パスキーを設定して終わりにしない。
中小企業のアカウント管理を見直す

01会社のアカウントを、誰が復旧できるか

ある会社の、架空の場面から始めます。

社長が新しいスマートフォンに買い替えた翌週、経理担当から「会計ソフトに入れません」と連絡が来ました。会計ソフトのログインは、数年前に社長が自分のGoogleアカウントで登録したものです。確認コードは古い端末に届く設定のままで、その端末はすでに下取りに出していました。会社のドメインを管理する画面も、ホームページを作った元社員の個人メールで登録されていることが、このとき初めて分かります。

誰かが攻撃したわけではありません。それでも、請求書の発行は止まり、復旧の手続きに数日かかります。会社のアカウントは、守りが弱いときだけでなく、持ち主と戻し方が決まっていないときにも業務を止めます。

2026年10月2日、SBI証券は、フィッシング等でGoogleやApple等のアカウント情報が第三者に不正取得され、クラウド上に保存されたパスキーやパスワードのメモが悪用されることで、証券口座への不正ログイン・不正取引が行われた疑いのある事案が確認されているとして、注意喚起を出しました^[1]。日本証券業協会からの会員向け通知に基づくもので、当該事案についてSBI証券の証券口座での被害は確認されていないと説明されています。詳しい手口は公表されていません。

この案内が利用者に求めたのは、GoogleやAppleのアカウントに強い2段階認証を設定すること、復旧に使うメールアドレスや電話番号が本人のものか確かめること、「パスキーを再登録してください」といったSMSのリンクを開かないことでした。日本証券業協会も、パスキーをクラウドにバックアップする場合はAppleやGoogleのアカウントも厳重に管理するよう呼びかけています^[2]。

つまり、ログインの仕組みが強くなっても、その鍵を預けている場所と、なくしたときの戻し方は利用者側の管理として残ります。会社でも同じです。

02パスキーで守れることと、別に管理すること

パスワードは、本人と相手のサービスが同じ文字列を知っていることで本人を確かめます。そのため、偽サイトに入力すれば盗まれますし、別のサービスで漏れた文字列が使い回されることもあります。

パスキーは、文字列を覚えて入力する仕組みではありません。スマートフォンやパソコン、セキュリティキーに保存された鍵を使い、端末のロックを解除するのと同じ操作でログインします^[3]。鍵は登録したサービスに結びついているため、よく似た偽サイトでは働かない仕組みになっています^[4]。指紋や顔で本人確認をする場合も、その情報は端末の中で処理され、サービス側には「端末で本人確認が済んだ」という結果だけが届きます。顔や指紋そのものが送られるわけではありません^[3][5]。

Googleアカウントでパスキーを使うと、2段階認証の2つ目の確認画面が出ないことがあります。これは多要素認証が外れたのではなく、端末を持っていることの確認がパスキーに組み込まれているためだと説明されています^[5]。

保存の方式は大きく2つあります。AppleのiCloudキーチェーンやGoogleパスワードマネージャーのように、同じアカウントの端末間で同期する方式と、セキュリティキーのように特定の機器から出ない方式です^[3]。同期はエンドツーエンドで暗号化されており、Appleは自社も中身を読めないと説明しています^[4][6]。Googleパスワードマネージャーの場合、新しい端末にパスキーを戻すには、Googleアカウントへのログインに加えて、既存の端末の画面ロックが必要です^[7]。同期する方式は、機種変更や紛失のときに鍵を失わずに済むという利点があり、一律に避けるものではありません。

それでも、別に管理すべきものは残ります。Googleは、パスキーを作成した端末について、ロックを解除できる人なら誰でもアカウントにアクセスできると注意しています^[5]。端末の画面ロックが弱い、同期先のアカウントが退職者の個人IDのまま、代わりのログイン方法に古いパスワードが残っている、ログインした後に誰でも送金先を変えられる。どれも、パスキーの仕組みとは別の場所で起きる問題です。なお、一度ログインすると、しばらく再ログインなしで使える状態が保たれます。この「ログイン済みの状態」も、端末を誰が使えるかとあわせて管理する対象です。

03中小企業では、アカウントの問題がどの業務に影響するか

従業員30人ほどで、専任の情報システム担当がいない架空の会社を考えます。総務部長が兼任で社内のIT窓口を担い、経理は2人、営業は外出が多くスマートフォン中心で働いています。

表の右側は、どれも一つの操作で起きるわけではありません。たとえばメールが乗っ取られても、法人ネットバンキングで送金するには、通常は別の認証や承認が必要です。だからこそ、どこにどの確認があるかを把握しておく意味があります。

この会社で起きやすいのは、むしろ次のような状態です。会計ソフトやドメインが個人のIDで登録されている。全員が管理者権限を持っている。退職した営業担当のアカウントが、顧客管理システムに残っている。管理画面に入れる人が一人しかおらず、その人が休むと誰も設定を戻せない。これらは攻撃の有無にかかわらず、ある日の業務停止や、異常に気づくのが遅れる原因になります。

04会社で確認する7つのこと

1. 重要アカウントを把握する

止まると困るアカウントと、お金や管理者権限に関わるアカウントを書き出します。メールの管理者、会計、法人ネットバンキング、ドメイン、主要な業務SaaSの管理者が候補です。総務部長が各部門に聞き取り、サービス名・契約名義・管理者・登録メールアドレスが一覧になれば確認完了です。台帳の形はIPAの「資産管理台帳（サンプル）」も参考になります^[8]。

2. 認証と代替の入口を確認する

各サービスで、パスキーなど対応している強い認証を設定します。そのうえで、パスワード、SMS、復旧用メールといった代わりの入口が何として残っているかを確認します。Googleアカウントでは、パスキーを追加しても既存の認証や復元の手段は残り、パスワードでのログインも引き続き可能です^[5]。

代わりの入口を閉じる設定は、本人が別の方法で確実にログインでき、復旧方法と業務への影響を確かめてから判断します。Google Workspaceでパスキーだけのログインを許可するかは管理者の設定で、利用できるエディションも限られます^[9]。証券会社の個人向けの制限設定にも、法人口座では使えないものがあります^[10]。個人向けの設定手順を、会社のアカウントにそのまま当てはめないようにします。

3. 端末と保存先を管理する

認証に使う端末と、パスキーやパスワードの保存先を把握します。会社のアカウントのパスキーが、社員の私物スマートフォンの個人IDに同期されていないか。画面ロックが設定され、OSが更新されているか。共有端末でパスキーを作っていないか^[5]。退職や機種変更のとき、端末を返却し、登録済みのパスキーとログイン状態を消したかを確認します。

追加の選択肢として、Microsoft Entra ID（Microsoft 365のサインイン基盤）では、管理者や役員のグループだけ特定の機器に保存するパスキーに限るといった使い分けができます^[11]。iPhoneの「盗難デバイスの保護」は、よく知っている場所の外でパスキー等を使う際に生体認証を求めるiPhoneの機能です。組織で管理するアカウントでの扱いは公式ページに記載がありません^[12]。端末管理ツールは台数が増えた段階で検討します。いずれも費用と運用の手間がかかるため、まずは管理者アカウントから優先します。

4. 復旧方法と責任者を決める

ログインできなくなったときに誰が戻すかを、サービスごとに決めます。Google Workspaceは特権管理者を複数用意して別の人が管理すること^[13]、Microsoftは緊急用の管理者アカウントを2つ以上、通常とは別の認証方法で用意し、定期的に使えるか確かめることを推奨しています^[14]。

中小企業では、eapの運用例として、社長と総務部長など別々の2人が管理者に入っている状態を目安にしています。復旧用のメールアドレスと電話番号が会社で管理するものか、担当が替わったときの引き継ぎ手順があるかも確認します。

5. 権限と重要操作の承認方法を見直す

ログインを強くしても、入った後に誰でも何でもできる状態では影響が大きくなります。共有IDをやめて一人ずつのIDにし、管理者権限は必要な人に絞ります^[13]。法人ネットバンキングでは、振込の申請と承認を別の人が行う設定や、振込先の新規登録・変更に承認が要る設定があるかを確認します。対応範囲は銀行と契約内容で異なるため、経理責任者が取引銀行の案内で確かめ、設定状況を一覧に残せば完了です。

6. 日常の利用ルールを決める

パスワードを使い回さない。お金や管理者の操作は、メールやSMSのリンクからではなく、ブックマークや公式アプリから自分で開く。パスキーの再登録やログイン設定の変更を求める連絡が来たら、その場で手続きせず、担当者に確認する^[1][2]。この3点を全社員に1枚で伝えます。

追加の選択肢として、金融サービスの登録には普段の連絡に使わないメールアドレスを分ける方法があります。分けた場合は、そのメールを誰が確認し、担当交代時にどう引き継ぐかを決めておかないと、通知が誰にも届かない状態になります。

7. 異常に気づき、止められる状態にする

ログイン通知、送金通知、設定変更の通知を、誰が受け取るかを決めます。不審な通知を見たときの連絡先と、最初に行う操作も書いておきます。Googleアカウントであれば、紛失した端末のパスキーを削除し、デバイス一覧からログアウトさせる操作があります^[5]。

証券会社などには、ログインや取引を一時的に止める機能もあります。ただ、停止中でも積立の注文が実行されたり、出金は可能なままだったりと、止められる範囲はサービスごとに違います^[10][15]。自社が使うサービスで何を止められるかを、事前に確認しておきます。

05最初の30分で、確認する対象と担当を決める

初回の点検で、すべてを安全な状態にする必要はありません。最初の30分で決めるのは、確認する対象と担当です。以下はeapが提案する進め方の一例で、公的な基準ではありません。会社の規模や業種に合わせて変えてください。

• 当日（30分）：止まると困るアカウントを5つ選び、点検表に書く。担当者を決め、分からない項目に印を付ける。
• 翌週まで：印を付けた項目のうち、認証、復旧方法、管理者権限、通知の不足から対応する。
• 定期的・担当変更時：アクセス権、利用端末、連絡先、引き継ぎの状況を確認する。四半期に一度と、入退社・異動のときを目安にします。

06設定を、担当者が変わっても続く運用にする

パスキーは、パスワードの弱点をはっきり減らす仕組みです。設定できるサービスから使っていく価値があります。そのうえで、会社のアカウントには、持ち主、使う人、戻し方、異常時の担当を決めておく必要があります。設定は一度で終わりますが、人と端末は入れ替わり続けるからです。

点検表が一枚埋まると、自社でどのアカウントが一人に依存しているか、どこに戻し方がないかが見えてきます。そこが次に直すところです。

eapでは、業務の棚卸しから、誰が何を管理し、どこで承認するかの線引き、運用に乗せるまでをご一緒します。AI活用・業務実装、業務DX・自動化の支援を行っていますので、アカウントや権限の整理を業務の見直しと合わせて進めたい場合はご相談ください。