テック羅針盤
ツール活用

パスワード管理アプリの選び方と始め方

パスワード管理アプリを安全に選び、マスターパスワード、移行、復旧、多要素認証、家族共有まで順番に設定する方法を解説します。

公開日
  • #パスワード管理
  • #セキュリティ
  • #多要素認証
  • #アカウント保護

パスワード管理アプリは、サイトごとに異なる長いパスワードを作り、暗号化された保管庫に保存して、必要なログイン画面で呼び出すための道具です。覚える数を減らせる一方、保管庫へ入るための情報や復旧手段を雑に扱うと、複数のアカウントへ同時に影響する可能性があります。

安全に始めるコツは、最初から全パスワードを移すことではありません。自分の端末で動く製品を選び、保管庫への入口と復旧手段を先に固め、重要度の低いアカウントで動作を試してから、メールや金融など重要なアカウントへ進みます。本記事では、特定製品の順位ではなく、選んだ後にも使える確認手順を解説します。

パスワード使い回しの危険

同じパスワードを複数サイトで使うと、あるサイトから認証情報が漏れた際に、攻撃者がその組み合わせを別のサイトでも試せます。これは「パスワードリスト攻撃」や「クレデンシャルスタッフィング」と呼ばれる手口です。NIST（米国国立標準技術研究所）も、サービスごとに異なるパスワードを保つことが、この攻撃を避けるうえで重要だと説明しています。

だからといって、末尾の数字だけを変えた似たパスワードを量産しても、十分な分離にはなりません。人が暗記することを前提にすると、短くする、規則的に変える、メモを無防備に置くといった回避策が起きやすくなります。管理アプリの役割は、利用者に代わってランダムで重複しないパスワードを作り、対応するサイト名とともに保管することです。

ただし、管理アプリもソフトウェアであり、脆弱性や設定ミスの可能性はあります。英国NCSC（国家サイバーセキュリティセンター）は、保管庫が攻撃者にとって価値の高い標的になることをリスクとして挙げつつ、適切に選んで運用すれば利点がリスクを上回ると説明しています。「入れれば安全になる製品」ではなく、「使い回しをやめ、強い認証と安全な復旧を一か所で運用する仕組み」と捉えましょう。

なお、利用先がパスキーに対応している場合は、パスワードを新しく作る前にパスキーへの移行も検討できます。違いはパスキーはパスワードより安全？仕組みを解説で確認できます。

管理アプリの保存方式を知る

大きく分けると、保管庫を主に一台の端末へ置く方式と、クラウドを介して複数端末で同期する方式があります。ブラウザやOSに組み込まれた管理機能と、独立した管理アプリという分け方もありますが、「どこに保存され、どの端末から復号できるか」を確認する方が本質的です。

端末内を中心に保存する方式は、同期先のアカウントを遠隔から狙われる面を減らせます。一方、端末の故障や紛失に備えるバックアップが必要で、別のスマートフォンやパソコンからすぐ使いたい人には手間が増えます。

クラウド同期方式は、スマートフォンとパソコンなど複数端末で同じ保管庫を使いやすい反面、管理アプリのアカウント自体を強く守る必要があります。確認したいのは、「暗号化している」という一言だけではありません。端末上で暗号化してから同期するのか、復号に必要な鍵を誰が持つのか、提供会社が保管庫の内容を復旧できる設計なのか、通信中と保存中をどう保護するのかを公式文書で読みます。

復旧しやすさと、提供会社にも復号できない設計は、両立しない場合があります。本人だけが持つ鍵を失えば中身を戻せない設計は、第三者による復旧悪用を抑える反面、本人が締め出される危険を伴います。どちらが正解かではなく、復旧できる人、復旧時に必要な要素、復旧後に何が見えるかを把握することが大切です。

保存方式と運用負担のまとめ

主な選択肢向いている使い方導入前に確認する点
端末内を中心に保存主に一台で使い、自分でバックアップを管理できる端末故障時の復元方法、バックアップの暗号化、別端末への移行手順
クラウドで同期スマートフォンとパソコンなど複数端末で使う復号鍵を扱える主体、多要素認証、紛失端末の解除、障害時の利用方法
ブラウザ・OSの組み込み機能対応環境がほぼ一つにまとまっている別のOSやブラウザへの移行、書き出し形式、利用できる共有・監査機能
独立した管理アプリ複数のOSやブラウザをまたいで使う対応環境、自動入力の範囲、料金変更時や解約時の持ち出し方法

この表の区分は完全に排他的ではありません。たとえば、ブラウザ組み込み型でもクラウド同期する製品があります。製品名だけで判断せず、自分が使う環境で「保存・同期・復旧・書き出し」がどう動くかを確認してください。

選ぶときの確認項目

無料か有料か、知名度が高いかだけで決めず、次の項目を候補ごとに確認します。料金や無料枠、対応機能は変わるため、導入時点の公式料金表とサポート文書を見てください。

  • 普段使うOSとブラウザのすべてに対応し、自動入力が使えるか
  • 保存中と通信中の暗号化方式、復号鍵を扱える主体が説明されているか
  • 管理アプリのアカウントに多要素認証を設定できるか
  • マスターパスワードを忘れた場合と、端末を失った場合の復旧方法が区別されているか
  • データを書き出せるか、書き出したファイルが平文になるか
  • セキュリティ更新の提供方法と、脆弱性の報告窓口が明示されているか
  • パスワード生成、重複検出、漏えい確認、共有のうち必要な機能があるか
  • 解約や製品変更の際に、データを別製品へ移せるか

自動入力では、保存したドメインと一致するサイトだけに候補を出すことが重要です。見た目が本物そっくりでも、ドメインが異なる偽サイトで候補が出なければ、フィッシングに気づく手掛かりになります。ただし、自動入力だけで偽サイトを必ず防げるわけではありません。ログインを急がせるメールやSMSから直接開かず、公式アプリや保存済みブックマークから入りましょう。

仕事用の認証情報は、勤務先の規則を優先します。個人用保管庫へ勝手に入れると、退職時の削除、監査、共有、端末管理のルールと衝突する可能性があります。個人用と仕事用の保管庫を分けられるかも選定項目です。

マスターパスワードを作る

マスターパスワードは、保管庫を開くために自分が覚える中心的なパスワードです。ほかのサイトでは使わず、過去に使った文字列も再利用しません。氏名、誕生日、住所、ペット名、好きなチームなど、身近な人や公開情報から推測できる材料は避けます。

作り方の一例は、互いに関係のない複数の単語を自分だけが覚えられる順に並べ、十分に長いパスフレーズにする方法です。単語を並べただけの有名な文句、歌詞、ことわざは候補から外します。文字種を増やすことだけに集中して短くするより、長さと予測されにくさを優先します。製品に独自の文字数や文字種の条件がある場合は、その条件にも従ってください。

作成したら、新しいマスターパスワードで端末を一度ロック・解除し、確実に入力できることを確認します。忘れる不安がある場合は、復旧情報と混同しない形で紙に記録し、自宅の施錠できる場所など、端末とは別の場所に保管する方法もあります。チャット、メール、自分宛てのクラウドメモ、保管庫内だけには残しません。

端末の画面ロックも設定し、OS、ブラウザ、管理アプリの自動更新を有効にします。共有端末や図書館などの公共端末では、保管庫へログインしたままにせず、パスワードを保存しないでください。

既存パスワードを安全に移す

移行は、一度にすべて書き出すより、少数のアカウントで試してから範囲を広げる方が、操作ミスを見つけやすくなります。

  1. まず、重要度の低いアカウントを一つ登録し、自動入力、端末間同期、ロック解除を試す。
  2. メール、通信会社、金融、通販、SNSなど、失った場合の影響が大きいアカウントを一覧にする。
  3. 使い回しているもの、漏えい警告が出たもの、短く推測しやすいものから、管理アプリが生成した固有のパスワードへ変更する。
  4. 変更のたびに一度ログアウトし、新しいパスワードで再ログインできるか確認する。
  5. サービス側の復旧用メールアドレスや電話番号が現在も使えるか確認する。
  6. 対応サイトでは、多要素認証またはパスキーも設定する。

ブラウザや別の管理アプリからまとめて移す場合、CSV形式で書き出すことがあります。CSVはパスワードが読める平文で保存される場合があり、その間は保管庫の暗号化で守られません。Googleの公式ヘルプも、インポート後にCSVファイルを削除しないと、端末へアクセスできる人がパスワードを読める可能性があると注意しています。

書き出しは自分の更新済み端末で行い、メール添付や一般的なクラウド共有フォルダへ置かないでください。インポート件数と主要項目を確認したら、移行用ファイルを削除します。元の管理アプリやブラウザからデータを消すのは、新しい環境で十分に試し、戻す必要がないと判断した後です。

復旧手段と多要素認証を整える

移行より先に、締め出されたときの戻り道を作ります。確認する場面は、マスターパスワードを忘れた、スマートフォンを紛失した、多要素認証用端末が壊れた、同期アカウントへ入れない、家族が本人の緊急時に必要な情報へアクセスする、の五つです。

クラウド同期型では、管理アプリのアカウントに多要素認証を設定します。利用できる方式は製品によって異なるため、認証アプリ、物理セキュリティキー、端末通知などの候補と、紛失時の復旧方法を公式文書で確認します。CISA（米国サイバーセキュリティ・社会基盤安全保障庁）は、多要素認証の方式には強度の違いがあり、利用できる中でより強い方式を選ぶよう案内しています。方式ごとの特徴は二要素認証の方式を比較も参考にしてください。

多要素認証の復旧コードが発行されたら、保管庫へ入れないと読めない場所だけに保存せず、紙や暗号化した別媒体など、端末とは別の安全な場所にも保管します。

設定後は「復旧できるはず」で終わらせません。現在のセッションを不用意に失わない範囲で、別端末への追加手順、復旧コードの所在、緊急連絡先、サポート窓口を確認します。本番の保管庫を初期化する試験は避け、公式の確認画面や予備端末の登録で備えを検証します。

多要素認証は被害の可能性を下げますが、復旧用メールが使い回しパスワードのままなら、そこが弱点になります。まずメールアカウントを固有のパスワードと多要素認証で守り、その後に管理アプリ、金融、通信会社、SNSの順で見直すと、復旧経路の土台から整えられます。

家族共有の注意点

家族で使う場合も、全員が同じマスターパスワードと一つの保管庫を使う運用は避けます。誰が何を見たか分かりにくくなり、一人の端末紛失や家族構成の変化が全員分へ影響するためです。基本は一人ずつアカウントと個人用保管庫を持ち、共有が必要な項目だけを製品の正式な共有機能で渡します。

共有候補は、家庭の動画配信、公共料金、共用端末などです。一方、個人のメール、金融、行政、医療、勤務先のアカウントは、本人以外との共有を前提にしない方が安全です。サービス規約で認証情報の共有が禁止されている場合や、家族メンバーを個別招待できる場合もあるため、サービス側の正式な家族・代理機能を優先します。

共有前に、閲覧できる人、編集できる人、追加できる端末、家族から外れたときの権限削除、緊急時のアクセス方法を決めます。子どもや操作に支援が必要な家族には、保管庫全体を渡すのではなく、必要な項目だけを共有し、フィッシング画面では自動入力候補が出ないことがある、と一緒に確認します。

最後に、導入後一週間ほどは旧環境を削除せず、日常的なサイトへ問題なくログインできるか確かめます。その後も、重複・漏えいの警告、登録端末、共有相手、復旧情報を定期的に見直します。パスワード管理アプリは、選んだ瞬間ではなく、固有のパスワードへ置き換え、復旧まで試して初めて役立つ仕組みです。

よくある質問

無料のパスワード管理アプリでも安全ですか？

無料か有料かだけでは判断できません。暗号化と鍵の扱い、多要素認証、更新履歴、脆弱性の報告窓口、データの書き出し方法を公式文書で確認し、必要な端末で実際に試してください。

マスターパスワードを忘れたら、保管したパスワードは戻せますか？

製品の設計によります。提供会社でも保管庫を復号できない製品では、復旧コードや登録済み端末を失うと戻せない場合があります。移行前に公式の復旧条件を読み、復旧情報を保管庫の外にも安全に残します。

ブラウザの保存機能と専用アプリは併用できますか？

技術的に併用できる場合はありますが、同じサイトに複数の自動入力候補が出たり、更新先が分からなくなったりします。試用期間を除き、主に使う保管先を一つ決め、移行完了後に重複を整理する方が管理しやすくなります。

パスワードをCSVで移した後はどうすればよいですか？

新しい保管庫へ必要な件数が入ったことと、主要アカウントでログインできることを確認してから、移行用CSVを端末から削除します。Google Chromeの公式ヘルプも、CSVを残すと端末の利用者が中のパスワードへアクセスできるため、インポート後に削除するよう案内しています。

管理アプリが漏えいしたら、すべてのパスワードを変える必要がありますか？

漏えいの範囲によります。提供会社の公式発表で、暗号化された保管庫、復号に関わる情報、個別の認証情報のどこまで影響したかを確認してください。保管庫の中身やマスター情報の侵害が疑われる場合は、まずメールなど復旧の起点から、固有の新しいパスワードへ順に変更します。

関連記事

一次情報の確認記録