企業の情報漏洩は止められない。だから1Passwordで「急所」を自分で決める

結論

• 企業からの漏洩は、利用者には防げません
• 利用者に防げるのは「漏れた1件が、ほかのサービスに波及すること」だけです
• そのために必要なのは、全サービスで別々のパスワード、できればパスキー
• 人間の記憶では無理なので、私は1Passwordに預けています
• ただし、預けた瞬間に急所は1Passwordアカウントに移ります。守るべきものはマスターパスワードとEmergency Kit、この2つです

以下、なぜそう考えるかを書きます。

この秋、漏洩のニュースが「異様」だった

2026年10月は、不正アクセスによる個人情報流出の報道が途切れませんでした。NHKは10月6日に「7月以降、被害が増加している」と報じ、10月13日には「人間には難しい速度で多様な攻撃が短時間に行われており、AIエージェントが悪用された可能性がある」というセキュリティ会社の解析を伝えています。

同じ10月13日だけでも、宅配寿司「銀のさら」の運営会社で最大約650万件、自治体の防災メールで約300万件、JR東海のECサイトで最大1.5万件。15日にはバーガーキングのアプリ会員情報約1118万件の漏洩が報じられました。

ここで大事なのは、これらは全部、企業側のシステムに侵入された事例だということです。利用者がどれだけ気をつけても、登録先が破られれば情報は漏れます。

漏洩そのものではなく「二次被害」を防ぐ

では何もできないのかというと、そうではありません。漏れたメールアドレスとパスワードの組み合わせは、ほかのサービスでそのまま試されます。いわゆるパスワードリスト攻撃（リスト型攻撃）です。総務省は2013年の時点で「サービスごとに異なるパスワードを設定するよう利用者に注意喚起すべき」と事業者向けの対策集を公表しています。10年以上前から言われていることですが、被害が続いているのは、人間にはそれが実行できないからです。

つまり、

• A社から漏れる → 防げない
• A社と同じパスワードをB社でも使っていた → ここだけが自分の責任範囲

という整理になります。使い回しさえなければ、A社の漏洩はA社で止まります。

使い回しをなくす手段は2つ

1. 全部バラバラの強いパスワードにする

これを人間の記憶でやるのは不可能です。だからパスワードマネージャーに生成と記憶を任せます。私は1Passwordを使っていて、スマホ（Android）でもPCでも、覚えているのはマスターパスワード1つだけです。

2. そもそもパスワードをなくす（パスキー）

パスキーは、公開鍵暗号を使った認証方式で、サービス側には秘密の情報が保存されません。フィッシングサイトに入力してしまうこともありません。パスワードを完全に置き換える使い方と、パスワードに追加する使い方の両方があります。

「対応サービスはまだ少ないのでは」と思われるかもしれませんが、実際に私が1Passwordに保存したパスキーでログインしているサービスを挙げると、

• Amazon
• PayPal
• GitHub
• Discord
• 楽天銀行、SBI証券などの金融機関

正確に言うと、使われ方は2通りあります。GitHubやDiscordのようにパスキーだけでログインが完結するものと、銀行や証券のようにパスワードに加えてパスキーを要求するものです。後者ではパスワードは残っていますが、それだけでは入れません。漏れたパスワードが単体で意味を持たなくなる、という点ではどちらも同じです。

金融機関が最近「パスキーを設定してください」としつこく言ってくるのにも理由があります。2024年末から2025年にかけて証券口座の乗っ取りが大量発生し、金融庁の発表（2025年5月8日時点）で不正取引3,505件、不正売却金額1,600億円超という規模になりました。各社が多要素認証を必須化したのはこの流れです。

パスキーにも「置き場所」という急所がある

ここからが、この記事で一番書きたかったことです。

2026年10月2日、SBI証券がある注意喚起を出しました。証券会社を直接攻撃するのではなく、GoogleやAppleのアカウントを乗っ取り、そこに同期されているパスキーごと持っていく手口が他社で報告された、という内容です（SBI証券自身のシステムからの流出ではありません）。日本証券業協会も、クラウドにパスキーを保存するならGoogle/Appleアカウント側にも多要素認証を設定するよう案内しています。

パスキー自体はフィッシングに強い。でもパスキーを「どこに置くか」で、その置き場所が全資産の鍵になります。Googleアカウントに置けばGoogleアカウントが急所、1Passwordに置けば1Passwordアカウントが急所です。

急所をなくすことはできません。できるのは、急所を自分で決めて、そこだけは全力で守ることです。

1Passwordに集約した場合、何を守ればいいか

1Passwordアカウントは、マスターパスワードと「Secret Key」の2つで守られています。Secret Keyは登録時に端末側で生成される128ビットの鍵で、1Passwordのサーバーには保存されません。1Passwordの説明では、仮にサーバーが侵害されてもSecret Keyがなければデータは復号できない、とされています（これは1Password側の設計上の主張として受け取ってください。私が検証できるものではありません）。

利用者の側から見ると、守るべきものは次の2つに絞られます。

マスターパスワード

これは覚えるしかありません。長いパスフレーズにして、ほかでは絶対に使わないこと。

注意したいのは、生体認証はマスターパスワードの代わりではないという点です。私のAndroidでは指紋で1Passwordを開けますが、これは端末内に保持したマスターパスワードを指紋で呼び出しているだけです。アプリの設定で「マスターパスワードを要求する頻度」を1日・7日・14日・30日・しない、から選べます。「しない」を選ぶと、原則としてマスターパスワードを聞かれなくなります（生体認証に連続で失敗したときや、端末の指紋・顔データを追加・削除したときは例外的に求められます）。

私の考えでは、スマホなら「しない」もありです。常に手元にあって、端末自体が生体認証とPINで守られているからです。一方でPCは避けたほうが無難だと思っています。離席中に触られる余地があり、何より手入力の機会がゼロになるとマスターパスワードを忘れます。「指紋で開くから」と油断して忘れると、詰みます。

余談ですが、この設定画面を記事用にスクリーンショットしようとしたら、画像が真っ黒になりました。Android版はアプリ内のスクリーンショットを禁止しているようです。預ける側としては安心できる挙動です。

なお「1Passwordアカウント自体をパスキーで解錠する」機能はベータとして告知されていましたが、少なくとも私のAndroid環境では選択肢に出てきません。現時点ではマスターパスワードが根っこだと考えておくのが安全です。

Emergency Kit（Secret Keyが書かれた紙）

新しい端末で1Passwordにサインインするときは、マスターパスワードに加えてSecret Keyが必要です。Secret Keyはアプリから確認できますが、全端末を同時に失ったとき（紛失、故障、買い替えの失敗）に頼れるのは、登録時に発行されるEmergency KitというPDFだけです。

登録時に保存した覚えがなければ、1Password.comにサインインして「Manage Account」から今すぐ再ダウンロードできます。全端末を失ってからでは、この再ダウンロード自体ができません。

私は印刷して紙で保管しています。どこに、とは書きません。人によって資産の持ち方が違うので、保管場所も変わるはずです。ただ一つ言えるのは、通帳や権利証と同じ扱いだということです。あなたが「これだけはなくせない」と思っている紙を置いている場所。それと同じところに置いてください。

リカバリーコード（任意だが、設定するなら理解して）

2024年6月から、1Passwordにはリカバリーコードがあります。マスターパスワードを忘れた、またはSecret Keyをなくした場合に、リカバリーコードとメールの確認コードでアカウントを取り戻せる仕組みです。

私は設定しています。ただし、これは「復旧手段」であると同時に「新しい侵入経路」でもあります。

• ロックアウトされる前に作っておく必要がある（後からは作れない）
• コードは使い捨てではなく、再利用可能
• 逆に言えば、コードとメールアカウントの両方を奪われると、マスターパスワードもSecret Keyも知らない第三者がアカウントを取れる

設定するなら、リカバリーコードもEmergency Kitと同じ扱いで保管し、1Passwordに登録しているメールアカウントにも強い多要素認証をかけてください。SBI証券の警告と構造は同じです。鍵の置き場所と、その復旧経路まで含めて守る必要があります。

まとめ

• 企業からの漏洩は止められない。防げるのは使い回しによる波及だけ
• 使い回しをなくす現実的な手段はパスワードマネージャー。パスキーが使えるならパスキー
• パスキーには置き場所という急所がある。Google/Appleでも1Passwordでも、どこかが急所になる
• 1Passwordに置くなら、守るのはマスターパスワードとEmergency Kit。生体認証は代替にならない
• リカバリーコードは便利だが、攻撃面でもある。設定するならメール側の防御とセット

便利さの話ではなく、「どこを守れば残りは任せられるか」を決める話だと思っています。

参考文献・出典

• NHK 不正アクセスで大量の個人情報漏えい、7月以降増加（2026年10月6日）
• NHK 一連の不正アクセスは“AIエージェント悪用の可能性”（2026年10月13日）
• 総務省 リスト型攻撃対策集の公表について（2013年12月）
• マイナビニュース 証券口座乗っ取り、金融庁発表の被害規模（2025年5月23日）
• @IT 「パスキーだから安心」が危ない? SBI証券が警告したGoogle・Appleアカウント経由の口座乗っ取り（2026年10月9日）
• 1Password Support: About your Secret Key
• 1Password Support: Get to know your Emergency Kit
• 1Password Blog: Introducing 1Password recovery codes（2024年6月20日）
• 1Password パスキー（日本語公式）
• 1Password Blog: Now in beta: Create and unlock a 1Password account with a passkey