービスへの入口になるものが先。私は最初にこの順番を決めずに手を付けて、SNSから始めてしまい、途中で力尽きて金融系が最後まで古いままでした。順番を決めるのは、作業を始める前です。

パスワード管理ツールの選び方

管理ツールは、大きく3種類に分かれます。皆さんの使い方に合うものを選んでください。

1つ目は、ブラウザに内蔵されている保存機能です。主要なブラウザには、パスワードを保存し、強い文字列を生成し、流出が確認された組み合わせを警告する機能が標準で入っています。費用はかかりません。これで足りる人は、これで十分です。おすすめできる条件は、使う端末が全部同じブラウザで統一されていて、アプリ側のログインで困らない場合です。逆に、ブラウザを複数使い分けている人、スマートフォンのアプリでもパスワードを呼び出したい人には窮屈になります。

2つ目は、専用の管理ツールです。無料の範囲で使えるもの、月額や年額で払うもの、買い切りのものがあります。選ぶ基準は4つです。使っている端末の種類に全部対応しているか、他の端末との同期方法が自分の考えに合うか、マスターパスワードを忘れたときの救済手段があるか、そして事業者側が保存内容を読めない設計になっているか。4つ目は少し専門的ですが、説明ページに「事業者は保存されたデータを復号できない」という趣旨の記載があるかどうかで確認できます。

同期については好みが分かれます。クラウドで同期する方式は便利ですが、事業者が攻撃を受ける可能性を受け入れることになります。手元の端末だけに保存する方式は、事業者側の事故に巻き込まれませんが、端末が壊れたときに全部消えます。私はクラウド同期を使っていますが、月に1回、暗号化された書き出しファイルを外付けの記録媒体に保存する運用を足しています。どちらの方式でも、書き出しての保管は必要です。

3つ目は、OSに組み込まれた仕組みを使う方法です。スマートフォンとパソコンのメーカーが同じであれば、標準の保存機能で自動的に同期され、指紋や顔の認証で呼び出せます。手間が最も少ないのはこの方式です。制約は、別のメーカーの端末を混ぜたときに使いにくくなることです。

無料と有料の差はどこに出るかというと、保存件数の上限、同期できる端末の数、家族との共有機能、緊急時のアクセス委任、そして流出監視の範囲です。個人で使う範囲なら無料のもので足ります。家族と共有したい、仕事で使う、という段階になると有料の機能が必要になってきます。年額で3,000円から6,000円前後が相場です。

紙のメモとExcelでの管理は本当にだめなのか

ここは正直に書きます。紙のメモは、条件付きで有効です。

紙の強みは、ネットワーク越しに盗まれないことです。攻撃者は皆さんの家に入ってこられません。ですから、自宅の鍵のかかる場所に置いた紙のメモは、実際のところ、使い回しよりはるかに安全です。「パスワードを紙に書くな」という助言は、職場で机に貼る場合や、持ち歩く手帳に書く場合を想定したものです。自宅で保管するなら、頭から否定する必要はありません。

ただし弱点も明確です。1つは、紛失と災害で全部失うこと。2つ目は、家族以外の来訪者に見られる可能性。3つ目は、文字列が長く複雑になると書き写しの間違いが起きること。4つ目は、更新の手間で結局古い情報が残ることです。私の父は通帳と一緒にパスワードの一覧を保管していましたが、更新を続けられず、半分が古い情報になっていました。紙は書くのは簡単ですが、直すのが面倒です。

Excelやスプレッドシートでの管理は、紙より慎重に考えてください。パスワードを付けずに保存したファイルは、端末に侵入された時点で一括で持っていかれます。クラウドに置いている場合は、そのクラウドのアカウントが破られると同じことになります。どうしても表で管理したいなら、ファイル自体に強いパスワードを付け、そのファイルはクラウドに置かず、手元の端末と外付けの記録媒体だけに保存してください。この条件を守れないなら、専用のツールに移したほうが安全です。

現実的なおすすめは、組み合わせです。日常のログインは管理ツールに任せる。そして、管理ツールのマスターパスワードと、緊急時に必要な数個の情報だけを紙に書いて、自宅の鍵のかかる場所に保管する。これで、ツールに入れなくなったときの詰みを防げます。皆さんが最も困るのは、パスワードが漏れることよりも、自分が入れなくなることです。この備えは忘れないでください。

2要素認証とパスキーをどう組み合わせるか

パスワードの管理を整えたら、次は2要素認証です。ここが効きます。パスワードが漏れても、もう1つの要素が必要なら不正ログインは成立しません。

2要素認証の方式は、強さの順に並べると、物理的なセキュリティキー、認証アプリが生成する6桁の数字、そしてSMSで届く数字です。SMSは、携帯電話番号を第三者に乗り換えさせる手口に弱いという弱点がありますが、それでも何もない状態より格段に安全です。「認証アプリは難しそう」と感じるなら、まずSMSで始めてください。付けないより、必ずよいです。

優先して付ける場所も決めましょう。ネット銀行と証券、クレジットカードの会員サイト、メール、クラウドストレージ、そして仕事で使うツールです。この5つに付いていれば、被害の大半は止まります。

設定するときに1つだけ、忘れないでほしいことがあります。バックアップコードの保管です。認証アプリを入れたスマートフォンを失くしたり壊したりすると、本人であるはずの皆さんがログインできなくなります。この状況を救うのがバックアップコードです。設定した直後に印刷するか紙に書き写して、自宅の保管場所に置いてください。私はこれを怠って、機種変更のときに1つのサービスに入れなくなり、本人確認の書類を送って回復するまで2週間かかりました。設定とコードの保管は、一続きの作業だと考えてください。

パスキーについても触れます。パスキーは、パスワードを使わずに、端末の指紋や顔の認証でログインする仕組みです。そもそもパスワードを送らないので、偽のログイン画面に入力して盗まれるという事故が起きません。対応しているサービスが増えてきているので、選べる場合は積極的に使ってよいと思います。注意点は、パスキーが端末に紐づくため、端末を失くしたときの回復手段を先に確認しておくことです。仕組みの違いを製品レベルで比べたい方は、MFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版が、認証方式ごとの長所と短所を整理しています。

家族や仕事で共有するIDの扱い方

共有が必要な場面は、思ったより多くあります。動画配信サービスを家族で使う、夫婦で家計の口座を見る、仕事で会社のアカウントを複数人が使う、といった状況です。

原則は1つです。パスワードそのものを人に渡す形をやめる。渡すのではなく、権限を与える形に変えます。

家族で使うサービスの多くには、家族向けのプランや、利用者を追加する機能があります。これを使えば、それぞれが自分のアカウントでログインでき、誰かが退出するときはその1人だけを外せます。パスワードを共有していると、1人が離れるたびに全員のパスワードを変えることになり、結局誰も変えません。

仕事で使うツールも同じです。管理者が利用者を招待する機能を使い、個人のログイン情報は渡しません。私はフリーランスになってから、取引先の管理画面を預かる場面が出てきました。そのときに必ずお願いしているのは、担当者用のアカウントを1つ作ってもらうことです。共有のログイン情報を受け取ってしまうと、契約が終わったあとも自分が入れる状態が残ります。これは受け取った側にとってもリスクです。誰かが不正をしたときに、疑いの範囲に入ってしまうからです。

どうしてもパスワードを渡さなければならない場合は、渡し方を整えます。メールやメッセージアプリの本文に書くのは避けてください。履歴が残り、後から誰でも読めます。管理ツールの共有機能を使う、あるいは電話で口頭で伝えて相手にすぐ変更してもらう、という形にします。渡したあとは、渡した記録をつけておき、担当が変わったときに必ず変更する。この記録がないと、いま誰が入れる状態なのか誰も分からなくなります。

組織として、こうした管理をどう仕組みに落とすかは規模によって変わります。従業員が数人の事業者でも、退職者のアカウントの残留は実際に事故につながっています。中小規模での進め方は、中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で、補助金を使った導入の順番として整理されています。実際にどこが弱いかを外部から試して確かめる方法については、【ペネトレーションテスト事例】模擬ハッキングで弱点を発見！実施の流れと必要性が、実施の流れを具体的に説明しています。

IDの側も管理する。メールアドレスの使い分けが効きます

ここまでパスワードの話が続きましたが、IDの管理も同じくらい効きます。多くのサービスでIDはメールアドレスなので、実質はメールアドレスの使い分けの話になります。

なぜ使い分けるのか。理由は3つあります。1つ目は、流出したときに影響の範囲を絞れること。金融用のアドレスと、通販や懸賞に使うアドレスを分けておけば、通販サイトから漏れたアドレスに金融を装った偽メールが届いても、「このアドレスに銀行から連絡が来るはずがない」と一目で判断できます。これはフィッシングに対して非常に強い防御です。2つ目は、迷惑メールの仕分けが楽になること。3つ目は、サービスを退会したあとに、どこから流出したのかを追跡できることです。

実際の分け方をお勧めしておきます。4つで足ります。1つ目は金融と行政の手続き用。ネット銀行、証券、保険、年金、税の申告に使い、それ以外には一切使いません。2つ目は仕事用。取引先とのやり取りと、業務で使うツールの登録に使います。3つ目は日常の買い物用。通販や配信サービスに使います。4つ目は捨ててよいもの用。1回だけの登録、資料請求、キャンペーンの応募に使います。

このうち最も厳重に守るのが1つ目です。ここに2要素認証を必ず付け、パスワードは他で使っていないものにし、転送設定とフィルタ設定を定期的に確認します。攻撃者がメールに侵入すると、パスワード再設定のメールを別のアドレスへ自動転送する設定を仕込むことがあります。この設定が残っていると、パスワードを何度変えても取り戻せません。皆さんが確認すべきは、受信箱の中身ではなく、設定画面の転送とフィルタです。

分け方を始めるときのコツも1つ。既に登録済みの50件を全部付け替える必要はありません。今後の新規登録だけをこの方式にして、既存のものは金融と仕事だけを移す。それで実害の大半は塞げます。全部を整えようとすると始められないので、前に進む形を選んでください。

主要なメールサービスには、アドレスの後ろに記号と文字を足して枝分かれさせる機能や、使い捨てのアドレスを発行する機能があります。アカウントを増やさずに分けられるので、まずこれを試すのが楽です。

漏れていないかを確かめ、漏れていたときに動く

管理を整えたら、状態を確かめる手段も持っておきましょう。自分のIDとパスワードが流出の一覧に載っているかどうかは、確認できます。

最も手軽なのは、ブラウザと管理ツールに入っている警告機能です。主要なブラウザには、保存しているパスワードが流出の一覧に含まれていないかを照合し、該当したものを教える機能が標準で入っています。設定画面のパスワードの項目を開くと、確認のボタンがあります。管理ツールにも同じ機能があり、こちらは件数と危険度を一覧で出してくれます。無料で使えるので、月に1回開くだけで状況が分かります。

該当が出たときは、順番どおりに動きます。まずそのサービスのパスワードを変更します。次に、同じパスワードを使っていた他のサービスを全部変更します。これが本命です。流出したサービス1つを直しても、使い回していた先が残っていれば意味がありません。3つ目に、そのサービスのログイン履歴を確認し、見覚えのないアクセスがないかを見ます。4つ目に、2要素認証が付いていなければ付けます。

金銭が動くサービスで該当が出た場合は、さらに2つ足します。1つは、直近数か月の明細の確認です。不正利用は、大きな金額の前に少額の試し打ちが入ることがあります。数百円の見覚えのない請求を見逃さないでください。もう1つは、登録されている連絡先と振込先の確認です。攻撃者は侵入後に連絡先を書き換えます。メールアドレスと電話番号が自分のものになっているかを見てください。

確認の頻度は、月に1回で足ります。予定に入れてしまうのが続けるコツです。私は毎月の帳簿を締める日に、あわせて警告機能を開く習慣にしました。単独の作業として設定すると忘れますが、既にやっている作業にくっつけると続きます。皆さんも、給与日や請求書を作る日など、必ずやることの隣に置いてください。

もう1つ、確認の結果に一喜一憂しないことも大切です。流出は皆さんの落ち度ではなく、登録先の事業者側で起きます。何件該当しても、やることは同じで、その先を切り離すだけです。淡々と処理してください。

端末の紛失と、その先の備え

ここは多くの記事が書かない部分ですが、皆さんの年代では現実的な論点です。

まず、端末を失くしたときの備えです。スマートフォンには、遠隔でロックをかけ、位置を確認し、データを消去する機能が標準で用意されています。これを使えるようにしておくには、事前に設定が必要です。失くしてから設定はできません。今日確認してください。あわせて、画面のロックを指紋や顔の認証にして、暗証番号は4桁ではなく6桁以上にします。ロックがかかっていれば、拾われても中身は守られます。

次に、自分が長期間動けなくなった場合、あるいは亡くなった場合の備えです。管理ツールに全部を入れて、マスターパスワードを誰にも伝えていない状態だと、家族は何も引き継げません。金融機関の口座、契約中のサブスクリプション、仕事の取引先の連絡先、それらの入口が全部閉じてしまいます。実際に、故人のサブスクリプションを解約できず、解約のために手続きを重ねることになった家庭の話を何度も聞きます。

対策は2つあります。1つは、管理ツールの緊急アクセス機能を使うことです。信頼できる人を指定しておき、一定期間の連絡が取れない場合にアクセス権が渡る仕組みです。有料のツールに搭載されていることが多い機能です。もう1つは、紙に書いた最小限の情報を、金融関係の書類と一緒に保管することです。全部を書く必要はありません。マスターパスワードと、管理ツールの名前、それだけで家族は先に進めます。

そして、定期的な棚卸しを組み込みましょう。年に1回、使っていないサービスを解約し、アカウントを削除します。使っていないアカウントは、パスワードが古く、通知先のメールも見ていないため、乗っ取りの入口として最もねらわれやすい場所です。減らすこと自体が防御になります。棚卸しの習慣は、脆弱性への対応を組織で回す考え方と同じで、対象を把握していないものは守れないという原則に従っています。企業側で何をどう洗い出すかは、脆弱性管理ツール徹底比較｜Tenable, Qualys, Rapid7の三強をプロが分析が製品ごとの得意分野として比較しています。

独自データから見える考察

在宅ワークと業務委託の市場を20年見てきた運営者の立場から、1つ観察を書きます。IDとパスワードの管理が仕事の質に直結する場面は、思っているより多いのです。

運営者として見てきた限りでは、長く仕事が続く人は、預かった情報の扱い方が丁寧です。取引先の管理画面のログイン情報を受け取ったとき、共有のアカウントではなく自分用のアカウントを作ってもらうよう頼める。作業が終わったら「このアカウントは削除してください」と自分から言える。これは技術力ではなく、段取りの話です。そして依頼する側は、この段取りができる相手を覚えます。次も頼みたくなるのは、成果物の出来だけでなく、情報の扱いで心配させない相手です。

もう1つ、市場の構造の話をします。取引の間に事業者が何層も入ると、誰がどの情報を持っているのかが見えにくくなります。手数料0%で直接やり取りをする形の価値は、受け取る金額だけではありません。同じ予算で依頼する側はより多く頼めて、受ける側の手取りは厚くなる。そのうえで、やり取りする相手が誰であるかがはっきりしているため、情報を渡す範囲を自分で決められます。渡す相手の顔が見えている状態は、それ自体がセキュリティです。長く見てきて、ここは実感として確かだと思っています。

セキュリティの知識そのものを仕事にする道もあります。どのような業務が発注されているのかは、AI・マーケティング・セキュリティのお仕事で、依頼の内容と求められる経験の水準を確認できます。技術側の相場感を掴みたい方は、ソフトウェア作成者の年収・単価相場で年収の分布と単価の目安を見ておくとよいでしょう。ネットワークと認証の仕組みを体系的に学ぶなら、CCNA（シスコ技術者認定）が学習範囲の目安になります。

最後に、今日できることを1つだけ挙げます。ブラウザに保存されているパスワードの一覧を開いて、使い回している件数を数えてください。それだけで構いません。数を知ると、どこから手を付けるかが自然に決まります。全部を今日変える必要はありません。金銭が動くサービスの5件だけを今週変える。それを続ければ、数か月で全部が入れ替わります。焦らず、順番に進めていきましょう。