パスワードの使い回しはなぜ危ないか、デジタル大臣・警察庁が10月に呼びかけた情報漏洩対策3つ

10月上旬に国の機関は何を呼びかけたか

不正アクセスによる情報漏えいが続いたことを受けて、2026年10月2日から9日にかけて、国の機関などが注意喚起や発言を出しました。原本を読むと、国民に直接呼びかけたものと、事業者に向けたものに分かれます。

国民に直接呼びかけたのは、デジタル大臣と警察庁

古川デジタル大臣は、10月6日の記者会見の冒頭で、企業や行政機関を狙った不正アクセスで個人情報の流出が相次いでいることに触れ、国民に3つの対策を求めました。「パスワードの使いまわしをやめる。」「多要素認証、これを利用していただきたいと思っております。」「不審なメールやSMSに注意をお願いいたします。」の3つです。メールやSMSについては「記載されたリンクを安易に開くことなく、必ず公式ウェブサイトや公式のアプリからアクセスをしていただきたい」と述べ、最後に「自分の情報は自分で守る」という意識を持つよう呼びかけています。

警察庁は10月8日、「サイバー警察局便り」の令和8年 Vol.19を新着情報に載せました。「個人の皆様へ」の項目で、「安全なパスワードを設定して使いまわさない！」「ワンタイムパスワードなどを用いた多要素認証も有効です」「メール内のリンクを安易にクリックしない！」と呼びかけています。あわせて、「情報流出元の企業をかたる偽メールの可能性があります」と注意し、詐欺電話の対策として「警察庁推奨アプリ」の導入も勧めています。

デジタル大臣は10月2日の会見でも漏えいの件数に触れています。個人情報取扱事業者等で、不正アクセスを含め不正の目的で行われたおそれのある漏えい等の件数は、令和6年度が7,604件（漏えい等件数の39.9%）、令和7年度が3,822件（同22.3%）でした。大臣はこれについて「必ずしも増加傾向にあるわけではない」としたうえで、件数が多く見られるため今後の動向に注意が必要だと述べています。10月2日の会見では、漏えいについて国民向けの具体的な呼びかけは見当たりませんでした。

ほかの機関は、事業者や金融機関に向けた注意喚起

同じ時期に出た9つの注意喚起・発言を並べると、国民に向けたものは2つで、ほかは読む相手が事業者や金融機関です。各機関の原本で、対象と一般の人への呼びかけの有無を確かめました。

出典：各機関の公表資料（2026年10月12日に当社確認）。警察庁の日付は新着情報への掲載日です。「なし」は、本文に一般の人に向けた呼びかけの文言が見当たらないという意味です。JPCERT/CC（一般社団法人）とIPA（独立行政法人）を含めて9機関としています。

JPCERT/CCは背景として「直近2026年9月前後で国内組織における不正アクセスによる個人情報等の漏えい被害が相次いでいます」と書いています。事業者向けの注意喚起にも、多要素認証の導入が繰り返し出てきます。利用者がサービスで多要素認証を設定しておくことは、事業者側の対策と同じ方向を向いています（当社の見方）。

金融庁が触れた、本人確認書類の画像の漏えい

金融庁の10月9日の注意喚起は金融機関等に向けたものですが、一般の人にも関係する点が2つあります。

1つは背景です。金融庁は、顧客向けサービスや業務システムへの不正アクセスが相次ぎ、「当該顧客に係る運転免許証等の本人確認書類の画像情報を含む顧客情報等が漏洩するといったサイバーインシデントが発生しています」と書いています。どの事業者の件か、何件かは、この注意喚起には書かれていません。

もう1つは本人確認の方法の変更です。犯罪収益移転防止法の施行規則の改正で、施行日の2027年4月1日から、本人確認の方法として本人確認書類の画像を送ってもらう方法は廃止され、ICチップの情報の読み取りに原則一本化されます。金融庁は金融機関等に、施行日を待たずにできるだけ早く対応するよう求めています。

利用する側から見ると、金融機関のオンラインの手続きで、免許証などを撮影して画像を送る方法が使えなくなり、カードのICチップを読み取る方法が中心になる、ということです（当社の見方）。金融サービスについての一般的な質問は、金融庁の金融サービス利用者相談室（0570-016-811、IP電話からは03-5251-6811、平日10時〜17時）が受け付けています。

パスワードの使い回しはなぜ危ないか

2つの呼びかけがそろって最初に挙げたのが、パスワードを使い回さないことです。なぜ危ないのかを、総務省、警察庁、IPAの一般向けのページの説明で確かめます。

1つ漏れると、ほかのサービスにも入られる

総務省の「国民のためのサイバーセキュリティサイト」は、「サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています」と説明しています。重要な情報を扱うサービスで使い回しのパスワードを使っていると、「他のサービスから何らかの原因でパスワードが漏洩してしまえば、第三者に重要情報にアクセスされてしまう可能性があります」としています。

警察庁のフィッシング対策のページは、さらに具体的です。「複数のサイトで同じＩＤ、パスワードを登録していると、一つでもＩＤ、パスワードを盗まれたら、銀行やＳＮＳ、インターネット通信販売サービスなど全てのサービスが乗っ取られる被害に遭ってしまいます」と書いています。IPAも、流出したIDとパスワードのリストを入力して試す「リスト型攻撃」を、不正ログインの手口として挙げています。

つまり、使い回しの危なさは、自分が使っているサービスのどれか1つでも漏れれば、漏れていないほかのサービスまで入られてしまう点にあります。漏えいを起こした会社のサービスだけでなく、同じパスワードを使っているすべてのサービスが対象になります。

多要素認証があると、パスワードだけではログインできない

2つ目の対策の多要素認証は、パスワードが知られてしまった場合の備えです。総務省は、多要素認証を「通常のユーザ名とパスワードに加え、追加のセキュリティ要素を使用してアカウントへのアクセスを確認する方法」と説明しています。要素は、知っているもの（パスワードなど）、持っているもの（スマートフォンなど）、本人自身に関するもの（指紋や顔など）の3つで、このうち2つ以上を組み合わせます。

IPAは、「「多要素認証」を設定している場合、仮にIDおよびパスワードを不正に利用されても、それだけではログインできないことから、不正ログイン防止に効果があります」としています。パスワードを使い回さないことと多要素認証は、片方だけでなく両方をそろえることで、不正ログインを防ぎやすくなります（当社の見方）。

漏えいのあとは、流出元をかたる偽メールにも注意

3つ目の対策が、メールやSMSのリンクを開かないことです。警察庁のVol.19は、情報が流出したあとに届くメールについて「情報流出元の企業をかたる偽メールの可能性があります」と注意しています。デジタル大臣も10月6日の会見で、フィッシングの被害に触れたうえで、リンクを安易に開かず公式サイトや公式アプリからアクセスするよう求めました。

偽のサイトでIDとパスワードを入力してしまうと、そのパスワードが盗まれます。使い回していれば、ほかのサービスにも広がります。3つの対策は別々のものではなく、パスワードが盗まれる入口を減らし、盗まれても広がらないようにし、広がってもログインされにくくする、という関係にあります（当社の見方）。

3つの対策の具体的なやり方

デジタル大臣と警察庁は「何をするか」を示しましたが、「どうやるか」は総務省、IPA、警察庁の一般向けのページに書かれています。その手順を対策ごとにまとめます。

パスワードを使い回さない：作り方と覚え方

総務省は「パスワードはできる限り、複数のサービスで使い回さないようにしましょう」としたうえで、理想的な形を「最低でも10文字以上の文字数で構成されるある程度長いランダムな英数字の並び」とし、「数字や記号、アルファベット（大文字、小文字）が混ざっていることが好ましい」としています。IPAも、パスワードを「できるだけ長く」「複雑で」「使い回さない」ものにするよう勧めています。

サービスごとに別のパスワードを覚えるのが難しい場合について、総務省は「パスワード管理ツールを使うことも推奨されます」とし、警察庁も「パスワード管理アプリなどを活用してください」としています。

パスワードの定期的な変更について、総務省は、サービス側から流出した事実がない場合は変更する必要はないとし、「定期的に変更するよりも、機器やサービスの間で使い回しのない、固有のパスワードを設定することが求められます」と書いています。一方で、フィッシングサイトにIDとパスワードを入力してしまった場合、IPAは速やかにパスワードを変更し、同じパスワードを他のサービスでも使っている場合はそちらも変更するよう案内しています。

すべてを一度に変えるのが難しければ、銀行やクレジットカード、普段使うメールなど、乗っ取られたときの影響が大きいサービスから順に、別々のパスワードに変えていくのが現実的です（当社の見方）。

多要素認証を設定する：サービスごとの設定画面から

多要素認証は、利用者がサービスごとに設定します。IPAの「不正ログイン対策特集ページ」には、Apple、Google、Microsoft、Yahoo!、Instagram、X、Amazon、Facebook、dアカウント、au IDなど、サービスごとの多要素認証の設定方法（各社の公式ヘルプ）へのリンクがまとめられています。このページの最終更新は2023年9月29日のため、設定画面の名前や手順は各社の最新のヘルプで確かめてください。

警察庁は、銀行やインターネット通信販売のサービスで、パスワードに加えてメールやSMSに届くワンタイムパスワードを入力しないとログインできないサービスが提供されているとし、「ＩＤやパスワードが盗まれた時のため、ワンタイムパスワードサービスを活用してください」としています。

IPAは、パスワードの代わりに指紋認証や顔認証、端末のロック解除の機能（PINコードなど）でログインする「パスキー」の利用も勧めています。パスキーはサービスの側が対応している場合に使えます。

リンクを開かない：公式サイト・公式アプリから確かめる

IPAは、本物かどうか迷った場合には「メールやSMS内のURLや電話番号は使用せず、公式サイトや公式アプリから真偽を確認することを推奨します」としています。警察庁は、「あらかじめ公式サイトを「お気に入り」や「ブックマーク」に登録しておいたり、公式アプリを活用するなどして正しいサイトに接続するようにしてください」としています。

総務省も、金融機関や宅配業者を装った緊急の通知などを例に、「メールやSMSで外部アクセスするリンクには十分に気を付ける必要があります」と説明しています。漏えいを知らせるメールが本物かどうかも、メールのリンクではなく、自分でブックマークや公式アプリから開いた公式サイトのお知らせで確かめられます（当社の見方）。

警察庁のVol.19は、ネットに接続する機器のソフトウェアを更新することも挙げています。不審に思ったときの相談先として、最寄りの警察署、警察庁のサイバー犯罪相談窓口、警察相談専用電話「#9110」を案内しています。Vol.19が勧める「警察庁推奨アプリ」は、詐欺電話の対策のためのものです。案内ページは当社では確認できなかったため、アプリの中身はここでは書いていません。

今日からできる3つのこと

デジタル大臣と警察庁の呼びかけと、総務省、IPA、警察庁のページの手順をもとにまとめました。全部を一度にできなくても、影響の大きいサービスから始められます。

よくある質問

パスワードの使い回しはなぜ危ないのですか

どこかのサービスから漏れたIDとパスワードを使って、ほかのサービスへの不正ログインを試す手口があるためです。警察庁は、複数のサイトで同じIDとパスワードを登録していると、一つでも盗まれたら銀行やSNS、通信販売など全てのサービスが乗っ取られる被害に遭うと説明しています。

デジタル大臣はいつ、何を呼びかけたのですか

古川デジタル大臣は2026年10月6日の記者会見で、パスワードの使い回しをやめる、多要素認証を利用する、不審なメールやSMSに注意しリンクを安易に開かず公式サイトや公式アプリからアクセスする、の3つを国民に呼びかけました。

パスワードは定期的に変えたほうがいいですか

総務省は、サービス側から流出した事実がない場合は変更する必要はないとし、定期的に変更するよりも、サービスの間で使い回しのない固有のパスワードを設定することが求められるとしています。偽のサイトに入力してしまった場合などは、すぐに変更します。

多要素認証とは何ですか

パスワードなどの知っているもの、スマートフォンなどの持っているもの、指紋や顔などの本人自身に関するもののうち、2つ以上を組み合わせてログインする方法です。IPAは、設定していればIDとパスワードを不正に使われても、それだけではログインできないとしています。

漏えいを知らせるメールが届いたら、リンクを開いてもいいですか

警察庁は、情報流出元の企業をかたる偽メールの可能性があると注意しています。メールのリンクは開かず、ブックマークや公式アプリから開いた公式サイトのお知らせで、本物かどうかを確かめてください。

免許証の画像を送る本人確認はなくなるのですか

金融庁の注意喚起によると、犯罪収益移転防止法の施行規則の改正で、2027年4月1日から、本人確認書類の画像を送ってもらう方法は廃止され、ICチップの情報の読み取りに原則一本化されます。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社にも、利用しているサービスから漏えいを知らせる連絡が届き、情報漏えいの記事を続けて公開してきました。国の機関の注意喚起が相次いだため、一般の利用者に向けた呼びかけとやり方を、原本をもとに整理しました。