パスワードマネージャーとは何か

なぜ必要なのか

パスワードを使い回すと、一つのサービスで漏れた認証情報が、別のサービスへのログイン試行に使われる可能性があります。

このような自動ログイン試行は、一般にパスワードリスト攻撃と呼ばれます。

サービスごとに異なるパスワードを設定すれば連鎖の条件を減らせますが、人がすべてを暗記する運用は続けにくいものです。

パスワードマネージャーは、覚える情報を減らしながら、サービスごとのパスワードを分けるために使います。

JPCERT/CCも、パスワード管理のために信頼できる専用ツールを使い、IDとパスワードを保存する方法を案内しています。

便利な点と限界

安全性を確認する仕組み

ブラウザ内蔵機能と専用製品

ブラウザやOSには、ログイン情報を保存して自動入力する標準機能があります。

追加の契約やアプリを増やさずに始められる一方、対応ブラウザ、同期範囲、共有、復旧、監視機能は環境によって異なります。

専用サービスは、複数ブラウザや複数OSで使う場合、保管庫の共有やセキュアメモが必要な場合に候補になります。

その代わり、マスターパスワード、契約、復旧、サービス提供者への依存が増えます。

ブラウザ内蔵機能と専用製品のどちらが上位ということではありません。

使う端末、ブラウザ、家族やチームとの共有、復旧方法を先に決めて選びます。

確認する保存先と同期の条件

Googleは、Chromeにログインしている場合にGoogleアカウントへパスワードを保存でき、ログインしていない場合は端末にローカル保存すると案内しています。 ログインしていることだけで、確認したい項目がすべてそのアカウントに保存済みとは判断せず、使ったChromeのプロフィールと対象の保存項目を確認します。 Googleの保存先の説明に基づきます。

passwords.google.comで管理するのはGoogleアカウントに保存された情報です。 そこに対象がない場合は、保存に使ったChromeと端末も確認してください。

Appleは、同じApple Accountでサインインし、iCloud設定のパスワードとキーチェーンがオンになっている場合に、他の端末でも保存情報を使えると案内しています。 アプリを開けることと、同期できていることは別に確認します。 Appleのパスワードの案内で、使っているOSの条件を照合してください。

Googleの保存一覧とチェックを開く

パソコンのChromeの場合

1. 本人が保存に使ったChromeのプロフィールで、右上のその他アイコン→パスワードと自動入力→Google パスワード マネージャーを開きます。
2. 対象のサービスとユーザー名の項目があるか確認します。
3. 左側のCheckupを開き、漏えいや推測されやすさについて表示される結果を確認します。

PC版Chromeの公式手順では、日本語の本文でもCheckupと表記されています。

AndroidのChromeの場合

1. 本人のAndroid端末でChromeを開き、右上のその他アイコン→設定→Google パスワード マネージャーを開きます。
2. 保存した対象のサービスとユーザー名を確認します。
3. 同じマネージャーのチェックアップを開き、表示された結果を確認します。

Android版Chromeの公式手順に基づきます。 警告がある場合は、対象サービスでの変更へ進みます。

保存した情報の自動入力と、自動ログインの設定は別です。 保存一覧とチェックを確認するために、自動ログインをオンにする必要はありません。

iPhoneの保存一覧とセキュリティを開く

1. iOS 18以降でパスワードアプリがある場合は、そのアプリを開きます。 iOS 17以前では設定→パスワードを開きます。
2. 求められた場合は、本人のFace ID、Touch ID、端末のパスコードで解除します。
3. アプリではすべてなどのカテゴリから対象のサービスを探します。 iOS 17以前の設定では、対象のWebサイトまたはアプリを選びます。

Appleの保存済み情報を調べる案内に基づきます。 対象がない場合は、アプリのすべてと、保存に使ったApple Account、端末、iCloudキーチェーンの状態を照合します。

次は、取得したiOS 27版ガイドにあるセキュリティ確認の例です。

1. パスワードアプリのセキュリティを開きます。
2. 問題の説明と対象のアカウントを確認します。
3. 対応する場合は対象を開いてパスワードを変更から、そのWebサイトまたはアプリ側で変更します。

AppleのiOS 27版セキュリティの案内に基づきます。 取得版と異なるOSや、メニューが表示されない場合は、公式ガイドで使っているOSの版を確認してください。

GoogleとAppleのチェックで警告が表示されなくても、漏えいや侵害がないと保証するものではありません。 警告を非表示にすることは、対象サービスのパスワードを変更することとは別です。

選定基準

確認できた製品の比較

次の表は、各社の公式資料で確認できた機能だけを整理したものです。

製品名や料金を先に決めると、必要な復旧手段や対応端末を見落としやすくなります。

先に要件を決め、候補にした製品の公式仕様、規約、監査資料を同じ項目で確認してください。

公式資料で確認できない暗号化範囲、監査、料金、無料プラン、保存上限は、製品の特徴として断定せず、申込み画面と公式規約で確認します。

無料プランと有料プラン

無料プランでも、パスワードの生成、保管、自動入力などの基本機能を使える製品があります。

一方で、端末数、共有、漏えい確認、ファイル添付、サポート、復旧方法に制限が設けられる場合があります。

有料プランの料金だけでなく、解約後に保管庫へアクセスできるか、データを書き出せるか、共有がどう変わるかを確認します。

無料か有料かを先に決めず、必要な機能と復旧条件がそろうプランを選びます。

導入、移行、復旧の準備

内蔵の保管を使い続ける場合は、新しい専用サービスを作らず、使っている保存先と復旧手段を確認します。

1. 使う端末とブラウザ、保存先のアカウント、優先して保護するサービスを決めます。
2. 保存先のアカウントや端末の認証と復旧手段を確認します。 多要素認証、予備端末、復旧コードは、その製品やアカウントが提供するものを使います。
3. メール、金融、決済、クラウドなど影響の大きいサービスで、使い回しや警告があるものから固有のパスワードへ変更します。
4. サービス側での変更後に、保存内容と自動入力の接続先を確認します。

新しい専用製品へ移行する場合の準備

1. 対応端末と復旧条件を確認した製品を選び、公式サイトや公式アプリから必要なアカウントを作成します。
2. その製品がマスターパスワードを採用する場合は、使い回さない文字列を設定し、製品の認証と復旧手段を確認します。
3. 移行元と移行先の公式手順を確認し、必要な情報だけを移します。 移行後は対象の保存項目と自動入力の接続先を確認します。

CSVなどの一時ファイルを使うのは、必要と判断した公式の移行手順が求める場合だけです。 認証情報を読める形式のファイルは、メールや共有先へ送らず、安全な本人の端末で扱います。 移行結果を確認した後は、不要になった一時ファイルを公式案内に沿って片付けます。 移行の確認だけを目的に、保存情報を全件書き出す必要はありません。

インポートや自動入力の手順は、製品、OS、ブラウザによって異なります。

画面名を古い記事だけで判断せず、利用中の製品の公式ヘルプで確認してください。

対象サービス側でパスワードを変更する

1. チェックに表示されたサービス名とユーザー名が、本人の対象アカウントであることを確認します。
2. 対象サービスの公式アプリや、確認した公式サイトのアカウント設定へ進みます。 Appleでパスワードを変更を使う場合も、移動先を確認します。
3. そのサービスの正式な変更手順を完了します。 同じパスワードを使っていた別のサービスも、それぞれ異なるパスワードへ変更します。
4. サービス側の変更完了表示や通知を確認してから、保管した情報の再確認へ進みます。

GoogleとAppleは、対象のWebサイトやアプリ側でパスワードを変更するよう案内しています。 保管庫に保存した文字列を編集しただけでは、サービス側のパスワードを変更したことにはなりません。

保存内容とチェックを再確認する

• 変更したサービスとユーザー名の保存項目を、同じ保存先で開き直します。
• 変更時の保存や更新が反映されているか確認します。 自動反映されていない場合は、その保存先の公式手順で対象の項目を更新します。
• 自動入力を使うときは、公式の接続先と、選ばれたユーザー名を確認します。
• チェックを再表示して、残っている警告と、まだ変更していないサービスを確認します。

確認のために、パスワードの文字列をスクリーンショットやメモへ写す必要はありません。 保存一覧を開けること、サービス側の変更が完了したこと、警告の表示は別に記録します。

表示が判断できない場合は、使っているOSとブラウザ、保存先のアカウント、対象サービスを確認し、GoogleまたはAppleの公式案内へ進みます。 サービス側でログインや変更ができない場合は、そのサービスの公式復旧手順を使います。

保護できない問題

パスワードマネージャーは、認証情報を分けて管理する助けになります。

次の問題を単独で解決する機能ではありません。

• 端末のマルウェアによる画面、クリップボード、保管庫の窃取
• 偽サイトへのログインや自動入力
• メールやSMSで認証コードを渡す行為
• サービス側のデータ侵害そのもの
• マスターパスワードや復旧手段の漏えい
• ログイン後のセッションやCookieの盗用
• 端末の紛失、盗難、覗き見

パスワードマネージャーは、端末更新、多要素認証、フィッシング対策、復旧手段の保管と組み合わせて使います。