ID・パスワードの設定。まずメールから、安全に見直す。

ID・パスワード・画面ロックは、役割が違う

「どのパスワード？」と迷ったら、何に入るためのものかを分けます。スマホの画面を開く番号と、メールや買い物サイトに入るパスワードは、同じものではありません。

ID／ユーザー名：誰のアカウントかを示す

メールアドレス、電話番号、会員番号など。IDは知られることもある情報なので、「IDを秘密にしているから大丈夫」と考えません。

パスワード：そのアカウントへ入るための秘密

サービスごとに違うものを使います。同じメールアドレスを複数サービスのIDにしていても、パスワードまで同じにする必要はありません。

画面ロック：スマホ自体を開くための鍵

iPhoneのパスコード、AndroidのPINなど。誕生日や並び順の数字を避け、本人が扱える方法で保護します。画面ロックを知っている人が、保存済みの認証情報にアクセスできる場合もあります。

パスキー：文字列を覚えず、端末の鍵でログインする方法

対応サービスで登録し、顔・指紋・画面ロックなどで本人確認します。単に顔認証でスマホを開くこととは別です。違いと設定方法を読む

新しくIDを選べる場合も、パスワードと同じ文字列にしないでください。公開するユーザー名には、生年月日や電話番号など、不要な個人情報を含めないようにします。

さゆり

パスワードは使い分けるのね。ログイン用のメールアドレスも、お店ごとに変えた方がいい？

こはる

同じIDを使うことと、秘密の使い回しは別だよ。まずパスワードを使い分けよう。

一度に全部変えず、この順で守る

漏洩や不正利用が分かっているアカウントは、順番にかかわらず先に対処します。普段の見直しなら、次の順番を目安にしてください。

1. 普段使うメール。多くのサービスの再設定通知が届くため、ここへ入られると被害が広がりやすくなります。
2. Apple Account・Googleアカウント。写真、連絡先、端末を探す機能、保存した認証情報などにつながります。Gmailの場合はメールとGoogleアカウントが同じです。
3. 銀行・証券・カード・決済。ログイン用と取引用の認証が別なら、両方の設定・通知を公式案内で確認します。
4. 買い物・SNS・そのほか。カード保存、なりすまし投稿、連絡先への詐欺などにも注意します。

例えば、買い物サイトから漏れたパスワードがメールと同じなら、メールにも試されるおそれがあります。サービスごとに独立させると、この連鎖を減らせます。

「長く・独立した・推測されにくい」を基本に

おすすめは、信頼できるパスワード管理機能の自動生成です。自分で考えた規則を各サービスへ当てはめるより、別々のランダムな文字列を作って保存する方が、使い回しを避けやすくなります。

長さはどのくらい？

作成時の実用的な目安として、可能なら16文字以上のランダムなものを選びます。これは当サイトの目安で、絶対に破られない境界ではありません。文字数の上限が低いサービスでは、上限内で長く独立したものにし、追加認証を併用してください。

根拠の一つはNISTの最新指針です。パスワードだけで認証するサービスには最低15文字を求めています。これは提供者向けの基準で、すべての利用者に法律上同じ文字数を義務づけるものではありません。

英大文字・小文字・数字・記号を求めるサービスでは、その条件にも従います。ただし、短いものを少し複雑にしただけで安心せず、長さと使い回しの解消を優先します。この記事や他サイトに載った見本の文字列を、そのままパスワードにしないでください。

さゆり

最後にお店の名前を足すだけだと、規則を推測されるかもしれないのね。

こはる

うん。サービスごとに別々に生成して、使える保存方法を考えよう。

変更は、保存アプリではなくサービス側から

管理アプリのメモを書き換えただけでは、サービスのパスワードは変わりません。公式のアカウント設定で変更し、その後、保存した内容も更新します。

1. ログインできる状態と復旧先を確認。登録メール・電話番号が使えるかを先に確かめます。今使える唯一の端末から、確認前にサインアウトしません。
2. 自分で公式アプリか登録済みのブックマークを開く。メールやSMSの「変更してください」リンクから、そのまま入らないでください。
3. アカウントの「セキュリティ」「パスワード変更」へ。管理機能で新しいものを生成し、対象のサービス名・IDを確かめて保存します。
4. サービス側で変更を完了し、保存内容を更新。古いものと混同しないよう、変更が成功した画面を確認します。確認画面に秘密が出ている場合は、家族へその画像を送らないでください。
5. 復旧手段を残したまま、次のログインで確認。自動入力した内容で入れるか、追加認証が動くかを本人と確認。入れない場合は変更完了の有無と保存先を見直します。

Googleアカウントのパスワード

Googleアカウント→「セキュリティとログイン」→「パスワード」へ。本人確認後、画面の案内で変更します。

Apple Accountのパスワード

本人のiPhoneの「設定」→名前→「サインインとセキュリティ」→「パスワードの変更」へ。盗難デバイスの保護などにより、変更前に待機が必要な場合があります。Apple公式の案内を確認し、保護設定を安易に解除しません。

ほかのサービスは画面名が異なるので、各社の公式資料を利用してください。保存方法はiPhone・Androidの管理手順へ。

さゆり

保存したメモだけを書き換えても、お店のパスワードは変わらないのね。

こはる

説明が早かったね。先にサービスの公式設定で変更して、その後に保存内容も更新するんだ。

強いパスワードでも、偽サイトへ渡さない

長いパスワードでも、偽の画面へ入力すれば盗まれるおそれがあります。相手が名前や利用サービスを知っていること、日本語が自然なこと、画面が本物に似ていることは、本人確認になりません。

• 手続きは、連絡文のリンクから離れて公式アプリで確認する。
• 確認コードは、自分で始めた公式手続きの画面にだけ入力し、電話やチャットで伝えない。
• 身に覚えのないログイン通知・承認要求は承認しない。
• OS・ブラウザ・アプリを更新し、ログイン・取引通知を有効にする。

理由のない定期変更は、末尾の数字だけを変える習慣につながることもあります。漏洩・使い回し・偽サイトへの入力があれば即時に変更し、普段は安全な設定と復旧先を維持します。