パスワードの使い回しが会社のWebを危うくする｜ログインの棚卸しと二段階認証の進め方

会社のWebサイトを運営していると、ログインする場面は思っている以上にたくさんあります。WordPressなどのCMSの管理画面、レンタルサーバーの管理パネル、ドメインの管理会社、Googleアカウント、Googleアナリティクス、InstagramやXなどのSNS。気付けば、十を超えるIDとパスワードを抱えている会社も珍しくありません。その中に、「覚えやすいから」と同じパスワードを使い回しているものはないでしょうか。

警察庁の令和7年における不正アクセス行為の発生状況によると、令和7年に検挙された不正アクセス禁止法違反のうち、他人のIDやパスワードを使う「識別符号窃用型」は399件でした。その手口として最も多かったのが「パスワードの設定・管理の甘さにつけ込んで入手」の84件で、次いで「フィッシングサイトから入手」の77件となっています。パスワードの扱い方そのものが、不正アクセスの大きな入り口になっていることが分かります。同じ資料では、IDやパスワードを知り得る立場にあった元従業員や知人などによる犯行も61件あったとされています。ログインの守りは、外部からの攻撃への備えであると同時に、人の出入りに合わせた管理の問題でもあるのです。

さらに、攻撃する側の道具も変わってきています。何千、何万という組み合わせを自動で試すプログラムは以前からありましたが、警察庁の令和7年におけるサイバー空間をめぐる脅威の情勢等についてでは、生成AIを悪用してフィッシングサイトを改修していた被疑者の検挙事例も紹介されています。パスワードを盗むための偽サイトづくりや、盗んだ情報を使ったログインの試行が、AIを含む自動化の技術によって、以前より少ない手間で行えるようになっているのです。

この記事では、中小企業の経営者やWeb担当者の方に向けて、パスワードの使い回しを狙う「リスト型攻撃」と、自動化された「総当たり攻撃」の仕組みを整理したうえで、会社のWebに関わるログインを洗い出し、二段階認証とパスワード管理ツールで守るための具体的な進め方を紹介します。複数の人で一つのアカウントを使う「共有アカウント」の扱いについても、悪い例と改善例を比べながら解説します。

私はフリーランスのWebディレクター兼エンジニアとして、Webサイトの制作から公開後の運用まで関わる中で、CMSやサーバー、ドメイン、分析ツールなど、さまざまな管理画面に触れてきました。その立場から、総務省や警察庁、IPAなどの公開情報に沿って、専門用語をできるだけ使わずに説明します。

リスト型攻撃と総当たり：なぜ「使い回し」が狙われるのか

リスト型攻撃は「拾った合鍵を、あちこちの扉で試す」手口

総務省のリスト型アカウントハッキングによる不正ログインへの対応方策についてでは、リスト型攻撃を、何らかの手段で入手した他人のIDとパスワードをリストのように使い、さまざまなサイトにログインを試みる攻撃として説明しています。

たとえるなら、どこかで拾った合鍵を、同じ持ち主が使っていそうな家や車、事務所の扉に、片っ端から差し込んでみるようなものです。あるネットショップからメールアドレスとパスワードの組み合わせが流出したとします。その人が同じ組み合わせを会社のGoogleアカウントやCMSでも使っていれば、攻撃者は「試すだけ」で入れてしまいます。自社のシステムに弱点がなくても、別のサービスからの流出が、自社への入り口になってしまうのです。

総務省の国民のためのサイバーセキュリティサイトでも、サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す手口が知られているとして、パスワードを複数のサービスで使い回さないよう呼びかけています。

総当たり攻撃は「機械が休まず鍵を回し続ける」手口

もう一つの代表的な手口が、総当たり攻撃（ブルートフォース攻撃）です。WordPressの開発者向けドキュメントでは、総当たり攻撃を、ユーザー名とパスワードの組み合わせを当たるまで繰り返し試す、最も単純な侵入方法として説明しています。こうした試行は自動化され、多数の端末に分散して行われることが多く、たとえ失敗しても、大量のアクセスでサイトに負荷がかかることがあるとしています。

admin のような推測しやすいユーザー名や、password123 のような短く単純なパスワードは、こうした機械的な試行にとって格好の対象です。ログイン画面がインターネットに公開されている限り、会社の規模や知名度に関係なく、試行の対象になり得ます。

「うちは狙われない」が通用しにくい理由

リスト型攻撃も総当たり攻撃も、攻撃者が会社を一社ずつ選んで狙っているわけではありません。流出したリストや、よく使われるパスワードの一覧を、機械的に多くのサイトへ試していく作業です。そのため、従業員が数人の会社でも、ログイン画面があれば同じように試されます。守る側にできるのは、「試されても入れない状態」を作っておくことです。具体的には、サービスごとに異なる長いパスワードにすること、そしてパスワードが知られても入れないよう、二段階認証を加えることです。次のセクションから、その進め方を順番に見ていきます。

まず棚卸し：会社のWebに関わるログインを書き出す

守る対象が分からなければ、守りようがない

二段階認証やパスワード管理ツールの話に入る前に、最初にやっていただきたいのが「ログインの棚卸し」です。会社のWebに関わるログインがいくつあり、それぞれ誰が管理しているのか。これが分からないままでは、どこから対策すればよいかも決められません。前任の担当者や制作会社しか知らないログインが残っている、というのはよくある状況です。担当者の退職や交代に伴う引き継ぎについては、担当者退職後の契約とログインの控えを解説した記事でも詳しく扱っています。

洗い出しておきたいログインの例

会社のWebに関わる代表的なログインを、表にまとめました。自社に当てはまるものを書き出してみてください。

この中で特に重要なのが、ドメイン管理とメール、そしてGoogleアカウントです。多くのサービスは、パスワードを忘れたときの再設定をメールで行います。つまり、メールを受け取れるアカウントを乗っ取られると、そこを起点に他のサービスのパスワードまで変えられてしまう可能性があります。家の鍵をすべて入れたキーボックスの、そのキーボックスの鍵にあたる存在だと考えてください。

棚卸しで書き出す項目

棚卸しでは、サービス名とログインURLに加えて、「ログインに使っているメールアドレス（または個人か会社か）」「管理している人」「二段階認証の有無」「最後に使った時期」を書き出しておくと、次の作業に進みやすくなります。パスワードそのものを表計算ソフトに書き込むのは避け、後で紹介するパスワード管理ツールに保管します。

書き出してみると、「もう使っていないサービス」が見つかることもあります。IPAの情報セキュリティ10大脅威2026 個人編ハンドブックでも、利用していないサービスは退会することを対策として挙げています。使っていないアカウントは、誰も見ていない裏口のようなものです。不要なものは解約や削除を検討しましょう。

二段階認証とパスキー：どこから設定するか

二段階認証は「鍵を二つにする」仕組み

二段階認証（多要素認証）は、パスワードに加えて、スマートフォンの認証アプリに表示される数字や、指紋・顔などで本人を確かめる仕組みです。IPAの不正ログイン対策特集ページでは、多要素認証を利用している場合、仮にIDとパスワードを不正に利用されてもログインはできないため、不正ログインの防止に効果があると説明しています。玄関の鍵が一つ盗まれても、もう一つの鍵がなければ入れない、という状態です。

優先順位は「乗っ取られたときの影響」で決める

すべてのサービスに一度に設定するのは大変なので、前のセクションの棚卸し表をもとに、乗っ取られたときの影響が大きいものから設定していきます。目安としては、次の順番がおすすめです。

1. 会社のメールとGoogleアカウント（他のサービスの再設定に使われるため）
2. ドメイン管理とレンタルサーバー（サイト全体とメールに影響するため）
3. CMSの管理者アカウント
4. SNSと広告アカウント
5. その他の分析ツールや外部サービス

WordPressについては、開発者向けドキュメントで、本体には二段階認証の機能が含まれていないため、プラグインなどで追加し、すべての管理者アカウントで有効にするよう勧めています。どのサービスでも、設定する際には、認証に使うスマートフォンをなくした場合の復旧方法もあわせて確認しておきましょう。この点は、後の「つまずきやすいポイント」で詳しく触れます。

方式の違い：SMS、認証アプリ、パスキー

二段階認証には、SMSで届くコードを入力する方式、認証アプリに表示されるコードを入力する方式、そしてパスキーと呼ばれる方式などがあります。国民生活センターの不正ログインの脅威と対策では、偽サイトに入力させたパスワードとワンタイムパスワードを、その場で正規サイトに入力する「リアルタイムフィッシング」によって、ワンタイムパスワードを使った多要素認証が破られることがあると説明しています。そのうえで、パスキーが使えるサービスでは設定することを勧めています。

パスキーは、パスワードの代わりに、スマートフォンやパソコンの指紋認証・顔認証・PINなどを使ってログインする方式です。警察庁の不正アクセス行為の発生状況でも、パスキーは正規サイト以外では認証が機能しないため、認証情報が漏れるリスクを下げる効果があるとされています。ただし、まだすべてのサービスが対応しているわけではありません。パスキーが使えるサービスではパスキーを、使えないサービスでは認証アプリによる二段階認証を、という使い分けが現実的です。

パスワード管理ツールと共有アカウントの扱い

「全部違うパスワード」を、人が覚える必要はない

サービスごとに長く異なるパスワードを使う、と聞くと、「そんなに覚えられない」と感じる方も多いと思います。その答えになるのが、パスワード管理ツールです。総務省の国民のためのサイバーセキュリティサイトでは、サービスごとに異なる十分に安全なパスワードを覚えるのは大変なので、パスワード管理ツールを使うことも推奨されるとしています。スマートフォンやブラウザの標準機能、専用アプリのいずれでもよく、ツール自体はマスターパスワードや端末のロック（生体認証など）で守る必要がある、とも説明されています。

同じページでは、パスワードの定期的な変更は、流出などの事実がない限り必要ないことも示されています。むしろ定期的な変更を求めると、パスワードの作り方がパターン化したり、使い回しが起きたりするほうが問題だという考え方です。「三か月ごとに変える」より、「サービスごとに違う、長いパスワードにする」ことを優先しましょう。

共有アカウントの悪い例と改善例

Web担当の現場で特に問題になりやすいのが、複数の人で一つのアカウントを使う「共有アカウント」です。よくある運用と、改善した運用を比べてみます。

総務省のサイトでは、パスワードを同僚などの第三者に教えないこと、電子メールでやり取りしないことを、保管の注意点として挙げています。警察庁の資料でも、インターネット上に情報を保存するメモアプリなどが不正アクセスされ、保存していたパスワードが盗まれたと思われるケースが確認されているとして、保存場所への注意を促しています。

「共有」ではなく「招待」できるサービスは多い

改善の基本は、「一つのIDを共有する」のではなく、「一人ずつ招待して権限を割り当てる」ことです。たとえばGoogleアナリティクスでは、ユーザーの追加の手順で、各ユーザーのGoogleアカウントを招待し、管理者・編集者・閲覧者などの役割を個別に付けられます。WordPressにも、管理者・編集者・投稿者などの権限があります。個別のアカウントにしておけば、誰がいつログインしたかを追いやすくなり、担当者が抜けたときもその人のアカウントを外すだけで済みます。警察庁の資料でも、元従業員や委託先業者などによる不正アクセスが発生しているとして、立場を離れた人のIDの削除やパスワードの変更を速やかに行うよう求めています。

現場でつまずきやすいポイント

二段階認証の端末が、一人の私物スマートフォンだけ

二段階認証を設定したものの、その認証アプリが担当者個人のスマートフォンにしか入っていない、というケースはよくあります。担当者が退職したり、スマートフォンを紛失・機種変更したりすると、会社の誰もログインできなくなる可能性があります。Googleアカウントでは、バックアップコードを10個まとめて発行でき、スマートフォンでコードを受け取れないときに使えます。各コードは一度しか使えず、新しいセットを作ると古いものは無効になります。バックアップコードは、パスポートなど重要な書類と同じように、安全な場所に保管しておきましょう。WordPressの二段階認証プラグインの多くにも、バックアップコードの仕組みがあります。

管理者が一人しかいない

CMSや分析ツール、SNSの管理者権限を持つ人が一人だけだと、その人に何かあったときに、権限の付け替えすらできなくなります。管理者権限を持つ人は、社内に二人以上置いておくのが安心です。一方で、全員を管理者にすると、乗っ取られたときの影響が大きくなります。日々の更新作業は編集者などの権限で行い、管理者権限は必要な人だけに絞る、という使い分けが大切です。WordPressの開発者向けドキュメントでも、管理者の数を限り、日常の作業には最小限の権限を使うことを勧めています。

制作会社のアカウントのままになっている

Webサイトの制作を外部に依頼した場合、ドメインやサーバー、Googleアナリティクスなどが、制作会社のアカウントで契約・設定されたままになっていることがあります。制作会社との関係が良好なうちは問題になりにくいのですが、契約が終わったときや、制作会社側でアカウントが乗っ取られたときに、自社では手が出せない状態になります。棚卸しの際には、「名義が自社になっているか」「自社の誰かが管理者として入っているか」も確認しておきましょう。

ログイン画面の対策を、パスワードだけで済ませている

WordPressのログイン画面には、総当たり攻撃への備えとして、ログインの試行回数を制限する仕組みや、CAPTCHAによるボット対策を加える方法もあります。WordPressの開発者向けドキュメントでは、WAFやCDNなどサーバーの手前で試行回数を制限することや、ログインURLを変えることは雑音を減らす効果はあるものの、それだけを対策にすべきではないことも説明されています。パスワード、二段階認証、試行回数の制限、そして本体やプラグインの更新を、組み合わせて考えることが大切です。

まとめ：「使い回さない」「二つ目の鍵」「一人ずつ」の三つから

パスワードの使い回しを狙うリスト型攻撃と、機械的に組み合わせを試し続ける総当たり攻撃は、どちらも会社の規模を選びません。警察庁の統計で、パスワードの設定や管理の甘さにつけ込んだ不正アクセスが最も多い手口になっていることからも、ログインの守りが、Webサイトのセキュリティの土台であることが分かります。そして、AIを含む自動化の技術によって、偽サイトづくりや大量の試行が以前より少ない手間で行えるようになっている今、その土台を固めておく意味は大きくなっています。

この記事で紹介した対策は、大きく三つにまとめられます。一つ目は、サービスごとに異なる長いパスワードを使い、それをパスワード管理ツールで管理すること。人が覚える必要はなく、定期的に変えることよりも、使い回さないことを優先します。二つ目は、二段階認証やパスキーで「二つ目の鍵」を加えること。メールとGoogleアカウント、ドメイン、サーバーといった、乗っ取られたときの影響が大きいものから順に設定していきます。三つ目は、共有アカウントをやめて「一人ずつ」招待し、必要な権限だけを付けることです。担当者が抜けたときの対応も、ずっと簡単になります。

そして、これらすべての前提になるのが、会社のWebに関わるログインの棚卸しです。どのサービスに、誰の名義で、誰がログインしているのか。それが一覧になっていれば、二段階認証の設定漏れや、使っていないアカウントにも気付きやすくなります。

まずは、次の三つを確認してみてください。

1. 会社のWebに関わるログイン（ドメイン、サーバー、CMS、Google、SNSなど）を、一覧にできるか
2. そのうち、会社のメールとGoogleアカウント、ドメイン管理、サーバーに、二段階認証が設定されているか
3. 一つのIDとパスワードを、複数の人で共有して使っているサービスがないか

すべてを一日で整える必要はありません。棚卸し表を作り、影響の大きいものから一つずつ対策していけば、守りは着実に固まっていきます。Web制作者やディレクターの方であれば、サイトの納品時にこの棚卸し表をクライアントと一緒に作っておくと、公開後の運用や担当者の交代がずっと進めやすくなります。

「自社のWebに関わるログインがいくつあるのか把握できていない」「制作会社や前任者のアカウントのままになっているものを整理したい」という企業・店舗の方は、ログインと権限の棚卸しからご相談を承っています。相談・お問い合わせからお気軽にご連絡ください。