パスワードは安全？1Passwordの公式ガイドに学ぶ、小さな会社が狙われる10のセキュリティリスクと今日からできる3つの対策
毎回同じパスワードを使い回している、スマホで仕事のメールを見ている。そんな方は多いと思います。セキュリティは大企業の話と思われがちですが、今は中小企業や個人こそ狙われています。
本記事では、世界の16万5,000社以上が導入しているパスワード管理サービス「1Password」が出している公式ガイドをもとに、働く人全員が知っておきたい10のセキュリティリスクと、今日から一人でもできる3つの対策をお話しします。
※この記事は2026年4月に公開した動画をもとにしています。事件の数字は報道と金融庁の公表資料で確認しています。
1. 「うちは狙われない」が一番危ない
まず、なぜ今セキュリティが大事なのか。実際に起きた事件から見ていきます。
1-1. 電話1本で約1億円が消えた
2025年3月、山形県の第三セクターの鉄道会社「山形鉄道」に、地元の山形銀行を名乗る自動音声の電話がかかってきました。内容はネットバンキングの情報更新を求めるものです。なじみのある銀行だったので、経理担当者は信じてしまいました。
指示に従ううちに偽サイトへ誘導され、ネットバンキングのパスワードなどを入力してしまいます。その後、会社の口座から不正に送金され、被害額は約1億円にのぼったと報じられています。
1-2. サポート詐欺と証券口座の乗っ取り
ほかにも「サポート詐欺」という手口があります。パソコンに偽のウイルス感染の警告画面が出て、警告音が鳴り、不安をあおられます。表示された番号に電話をかけると、遠隔操作ソフトを入れるよう指示され、サポート料の名目で電子マネーや振り込みでお金をだまし取られます。2025年には、このサポート詐欺で約2億5,000万円が不正送金された企業の事例もありました。
2025年には、日本全国で証券口座が大規模に乗っ取られる事件も起きました。金融庁のまとめでは、2025年の1年間で不正アクセスは1万7,559件、不正に取引された金額は約7,393億円です。
1-3. 小さな会社や個人ほど狙われやすい
山形鉄道の事例で、攻撃者は特別なハッキング技術を使っていません。なじみのある銀行のふりをして、偽サイトへ誘導しただけです。会社の規模は関係なく、どんな会社にも個人にも起き得る話です。
1Passwordのガイドにも、中小企業は大企業と同じセキュリティを求められながら、少人数のIT体制と限られた予算で対応しなければならない、という趣旨のことが書かれています。攻撃者は守りの薄いところを狙います。
ただ、完璧を目指さなくても、よくある穴を塞ぐだけで防御力はかなり上がります。ここからは、ガイドが指摘する10のリスクを「認証情報」「デバイス」「アプリ・AI」の3つの扉に分けて、順番に見ていきます。
2. 扉1：認証情報のリスク（パスワード）
認証情報とは、簡単に言うとIDとパスワードのことです。この扉には4つのリスクがあります。
2-1. リスク1：パスワードの使い回し
パスワードは、自分が気づかないうちに流出していることがあります。たとえば、もう使っていないサービスと同じパスワードを、今も別のサービスで使い回している。そのサービスから情報が漏れると、攻撃者は流出したパスワードの一覧を使って、いろいろなサービスへのログインを試みます。これを「パスワードリスト攻撃」と呼びます。
パスワードを使い回している人は、1つが漏れた瞬間に、すべてのサービスへの入り口を渡してしまうことになります。パスワードの使い回しは、とにかくやめましょう。
2-2. リスク2：AIに破られる推測しやすいパスワード
「password123」「会社名＋生年月日」「名前＋生年月日」のような単純なパスワードを使っていませんか。昔はこれでも何とかなる感覚がありましたが、AIの登場でその常識は変わりました。
AIを使ったパスワード解析ツールは、よくある単語や数字の組み合わせを短時間で片っ端から試せます。AIは良い方向にも使われますが、悪事にも使われてしまいます。名前や誕生日、好きな言葉を組み合わせたパスワードは、AIにとってむしろ解読しやすいパターンです。
2-3. リスク3：MFA（多要素認証）が設定されていない
MFAは「Multi-Factor Authentication」の略で、日本語では多要素認証といいます。パスワードを入れたあとに、もう一段階、本人確認をする仕組みのことです。
実はMFAは、皆さんが日常的に使っているものです。
- 認証アプリ（Google AuthenticatorやMicrosoft Authenticator）：QRコードを読み取って、6桁のコードを入力するもの
- SMS認証：携帯電話にワンタイムパスワードが届くもの（メールに届くパターンもあります）
- 生体認証：スマホの指紋認証や顔認証
MFAがあれば、もしパスワードが盗まれても、もう一段階の壁があります。逆にMFAを設定していない状態は、パスワードさえ分かれば誰でも入れる、鍵が1つしかかかっていないドアです。2025年の証券口座の乗っ取りも、MFAが設定されていれば防げたケースが多かったと言われています。
僕のおすすめは、GoogleかMicrosoftの認証アプリです。各サービスの2段階認証の設定でQRコードを読み込ませれば、次からはアプリに表示されるワンタイムパスワード（一時的にだけ使えるパスワード）でログインします。これだけで、セキュリティはかなり強くなります。
2-4. リスク4：パスワードの共有と保管の仕方
チームで使うサービスのパスワードを、SlackやLINEでやり取りしたり、ExcelやGoogleスプレッドシートに一覧でまとめたりしていませんか。これは実はとても危険な状態です。
LINEのアカウントが乗っ取られれば、その瞬間にトーク履歴からパスワードが漏れます。クラウドに保存したExcelも同じです。退職したスタッフが過去のメッセージを見られる状態なら、そこに書かれたパスワードは見え続けます。気づかないうちに漏れていくわけです。
2-5. 認証情報の対策
認証情報の対策は、次の4つです。
- パスワードは必ずサービスごとに別のものを使う
- パスワードを自分で作らない。パスワードマネージャーに自動で作らせる
- MFAをすべてのサービスに設定する
- パスワードの共有はSlackやメールではなく、パスワードマネージャーをチームで使う
ここまでやるだけでも、詐欺の被害に遭う可能性はかなり下げられると思います。
3. 扉2：デバイスのリスク
デバイスとは、スマホ、パソコン、タブレットなど、仕事で使う端末のことです。この扉には3つのリスクがあります。
3-1. リスク5：私用と仕事用の端末が分かれていない
私物のスマホなどで仕事をすることを「BYOD（Bring Your Own Device）」といいます。フリーランスの方や中小企業で働く方には、なじみのある働き方だと思います。それ自体が悪いわけではありません。
問題は、会社が管理できない端末で、機密性の高い業務データを扱うことです。私用のスマホに仕事のメールが届くとき、そのスマホのOSは最新か、危ないアプリが入っていないか。会社支給の端末なら会社がチェックできますが、私用の端末はプライベートな情報が詰まっているので、そうはいきません。管理されていない端末が、会社の機密情報への入り口になってしまうわけです。
すべて是正するには費用もかかり、中小企業には少しハードルが高いのが正直なところですが、できるならやっておいた方がいいです。
3-2. リスク6：エンドポイントの保護が足りない
エンドポイントは、直訳すると「末端」という意味です。会社のサーバーやシステムに最終的に接続する端末のことを指します。たとえば、パソコンにはウイルス対策ソフトが入っているのに、同じ情報にアクセスするスマホには入っていない。これがエンドポイント保護が足りない典型例です。
狙われると、たとえば「ランサムウェア」の被害につながります。パソコンのデータを暗号化して読めなくし、元に戻してほしければお金を払え、と脅してくる攻撃です。国内でも被害が多く、ウイルス対策ソフトだけでは防ぎ切れないケースも増えています。パソコンだけでなく、スマホやタブレットにもウイルス対策ソフトを入れておきましょう。
3-3. リスク7：アップデートを後回しにした端末
ウイルス対策ソフトの更新が止まっている、OSのアップデート通知を後回しにしている、アプリを古いまま放置している。どれもよくありますよね。
アップデートには「パッチ」と呼ばれるセキュリティの修正が含まれています。アップデートしていない端末は、「この穴から入れます」という弱点（脆弱性）が公開されているのに、放置している状態です。攻撃する側は、最新の高度な技術でなくても、こうした穴を狙って入ってきます。
3-4. デバイスの対策
デバイスの対策は、意外と単純です。
- OSとアプリは必ず最新にアップデートする
- 業務データを私用の端末に保存しない、というルールを会社で決める
- 業務連絡は、SlackやLINE WORKSなど会社が承認したツールに統一する
4. 扉3：アプリ・AIのリスク
最後の扉はアプリとAIです。今、一番急速に広がっているリスクかもしれません。
4-1. リスク8：シャドーIT・シャドーAI
シャドーITとは、会社が承認していないアプリやツールを、スタッフが勝手に使ってしまうことです。たとえば、個人のGoogleドライブに仕事のファイルを保存する、個人のGmailで仕事のやり取りをする、といったケースです。
シャドーAIはそのAI版で、会社が承認していないのに、スタッフがChatGPTに顧客情報を入れてしまうようなケースです。どちらも、会社が管理していないところに会社の情報が流れていくという点でリスクは同じです。便利だからこそ使いがちなので、特に顧客情報には注意が必要です。
4-2. リスク9：誰がどのツールにアクセスできるか見えていない
皆さんの会社で使っているツールを、全部言えますか。Slack、Google Workspace、Trello、Dropbox、Zoom。気づいたら10個、20個と使っていることは珍しくありません。では、誰がどのツールに登録していて、どんな権限を持っているのか、一覧で出せるでしょうか。これは実はかなり難しいです。
GoogleアカウントやMicrosoftアカウントでいろいろなサービスにログインできる「シングルサインオン（SSO）」は便利ですが、管理する側から見ると、誰がどこにアクセスできるのかが分かりにくくなる面もあります。
4-3. リスク10：退職者のアカウントが残り続ける
リスク9が引き起こす、最も身近な例が退職者のアカウントです。
たとえば、営業担当のAさんが退職し、会社はAさんのGoogleアカウントを削除しました。ところがAさんは、会社が把握していないDropboxやSalesforceのアカウントも個人で登録していて、それは削除されないまま残ってしまった。するとAさんは退職後も、顧客リストや提案書にアクセスしようと思えばできてしまいます。悪意があるかどうかは別として、この状態があること自体がリスクです。
サービスが多いほど、退職時にすべてのアカウントを消すのは大変です。だからこそ、退職の前に仕組みを作っておく必要があります。
4-4. アプリ・AIの対策
アプリ・AIの対策は、地味な作業が中心です。
- 会社で使うAIツール（ChatGPT、Claude、Geminiなど）やサービスは、承認制にして勝手に使わないルールを作る
- 会社で使っているサービスの一覧と、誰がどのアカウントを使っているかの表を作り、1年に1回でもいいので棚卸しする
- 退職するときは、その表をもとにチェックリストでアカウントを削除する
5. 自分の会社はどのレベル？セキュリティ成熟度の5段階
「怖い」と感じた方もいると思いますが、大丈夫です。まずは、自分が今どのレベルにいるのかを把握しましょう。
5-1. 1Passwordの成熟度モデル
1Passwordは、16万5,000社以上を支援してきた経験をもとに、セキュリティの成熟度を5段階に分けています。
- レベル1（基礎）：パスワードをExcelで管理し、ウイルス対策ソフトは一応入れている
- レベル2（最低限の仕組み）：一部のサービスにSSOやMFAを入れている
- レベル3（穴を自分から探して塞ぐ）：すべてのサービスにMFAを入れ、退職者のアカウントをすぐに削除できる仕組みがある
- レベル4（自動化）：人が動かなくても管理され、異常を自動で検知できる
- レベル5（AIが状況を判断して動く）：かなりセキュリティレベルが高い状態
5-2. 中小企業や個人の目標はレベル3
ほとんどの方は、レベル1かレベル2だと思います。それで全然大丈夫です。中小企業や個人にとって現実的な目標は、レベル3です。
レベル3になると、何か起きてから対応するのではなく、穴を事前に塞ぐ状態に変わります。すべてのサービスにMFAが入っている。退職者のアカウントをすぐ削除できる。誰がどのツールを使っているか把握できている。これができれば、冒頭で紹介したような被害に遭う可能性はかなり下げられます。
レベル4・5は、専任のIT担当者がいる中堅以上の会社でないと難しいです。まずはレベル3まで順番に上げていきましょう。
6. レベル3に近づくために、今日からできる3つの対策
ここからは、経営者やIT担当者でなくても、一個人として今日からできることを3つに絞ってお伝えします。
6-1. パスワードマネージャーを入れる
パスワードを使い回すのは、ほとんどの場合、覚えられないからです。パスワードマネージャーは、サービスごとに覚えられないほど複雑なパスワードを自動で作り、サイトを開けば自動で入力してくれます。そもそも覚える必要がなくなるわけです。
個人的なおすすめは、今回何度も紹介している1Passwordです。以前、1Passwordを紹介する動画も作っているので、よかったら見てみてください。
6-2. すべてのサービスにMFAを設定する
MFAがあれば、万が一パスワードが盗まれても入られません。Google、Slack、Instagram、ネットバンキングなど、使っているサービスすべてに設定してみてください。この記事を読み終えたら、すぐに認証アプリをダウンロードして設定してみてください。
6-3. 使っていないアカウントを棚卸しする
昔登録したけれど今は使っていないサービス、たくさんありませんか。僕もたくさんありました。こうしたアカウントは、攻撃者にとっては入り口になります。不要なアカウントはすぐに削除しましょう。
僕もやってみましたが、意外と数時間かかりました。休みの日に一気にやるのがおすすめです。
7. まとめ
最後に、ポイントをまとめます。
- 中小企業や個人こそ狙われている。電話1本で約1億円の被害が出た事例もある
- 10のリスクは「認証情報」「デバイス」「アプリ・AI」の3つの扉に分けて考える
- 目標はセキュリティ成熟度のレベル3。穴を事前に塞ぐ状態を目指す
- 今日からできるのは、パスワードマネージャー、MFAの設定、使っていないアカウントの棚卸しの3つ
完璧なセキュリティを目指す必要はありません。大事なのは、1つずつやってみることです。パスワードマネージャーを入れる、MFAを1つ設定してみる。これだけでもセキュリティのレベルは上がり、詐欺に遭う可能性もぐっと下がります。
今回もとにした1Passwordの公式ガイド「10 Access Management Risks and How to Overcome Them」は英語ですが、気になる方はぜひ原文も見てみてください。
