パスワード管理アプリは危険？会社で使う時の考え方と守る設定を解説

パスワード管理アプリには事故の可能性がありますが、会社で比べるべき相手は「事故ゼロの理想」ではなく、今の使い回し、メモ、共有PCへの保存です。長いマスターパスワードと多要素認証を前提に、会社で使える選択肢になります。

今日やることは2つです。社内で一番重要なログイン先を5つ書き出し、誰がどこにパスワードを置いているかを聞いてみる。その中に、Excelのファイルや付せん、ブラウザに保存した共有PCがあれば、そこから手を付けます。

公的機関はパスワード管理ツールをどう見ているのか

国の案内は、使うことを選択肢に入れています。

総務省の国民のためのサイバーセキュリティサイトは、サービスごとに異なる安全なパスワードを覚えるのは大変なので、パスワード管理ツールの利用も推奨されるとしています。その上で、マスターパスワードや端末のロックで守る必要があり、企業ごとの決まりは情報システムの担当者に確かめるよう書いています。

IPAの情報セキュリティ10大脅威2026 解説書も、覚えきれない場合の手段として、オフラインの媒体への記録、OSやブラウザのパスワード管理機能、パスワードマネージャーを挙げています。

米国の標準であるNIST SP 800-63B-4は、サービスを提供する側に対して、パスワード管理ツールと自動入力の利用を認めるよう定めています。理由として、より強いパスワードを選ぶ可能性を高めることが示されていると書いています。

これらは「安全だから使ってよい」という保証ではありません。守り方を決めた上での選択肢、という位置づけです。

実際に起きた事故から何が分かるのか

危険を考えるには、公表された事例を読むのが確実です。パスワード管理サービスのLastPassは、2022年から2023年⁠にかけて、公式に事故を発表しました。

2022年12月の発表⁠によれば、顧客の保管データのバックアップが複製されました。IDとパスワード、メモなどは暗号化されたままで、鍵は利用者のマスターパスワードから作られ、同社はマスターパスワードを保持していません。一方で、サイトのURLのように暗号化されていない項目もありました。

同社は、マスターパスワードを推測する試みの可能性を認めています。推奨どおりのパスワードを使う顧客では極めて難しいとしつつ、そうでない場合は保管したパスワードの変更を検討するよう案内しました。2023年3月の続報では、上級の開発運用担当者が第三者製ソフトウェアの脆弱性を狙われ、クラウドのバックアップへの不正アクセスにつながったと説明しています。

この公表から、会社として受け取れることは3つあります。

• サービス側の事故は現実に起こる。起きた時の手順を先に決める必要がある
• 暗号化の設計があると、盗まれても直ちに中身が読めるとは限らない。ただし強さはマスターパスワードに左右される
• どのサイトを使っているかの情報が読まれると、そのサイトを装った詐欺に悪用されるおそれがある

製品によって設計は違います。たとえば1Passwordは、パスワードに加えて34文字⁠のSecret Keyでデータを暗号化し、同社はその記録を持たないと説明しています。Bitwardenも、マスターパスワードと暗号鍵を保存せず、アクセスできないとしています。これらは各社の説明であり、私たちが検証したものではありません。

使わない場合の危険と比べるとどうか

比べる相手を並べます。

使い回しの危険は統計にも出ています。警察庁などの2026年3月⁠の公表資料⁠によれば、2025年⁠に検挙された、他人のID・パスワードを使う不正アクセス399件⁠のうち、手口で最も多いのは「パスワードの設定・管理の甘さにつけ込んで入手⁠」⁠の84件（21.1%）でした。同じ資料は、インターネット上のメモアプリなどが不正アクセスされ、保存していたパスワードが盗まれたと思われるケースにも触れています。

パスワードの決まりも、定期変更より使い回しをなくす方向へ変わっています。総務省は、流出の事実がなければ定期的な変更は不要で、むしろ作り方がパターン化することのほうが問題だとしています。覚える負担を減らす道具は、この考え方に合います。

会社で決める設定は何か

製品を入れただけでは守れません。次の7つ⁠を決めます。製品によって機能と名称が違うので、検討時に確かめます。

1. マスターパスワードを長くする

短い単語の組み合わせを避け、ほかで使っていないものにします。NISTの基準では、パスワードだけで認証する場合の最低は15文字です。社内の下限を決めるときの参考になります。Bitwardenのように、組織の方針として要件を強制できる製品⁠もあります。

2. 管理アプリ自体に多要素認証をかける

金庫の入口が一番の要所です。全員に必須とする設定があるかを見ます。多要素認証の製品比較で方式の違いを見られます。

3. 復旧の担当者を2人決める

忘れた時に戻せないと、現場は別の場所にメモを始めます。1Passwordの復旧手順のように管理者が復旧を手伝える製品もありますが、運営会社が戻せない項目もあります。緊急用の情報の保管場所まで決めます。

4. 共有は必要な範囲に分ける

全社で1つ⁠の共有フォルダにせず、部署や役割で分けます。共有用IDそのものを減らせないかも見直します。

5. 持ち出しを制限する

保管データを一括で書き出す機能は、移行に便利な反面、漏えいの経路にもなります。Bitwardenは書き出しを止める方針を用意しています。使う製品で設定できるかを確かめます。

6. 退職時の取り消しを手順に入れる

辞めた人が知っているパスワードは、取り消した後も頭やメモに残ります。共有していた重要なものは変更します。人事のシステムやID基盤と連携して、SCIMでメンバーの追加と削除を自動化できる製品もあります。IDの入口をまとめるならIDaaSの製品比較が参考になります。手順はID管理の記事⁠に書きました。

7. 事故の時に変える順番を決める

メール、社内システムの入口、ネットバンキングなど、先に変えるものの一覧を用意します。サービス側の事故の知らせを誰が受けて判断するかも決めます。

管理アプリに入れないほうがよいものは何か

すべてを1か所に集めると、そこが止まった時の影響も大きくなります。分けておくものを決めます。

サーバーやネットワーク機器の管理者パスワードは、社員用の金庫とは分けて、持つ人を絞ります。特権ID管理の考え方⁠で別に扱う理由を書きました。ネットバンキングのように資金に直結するものは、多要素認証の有無と扱う人を個別に確かめます。

IPAは、パスワードに代わる方法としてパスキーの利用を推奨しています。対応しているサービスは、パスワードを金庫に入れるより先に、パスキーへの切り替えを検討します。

なお、多要素認証の確認コードを同じ金庫に入れると、金庫が破られた時に2つ⁠の要素が同時に失われます。便利さとの比較になるので、重要なログインは別の端末に分けるといった線を決めます。

製造業の現場ではどう考えるか

たとえば、工場の現場に共有PCがあり、生産管理システムや設備メーカーの保守サイトに、班で同じIDを使っている場合を考えます。

IPAの解説書は、複数人で使うPCではブラウザにパスワードを記憶させないよう注意しています。本人以外がなりすましてログインできてしまうからです。この環境で個人用の管理アプリをそのまま配っても、現場の作業は回りません。

順番としては次のように進めます。

1. 事務所の1人1台⁠の端末から始める
2. 共有IDを個人別のIDに分けられるサービスを洗い出す
3. 分けられない共有IDは使う人を記録し、変更の担当者を決める
4. 現場の共有PCでは、Windowsのアカウントとブラウザの保存設定を見直す

SCS評価制度の★3の基準も、IDを共有しないか、やむを得ず共有する場合は使った人を特定できるようにすることを求めています。取引先から対策を尋ねられた時にも、この整理がそのまま説明になります。

導入の候補を見るなら、法人向けパスワード管理ツールの比較に、共有のしかた、暗号化、監査の記録の違いをまとめています。パスワードの漏えいが起きた後の法的な責任については個人情報漏えいの罰則の記事を、漏えい対策の全体は漏えい対策のカテゴリ⁠をご覧ください。