今だからこそ知っておきたい。ネットの基本セキュリティをゼロから学ぶ完全ガイド
「セキュリティ対策をした方がいい」と言われても、何から始めればいいのか分からない方は多いはずです。
パスワードを複雑にする。2段階認証を入れる。VPNを使う。怪しいリンクを開かない。最近では、パスキーや物理セキュリティキーという言葉もよく見かけます。
どれも間違いではありません。ただ、用語を一つずつ追いかけていると、何を優先すればいいのか分からなくなり、全体像が見えにくくなります。
ネットセキュリティで本当に大切なのは、最新の道具を全部そろえることではありません。
自分が何を守るのかを知り、被害が大きい入口から順番に閉じていくことです。
この記事では、パスワード、2段階認証、パスキー、物理セキュリティキー、アカウント復旧、端末、Wi-Fi、バックアップ、フィッシングまでを、一つの地図としてつなげます。
専門知識がなくても大丈夫です。最後には「今日、自分は何をすればいいのか」が分かる状態を目指します。
まず知ってほしい。「自分は狙われない」は通用しない
サイバー攻撃と聞くと、企業の機密情報や有名人のアカウントを狙う、映画のような攻撃を想像するかもしれません。
もちろん、特定の相手を狙う攻撃もあります。しかし、私たちが日常で遭遇しやすいのは、もっと機械的な攻撃です。
漏えいしたメールアドレスとパスワードを、別のサービスで大量に試す
本物そっくりの偽メールやSMSを大量に送る
更新されていないPCやスマホ、ルーターを探す
SNSの公開情報から、本人になりすます材料を集める
ログイン済みの状態やブラウザに保存された情報を盗む
攻撃者は、あなた個人を恨んでいる必要がありません。自動化された仕組みを使えば、入れそうな入口を広く探せます。
「盗まれるほどお金を持っていない」と思っていても、メールアカウント、連絡先、写真、SNS、買い物履歴、クラウド上の書類には価値があります。
アカウントそのものが、家族や友人をだますための道具として使われることもあります。
だからセキュリティは、一部の詳しい人だけの話ではありません。車に乗るときにシートベルトを締めるような、日常の習慣です。
ネットの安全は「5つの層」で考える
最初に、守る対象を5つに分けましょう。
1. アカウント
Google、Apple、Microsoft、SNS、ネット銀行、通販、クラウド、仕事のサービスなどです。アカウントとは、サービスを使うための本人用の入口だと考えると分かりやすいです。
パスワード、2段階認証、パスキーは主にここを守ります。
2. 復旧経路
パスワードを忘れたときのメールアドレス、電話番号、バックアップコード、信頼済み端末、サポート窓口などです。
復旧経路とは、ログインできなくなったときに、本人だと確認してアカウントへ戻るための道です。
普段のログインを強くしても、復旧経路が弱ければ、そちらを狙われる可能性があります。
3. 端末
スマホ、PC、タブレット、ブラウザ、インストールしたアプリです。端末とは、アカウントへログインしたり、写真や書類を保存したりする機器そのものです。
画面ロック、暗号化、更新、マルウェア対策が関係します。暗号化は、端末を紛失しても、中のデータを簡単には読めない状態にする仕組みです。
4. 通信
自宅のWi-Fi、公共Wi-Fi、Webサイトとの通信です。通信とは、端末とインターネットの間で情報を送受信する経路のことです。
HTTPS、ルーター設定、VPNなどが関係します。VPNは、通信内容を保護するための仕組みの一つですが、すべての危険を解決する道具ではありません。
5. データ
写真、重要書類、仕事のファイル、連絡先です。アカウントを守っても、故障、誤操作、ランサムウェアで消えることがあります。
ランサムウェアは、データを使えない状態にして、お金を要求する不正なプログラムです。ここではバックアップが重要です。
セキュリティ対策が難しく見えるのは、この5つの話が混ざっているからです。
物理セキュリティキーは強力ですが、主にアカウントへログインする瞬間を守る道具です。端末に入ったマルウェアや、消えた写真の復元まで、1本の鍵ですべて解決できるわけではありません。
最優先で守るのは「メインのメール」
最初に守るアカウントを一つだけ選ぶなら、メインのメールです。
なぜなら、多くのサービスがパスワード再設定の案内をメールへ送るからです。
たとえばSNSのパスワードを忘れたとき、「パスワードを再設定する」を押すと、登録メールへリンクが届きます。通販、クラウド、動画サービスでも似た仕組みが使われます。
つまりメインメールを奪われると、そこを足場に他のアカウントまで狙われる可能性があります。
メールは、ただの連絡手段ではありません。ネット上の家の鍵を作り直すための、管理室に近い存在です。
まず次を確認してください。
メインメールのパスワードを、他のサービスで使い回していないか
パスキーまたは2段階認証を有効にしているか
復旧用メールと電話番号は、今も自分が使えるものか
知らない端末がログインしたままになっていないか
バックアップコードを安全な場所へ保管しているか
バックアップコードは、2段階認証が使えないときにログインするための予備コードです。端末をなくしたときにも必要になるため、端末の中だけではなく、安全な場所へ保管してください。
ここが弱いまま、他のアカウントへ高価なセキュリティ製品を追加しても、全体の弱点は残ります。
パスワードは「複雑さ」より、長さ・固有・管理方法
以前は「大文字、小文字、数字、記号を混ぜ、定期的に変更する」とよく言われていました。
しかし、人間は複雑な文字列を何十個も覚えられません。その結果、末尾の数字だけを変えたり、同じパスワードを使い回したりしがちです。
現在の基本は、次の3つです。
長い
短いパスワードは推測されやすくなります。NISTの2025年最終版ガイドラインでは、パスワードを単独の認証要素として使う場合、サービス提供側に最低15文字を求めています。
ただし、利用中のサービスが15文字未満を許しているからといって、短くする必要はありません。パスワードマネージャーで十分に長いランダムな文字列を作れば、人が暗記する必要はありません。
サービスごとに固有
これが最も重要です。
同じパスワードをA社とB社で使っていると、A社から漏れた情報を使ってB社へログインされる可能性があります。これをパスワードリスト攻撃、またはクレデンシャルスタッフィングと呼びます。
これは、他の場所から漏れたメールアドレスとパスワードの組み合わせを、自動で何度も試す攻撃です。
サービス側を信頼していても、使い回しは自分で作る連鎖経路です。
パスワードマネージャーで管理
固有のパスワードを何十個も覚えるのは現実的ではありません。そこで、専用のパスワードマネージャーを使います。
パスワードマネージャーは、長くてランダムなパスワードを作り、暗号化して保存し、正しいサイトで自動入力します。
自動入力されないときは「偽サイトかもしれない」と気づくきっかけにもなります。
ただし、パスワードマネージャー自体は重要な金庫です。マスターパスワードを長くし、利用できるならMFAやパスキーを設定し、復旧情報を安全に保管してください。
MFAは、多要素認証のことです。パスワードだけではなく、スマホへの確認や指紋など、複数の方法で本人を確かめる仕組みです。
パスワードを定期的に変えることより、使い回しをなくし、漏えいが判明したときにすぐ変更できる状態を作る方が大切です。
2段階認証は全部同じではない
2段階認証や多要素認証は、パスワードに加えて別の確認を行う仕組みです。パスワードが漏れてしまった場合でも、もう1つの確認が必要になるため、他人が簡単にログインしにくくなります。
ここで混乱しやすいのが、「2段階認証を入れているなら、どの方式でも同じ」と考えてしまうことです。
実際には、方式ごとに守れる攻撃が違います。特に、偽のログイン画面へ情報を入力させるフィッシングへの強さには差があります。
認証方法 パスワード漏えいへの追加防御 フィッシング耐性 主な注意点 SMSの6桁コード ある 限定的 偽サイトへの入力、電話番号の乗っ取り メールで届くコード ある 限定的 メール自体が弱いと連鎖する 認証アプリの6桁コード ある 限定的 偽サイトへ入力すると悪用され得る スマホへのプッシュ承認 ある 方式による 承認要求の連打、内容を見ずに許可 パスキー 強い 強い 端末と同期先、復旧方法の管理が必要 FIDO物理セキュリティキー 強い 強い 紛失対策と予備キーが必要
SMSや認証アプリが「意味のない対策」ということではありません。
パスワードだけで守る状態より、はるかに安全になります。対応方式がSMSしかないなら、無防備のままにするより、有効にした方がよいでしょう。
そのうえで、メインメール、SNSの収益アカウント、管理者アカウントなど、被害が大きい場所では、利用できる中でよりフィッシングに強い方式を選びます。
全部を完璧にする必要はありません。まずは、被害が大きい入口から閉じていくことが重要です。
パスキーは、パスワードを人に入力させない仕組み
パスキーは、公開鍵暗号という仕組みを使ったログイン方法です。公開鍵暗号とは、サービス側に本人確認用の情報を置き、本人だけが持つ秘密を外へ出さずに確認する考え方です。
難しい計算を覚える必要はありません。初心者向けには、次のように理解すれば十分です。
サービス側には、本人確認に使う公開情報が登録される
本人だけが持つ秘密は、スマホやPCなどの認証器から外へ出さない
ログイン時は、顔認証、指紋、端末のPINなどで本人が操作していることを確認する
正しいサイトに対してだけ認証が成立する
パスワードは、偽サイトへ自分で入力すると盗まれます。SMSや認証アプリのコードも、偽サイトへ入力すれば、攻撃者に中継される可能性があります。
パスキーは、認証先のサイトとの結びつきを確認します。そのため、見た目がそっくりな偽サイトでも、正規サイト向けの認証を成立させにくいのが大きな特徴です。
ここで覚えておきたいのは、パスキーと物理セキュリティキーは同じものではないことです。
パスキーは「認証の仕組み」です。保存先は、スマホ、PC、対応する資格情報管理サービス、物理セキュリティキーなどから選べます。
物理セキュリティキーは、USBなどで端末につなぐ鍵の形をした認証器です。パスキーを保管する場所の1つとして使えるため、2つは関係していますが、同じ意味ではありません。
つまり、パスキーを使うために必ずUSBの鍵を買う必要はありません。
多くの一般ユーザーは、まずGoogle、Apple、Microsoftなどの重要アカウントで、普段使うスマホやPCのパスキーを設定するところから始められます。
フィッシングは「見抜く」より「別の道から確認する」
フィッシングは、本物そっくりのメール、SMS、DM、電話、ログイン画面を使って、情報や操作をだまし取る攻撃です。
最近の文章は自然です。日本語が不自然だから偽物、という見分け方だけでは足りません。
次のような感情を急に起こさせる内容は、特に注意してください。
アカウントを今すぐ停止する
支払いが失敗した
荷物を届けられない
不正利用を確認した
あなたが当選した
上司や家族が急いで送金してほしいと言っている
サポート担当が遠隔操作を求めている
大切なのは、メールのリンクが本物かを凝視することより、そのリンクを使わずに確認することです。
たとえば「Googleアカウントに異常があります」というメールが届いたら、メール内のボタンは押しません。普段使うGoogleアプリを開くか、自分のブックマークからGoogleアカウントへ入り、警告が本当に出ているか確認します。
銀行なら公式アプリを開く。宅配便なら公式サイトへ自分で入る。会社や家族から不自然な依頼が来たら、既知の電話番号や別のチャットで確認する。
同じメッセージへの返信は、相手のアカウント自体が乗っ取られている場合に確認になりません。別経路を使うことが重要です。
HTTPSの鍵マークがあっても、相手が安全とは限らない
HTTPSは、あなたの端末とWebサイトの間の通信を暗号化します。暗号化とは、途中で通信を見られても内容を読みにくくする仕組みです。
しかし、詐欺サイトもHTTPSを使えます。
鍵マークは「この相手との通信は暗号化されている」という意味であり、「この店は本物」「この会社は善良」という保証ではありません。
強い玄関を作っても、復旧用の裏口が弱ければ危ない
物理セキュリティキーやパスキーを設定すると、普段のログインはかなり強くなります。
しかし、アカウントには通常ログイン以外の入口があります。ログインできなくなった本人が戻るための復旧手段も、アカウントへ入る入口の1つです。
復旧用メール
復旧用電話番号
バックアップコード
別のパスキー
信頼済み端末
ログイン済みのブラウザ
サポート窓口での本人確認
家にたとえると、正面玄関へ非常に強い鍵を付けても、勝手口の管理が弱ければ、家全体が安全とは言えません。
たとえば、重要なGoogleアカウントに強い認証を設定していても、その復旧用メールが「使い回しのパスワードだけ」で守られていたら、攻撃者は復旧用メールから狙うかもしれません。
ただし、復旧用メールを読めるだけで、必ず重要アカウントを奪えるわけではありません。サービスによっては追加の本人確認や待機期間があります。
ここでの教訓は「復旧方法を全部消す」ではありません。
復旧方法をなくしすぎると、スマホの紛失やキーの故障時に、自分自身が永久に戻れなくなる可能性があります。
必要なのは、復旧経路も通常ログインと同じように守ることです。
復旧用メールにも固有パスワードと強いMFAを設定する
使えなくなった電話番号やメールを登録したままにしない
バックアップコードをチャットや通常の写真フォルダへ置かない
予備の認証手段を、普段使う端末とは別の安全な場所へ保管する
ログイン中の端末を定期的に確認する
アカウントの安全性は、一番強い入口ではなく、一番弱い入口に引っ張られます。
ログインした後は、セキュリティキーだけでは守れない
パスキーや物理キーは、ログイン時の本人確認を強くする仕組みです。パスワードを知っているだけではログインできない状態にし、本人以外のログインを防ぎやすくします。
では、一度ログインした後はどうでしょうか。
Webサービスは、毎回パスワードやキーを求めると不便です。そのため、ブラウザやアプリには「この人はログイン済み」という情報が保存されます。これがセッションです。
もしPCがマルウェアに感染し、有効なセッション情報が盗まれた場合、状況によっては攻撃者がログインを再現できることがあります。
このとき、攻撃者は最初からログインを試すわけではありません。そのため、物理キーだけでは防ぎきれない場合があります。
だから、認証を強くした後も端末の保護が必要です。
OS、ブラウザ、アプリを更新する
公式サイトや公式ストア以外から、よく分からないソフトを入れない
不要なブラウザ拡張を削除する
スマホとPCに画面ロックを設定する
端末の暗号化を有効にする
ログイン中の端末やセッションを確認する
端末を紛失したときの検索・遠隔ロックを準備する
「MFAを入れたから、もう端末は何をしても安全」ではありません。MFAは、複数の方法で本人確認を行う仕組みです。ログインの前と後では、守る方法が違います。
端末の更新は、地味だけど非常に強い
ソフトウェアの更新には、新機能だけでなく、見つかった弱点を塞ぐ修正が含まれます。
攻撃者は、すでに修正方法が公開されている古い弱点を探します。更新を長く止めることは、直せる穴を開けたままにすることです。
次の自動更新を確認してください。
iPhone、AndroidのOS
Windows、macOS
Chrome、Safari、Edge、Firefox
メール、チャット、PDF閲覧、オンライン会議のアプリ
パスワードマネージャー
家庭用ルーター
更新前には重要データのバックアップを取り、サポートが終了した古い端末やルーターは交換を検討します。
スマホを盗まれたときの対策も重要です。画面ロックだけでなく、通知画面に認証コードやメール本文を表示しすぎない設定、紛失時の検索、遠隔ロックを確認します。
iPhoneを使っている場合は「盗難デバイスの保護」も確認できます。これは、端末を盗んだ人がパスコードまで知っている状況で、重要な変更に生体認証や待機時間を追加する仕組みです。
公共Wi-Fiは全部危険？ VPNは必須？
公共Wi-Fiについては、古い情報と新しい情報が混ざっています。
以前は、暗号化されていないWebサイトが多く、同じWi-Fiにいる人へ通信を見られる危険が今より大きくありました。
現在は多くのWebサイトとアプリがHTTPSを使うため、公共Wi-Fiへ接続しただけで、すべてのパスワードが見えるわけではありません。FTCも、暗号化の普及により公共Wi-Fiは通常、安全に利用できると説明しています。
それでも、注意点は残ります。
店名に似せた偽のアクセスポイントへ接続する
暗号化されていない古いサイトやアプリを使う
HTTPSの詐欺サイトへ自分で情報を渡す
端末側が古く、共有設定が開いたままになっている
Wi-Fiのログイン画面を装った偽ページにだまされる
銀行、証券、重要な管理画面などを操作するとき、不安ならスマホのモバイル回線やテザリングを使うのが分かりやすい対策です。
VPNは、端末からVPN事業者までの通信経路を保護します。会社の内部ネットワークへ安全につなぐ用途などでは重要です。
しかし、VPNは万能な安全装置ではありません。
VPNを使っていても、偽サイトへパスワードを入力すれば盗まれます。マルウェアを実行すれば感染します。弱いパスワードは弱いままです。
「VPNを入れたから何を開いても安全」ではなく、VPN事業者を新たな通信の預け先として信頼することにもなります。
自宅のWi-Fiで確認すること
WPA3、またはWPA2を使っている
ルーター管理画面の初期パスワードを変更している
ルーターの更新が有効になっている
不要な遠隔管理機能を開いていない
来客やIoT機器はゲストネットワークへ分ける
WEPや古いWPAしか使えないルーターは交換を検討する
バックアップは「侵入を防ぐ対策」ではなく「戻るための対策」
セキュリティというと、侵入を防ぐことばかり考えがちです。
しかし、端末は故障します。操作を間違えて消すこともあります。ランサムウェアでファイルを暗号化されることもあります。クラウド上のデータを誤って消し、同期によって他の端末からも消えることもあります。
そこで必要なのがバックアップです。
覚えやすい考え方に「3-2-1」があります。
重要データを3つ持つ
2種類の媒体や保管方法へ分ける
1つは別の場所に置く
たとえば、PCの元データ、外付けストレージ、クラウドのバックアップという組み合わせです。
大切なのは、同じPCにつなぎっぱなしの外付けディスクだけで安心しないことです。端末ごと暗号化されたり、盗難や災害で一緒に失ったりする可能性があります。
クラウド同期とバックアップも同じではありません。
同期は、複数端末で同じ状態を保つ仕組みです。誤って削除した状態まで同期される場合があります。過去の版へ戻せるか、削除から復元できるか、保持期間はどれくらいかを確認してください。
そして、バックアップは「作成成功」と表示されただけでは完成ではありません。
実際に小さなファイルを一つ戻してみて、復元できることを確認して初めて役に立ちます。
物理セキュリティキーは、誰に必要なのか
ここまでの対策を整えてから、物理セキュリティキーを考えます。
物理セキュリティキーは、見た目はUSBメモリに似ていますが、写真や書類を保存する道具ではありません。ログインするときに、「この実物を手元に持っている」と証明するための認証器です。
FIDO対応のセキュリティキーは、FIDOという偽サイト対策に強い認証方式に対応したキーです。正しいサービスのドメイン、つまり本物のWebサイトの住所に結びついて認証するため、偽サイトへ認証情報を渡す攻撃に強い特徴があります。
全員が買う必要はない
一般的な個人利用で、次ができているなら、まずは十分に強い土台があります。
パスワードの使い回しがない
メインメールにパスキーまたは強いMFAがある
スマホやPCのパスキーを使っている
端末の更新と画面ロックができている
復旧方法とバックアップを確認している
MFAは、多要素認証のことです。パスワードだけでなく、パスキーや認証アプリのコードなど、別の確認方法も組み合わせてログインを守る仕組みです。
この状態なら、物理キーを追加購入する利益が小さい人もいます。全部を完璧にする必要はなく、被害が大きくなりやすい入口から閉じていくことが大切です。
導入を検討する価値が高い人
SNS、YouTube、ECなど、アカウントが仕事や収益に直結する
会社の管理者権限や顧客情報を持っている
GitHub、クラウド、ドメイン、決済の管理者である
医療、法務、財務など、機密性の高い情報を扱う
著名人、記者、活動家など、狙われる可能性が高い
多額の資産や暗号資産を管理している
普段使うスマホとは独立した認証器を持ちたい
物理キーの価値は、「毎回USBを挿す儀式」にあるのではありません。
スマホやPCとは別の、独立した認証器を持てることにあります。重要なアカウントへ、偽サイトに強いログイン方法を追加できる点が大切です。
一度ログインした信頼済み端末では、毎回キーを求められないサービスもあります。利用頻度は、サービス側の設定や危険度判定によって変わります。
物理キーを買うなら、機種より先に運用を決める
購入時には、次を確認します。
端子と接続方法
PCがUSB-AかUSB-Cかを確認します。スマホでも使うなら、かざして使えるNFCに対応しているかも確認しましょう。
変換アダプターを使うのかも含めて、普段使う端末を全部書き出してから選びます。
必要な機能
WebサイトのFIDO認証だけが目的なら、FIDOに特化した廉価モデルで足りる場合があります。
認証アプリの6桁コード、PIV、OpenPGPなど、別の機能まで必要なら多機能モデルを検討します。機能が多いほど自分に合うとは限りません。
パスキーの保存数とファームウェア
本体に保存できるパスキー数は、製品とファームウェアで違います。ファームウェアは、キー本体を動かすための内部ソフトウェアです。
YubiKeyのように、購入後にファームウェアを更新できない製品もあります。そのため、購入時点の公式仕様を確認します。
購入先
認証器は、本人確認の根幹になります。公式ストアまたは正規代理店から購入します。
必ず予備を用意する
物理キーは、紛失、故障、破損が起こります。
メインと予備の2本を用意し、両方を各サービスへ登録してください。2本買っても、予備を登録していなければ、紛失時のログインには使えません。
予備キーは、メインキーと同じ鍵束や鞄に入れません。自宅の安全な場所など、同時に失わない場所へ保管します。
バックアップコードも安全に保管し、紛失したキーは、別の登録済み手段でログインしてすぐ解除します。
Apple Accountのように、物理キーを使うため最低2本を求めるサービスもあります。すべての信頼済み端末とキーを失うと、永久に戻れない可能性もあるため、導入前に復旧条件を読みます。
SNSと個人情報は、詐欺を「自分向け」にする材料になる
セキュリティ対策は、ログイン設定だけではありません。
SNSに公開した情報は、詐欺メッセージを自然にする材料になります。
誕生日
家族構成
勤務先と役職
よく使うサービス
旅行中であること
ペットの名前
学校名や旧姓
自宅周辺が分かる写真
これらは、セキュリティ質問の答え、本人確認の会話、家族になりすます詐欺、パスワードの推測に使われる可能性があります。
すべてを非公開にする必要はありません。ただし、「公開している情報を組み合わせると、知らない人がどこまで自分を説明できるか」を一度確認してください。
友人から届いたメッセージでも、安心しないことが大切です。その友人のアカウントが乗っ取られているかもしれません。
送金、認証コード、電話番号変更、ファイルの実行を求められたら、別の方法で本人へ確認します。
AIを使うときに、絶対に貼らないもの
AIチャットは便利ですが、秘密情報の保管庫ではありません。
少なくとも、次のものをそのまま貼らないでください。
パスワード
SMSや認証アプリのコード
バックアップコード、復旧コード
パスワードマネージャーのEmergency KitやSecret Key
APIキー、アクセストークン、秘密鍵
本人確認書類の全画像
クレジットカード番号や銀行情報
未公開の顧客情報、医療情報、契約情報
Emergency KitやSecret Keyは、パスワードマネージャーを復旧したり、本人確認したりするための重要な情報です。APIキー、アクセストークン、秘密鍵も、サービスやシステムへアクセスするための鍵になる情報です。
エラーをAIへ相談したいときは、秘密部分を伏せ、再現用のダミー値へ置き換えます。
また、人間のGoogleやGitHubアカウントを物理キーで守っても、すでにAIエージェントへ渡したAPIトークンは自動で保護されません。
人間のログイン、AI用の認証情報、PCやサーバーの権限は、別々の入口です。
AI用のキーは用途ごとに分け、必要最小限の権限と有効期間にし、漏えいが疑われたら無効化して作り直します。
AIによって偽メール、偽音声、偽画像が自然になっても、基本対策は同じです。急がされたときほど、別経路で確認します。
もし怪しいリンクを開いたら、何をすればいい？
失敗をゼロにすることはできません。大切なのは、気づいた後に早く動くことです。
開いただけで、何も入力・実行していない
ページを閉じます。ダウンロード履歴を確認し、見覚えのないファイルが保存されていないかを見ます。ブラウザやOSを更新し、必要ならセキュリティスキャンを行います。
パスワードを入力した
メールのリンクではなく、公式アプリまたは自分のブックマークから正規サイトを開き、すぐにパスワードを変更します。
同じパスワードを他で使っていたら、そちらも変更します。ログイン中の端末と履歴を確認し、不審な端末をログアウトさせます。
認証コードを入力した、または承認を押した
パスワード変更だけで終わらず、ログイン済みセッション、登録されたMFA、復旧用メール、電話番号、転送設定を確認します。
ファイルやアプリを実行した
端末をネットワークから切り離し、別の安全な端末から重要アカウントを守ります。会社の端末なら、自己判断で痕跡を消さず、すぐに管理者へ連絡します。
お金や個人情報を渡した
金融機関、カード会社、利用したサービスへ速やかに連絡します。日本では警察のサイバー相談窓口や、消費者ホットライン188も利用できます。
今日30分で終わらせる、優先順位つきチェックリスト
全部を一日で完璧にする必要はありません。次の順番で進めてください。
1. メインメールを守る
固有のパスワードにする
パスキーまたはMFAを有効にする
復旧用メール、電話番号、ログイン中端末を確認する
2. パスワードマネージャーを使う
重要アカウントの使い回しから解消する
マスターパスワードを長くする
パスワードマネージャー自体のMFAと復旧方法を確認する
3. 基盤アカウントへパスキーを設定する
Google
Apple
Microsoft
対応するSNSや仕事用サービス
4. 自動更新を有効にする
スマホ
PC
ブラウザ
主要アプリ
ルーター
5. 端末紛失へ備える
画面ロック
端末暗号化
紛失時の検索と遠隔ロック
通知画面の表示内容
6. バックアップを確認する
重要な写真と書類の保存先
過去の版や削除データへ戻せるか
小さなファイルで復元テスト
7. 必要な人だけ物理キーを検討する
乗っ取り時の被害が大きいアカウントを特定する
自分の端末に合う接続方法を確認する
メインと予備の2本を、両方登録する
復旧条件を確認する
安全は「強い道具」より「弱い入口を放置しない習慣」から
ネットセキュリティには、絶対に破られない魔法の道具はありません。
長いパスワードだけでは、偽サイトへの入力を防げません。物理セキュリティキーだけでは、ログイン後の端末侵害を防げません。VPNだけでは、詐欺サイトを本物に変えられません。バックアップだけでは、アカウントの乗っ取りを止められません。
それぞれの対策には、守る場所があります。
だからこそ、難しい設定を一気に全部行う必要はありません。
まずメインメールを守る。パスワードの使い回しをなくす。利用できるならパスキーを使う。端末を更新する。復旧方法を確認する。重要データを戻せるようにする。
その土台を作ったうえで、仕事や収益、顧客情報、管理者権限を持つ人は、物理セキュリティキーを追加します。
今日の最初の一歩は、メインメールのセキュリティ画面を開くことです。
知らない端末がないか。使えない復旧先が残っていないか。2段階認証またはパスキーが有効か。
その3点を確認するだけでも、ネット上の大切な入口を一つ、確実に強くできます。
