不正アクセス対策の3つのポイント｜企業が見直すべきパスワード管理と多要素認証

2026年10月6日、古川俊治デジタル大臣は記者会見で、相次ぐ不正アクセスによる個人情報の流出を受けて、国民に3つの対策を呼び掛けました。
（出典：ITmedia NEWS、デジタル庁「古川大臣記者会見（令和8年10月6日）」）

• パスワードの使い回しをやめる
• 多要素認証を設定する
• 不審なメールや SMS に注意する

大臣は、サイバー攻撃は企業や組織だけの問題ではなく、国民一人ひとりの対策が被害の防止につながるとしています。
この3つは個人向けの呼び掛けですが、企業の情報システム担当者にとっても重要な対策です。理由は、他社のサービスから流出した ID とパスワードが、従業員の使い回しを通じて、自社のクラウド環境や業務システムへの不正ログインに使われる可能性があるためです。自社が情報を流出させていなくても、被害を受けることがあります。
本記事では、3つの対策を企業の運用に置き換えたうえで、侵入される前提での備えと、認証基盤を統合した企業の事例を紹介します。

クラウドのセキュリティに、不安や課題を感じている方はこちら

KDDIアイレットなら、現状の課題整理からセキュリティ対策の導入、監視・運用までしっかり伴走支援します。

サービスの概要を見るお問い合わせ

他社で流出した認証情報が、自社のクラウド環境への不正アクセスにつながるわけ

不正アクセスとは、権限のない第三者がシステムやサービスに侵入する行為です。本記事では、そのうち他人の ID やパスワードなどの認証情報を悪用する手口を扱います。
企業にとって注意が必要なのは、次の流れです。

1. 自社とは別のサービスで不正アクセスが起き、ID とパスワードが流出する
2. 流出した認証情報が、攻撃者の間で出回る
3. 攻撃者が、同じ ID とパスワードの組み合わせで、別のサービスへのログインを試みる
4. 従業員が業務用と私用でパスワードを使い回していると、自社のクラウド環境や業務システムにログインされる

この手口は「パスワードリスト攻撃（クレデンシャルスタッフィング）」と呼ばれます。正規の ID とパスワードが使われるため、システム側から見ると通常のログインと区別しにくい点が特徴です。

この場合、自社から個人情報が流出したわけではありません。原因は、他社で盗まれた認証情報の悪用です。ただし、侵入された後は、社内データの閲覧や持ち出し、メールの乗っ取りによる取引先へのなりすましなど、二次被害につながるおそれがあります。

つまり、企業にとっての課題は、他社で起きた流出を自社の侵入口にさせないことです。そのための基本が、大臣が挙げた3つの対策です。

不正アクセス対策の3つの基本を企業の運用に置き換える

対策① パスワードの使い回しを仕組みで防ぐ

上記の流れの起点になるのが、使い回しです。「使い回さないでください」と周知するだけでは、行動は変わりにくいのが実情です。次のような仕組みで、使い回しをしなくて済む環境を整えます。

• パスワード管理ツールを導入し、サービスごとに異なるパスワードを使える環境を整える
• シングルサインオン（SSO）で ID を集約する
• 強度の低いパスワードや、流出が確認されたパスワードを設定できないようにする

SSO とは、一度の認証で複数のサービスを利用できる仕組みです。管理するパスワードが減るため、使い回しの動機そのものを減らせます。一方で、SSO の ID が突破されると連携先のサービスすべてに影響が及ぶため、SSO の認証には必ず多要素認証を組み合わせます。

対策② 多要素認証（MFA）を設定する

多要素認証（MFA）とは、パスワードに加えて、スマートフォンのアプリや生体情報など、種類の異なる要素を組み合わせて本人確認を行なう方式です。こうした要素は本人以外には用意しにくいため、他社から流出したパスワードが使われても、2つ目の要素がそろわなければログインできません。

設定は管理者アカウントだけでなく、一般ユーザーを含むすべてのアカウントが対象です。特に、クラウドの管理コンソール、メール、VPN、重要な業務システムは優先して設定しましょう。なお、偽サイトで認証コードまで入力させる手口や、承認通知を大量に送って誤って承認させる手口もあるため、重要なアカウントではパスキー（FIDO2）など、フィッシングに強い認証方式の採用も検討しましょう。

対策③ 不審なメールや SMS への備えを組織で整える

パスワードや認証コードを聞き出すメールやメッセージは、認証情報を盗み取る代表的な手段の一つです。個人の注意に頼るだけでなく、不審なメールやメッセージの報告窓口を決めておくこと、リンクを開いてしまった場合の初動手順を共有することが有効です。「報告しても責められない」運用にしておくと、早期の発見につながります。

不正ログインに備える3つのポイント

不正ログインを防ぐ対策と並行して、破られた場合に被害を最小限に抑える備えも必要です。設定の抜け漏れをなくし、侵入に早く気づける設計を同時に考えておきましょう。

① アカウントと設定を定期的に点検する

ルールを定めて周知するだけでは、実態との差が生まれ、対策が形骸化します。MFA が未設定のアカウントや、退職者・異動者のものを含む長期間使われていないアカウント、権限が広すぎるアカウントを定期的に洗い出し、修正する運用を決めておきましょう。

② 多要素認証の抜け漏れをなくす

①がアカウント単位の点検であるのに対し、こちらはサービス単位の点検です。MFA を設定したサービスと、していないサービスが混在すると、攻撃者は設定の弱いサービスを狙います。導入状況を一覧化して未対応のサービスを可視化し、すべてのサービスで MFA を有効にすることを目指しましょう。

③ 侵入に早く気づき、被害を広げない

不正ログインに早く気づくには、普段と異なる国や時間帯からのログインや、短時間に集中するログイン失敗などを検知し、アラートを出す仕組みが有効です。多くのクラウドサービスでは、ログイン履歴や操作の記録（監査ログ）を残して監視できます。

あわせて、各アカウントの権限は業務に必要な最小限にとどめておきます。権限が広いアカウントほど、乗っ取られたときの影響が大きくなるためです。

さらに、侵入が分かったときに誰が何を判断し、どこに連絡するのかといった初動の手順を事前に決めておくことで、被害の拡大を抑えられます。

導入・活用事例（認証基盤の統合とセキュアなクラウド基盤の構築）

ここまでの課題と対策を踏まえ、認証基盤の統合やセキュアなクラウド基盤の構築に取り組んだ企業の事例を紹介します。

業務用エアコンなどの空調・冷熱機器を手がける日本キヤリア株式会社様では、提供するサービスごとにログインの仕組み（認証基盤）が異なっており、同じ顧客がシステムごとに別々のアカウントを使う必要がありました。そのため、統合的な管理と認証まわりのセキュリティ強化が求められていました。認証の仕組みが分散すると、アカウント管理の工数が増え、設定の抜け漏れも起きやすくなります。

そこで、IDaaS の「Auth0」と AWS を活用し、自社でユーザーデータベースを持たずに済む共通の認証基盤を構築しました。その結果、各システムで使える共通アカウントを発行できるようになり、セキュリティの向上とシステム間の情報連携の強化を実現しています。
（参考：日本キヤリア株式会社様の導入事例）

また、不正ログインを完全には防げないことを前提に、侵入された場合の影響範囲を小さくしておくことも重要です。オンプレミスから AWS へ移行した T'sファーマ株式会社様では、本番・テスト・ネットワークの用途ごとに AWS アカウントを分離するマルチアカウント構成を採用し、セキュリティの境界を明確にしました。あわせて、AWS Backup の Vault Lock 機能で、管理者アカウントが乗っ取られた場合でも攻撃者がバックアップを削除・変更できない環境を構築し、ランサムウェア対策も強化しています。
（参考：T'sファーマ株式会社様の導入事例）

まとめ・次のステップ

他社で流出した認証情報は、従業員の使い回しを通じて、自社のクラウド環境への不正アクセスに使われる可能性があります。大臣が呼び掛けた3つの対策を企業の運用に置き換え、侵入される前提での備えを加えた要点は次のとおりです。

• パスワードの使い回しは、周知だけでなく、SSO やパスワード管理ツールなどの仕組みで防ぐ
• 多要素認証は、管理者アカウントに限らず、すべてのアカウントとサービスに設定する
• 不審なメールや SMS への対応は、報告窓口と初動手順を組織で決めておく
• 侵入される前提で、不審なログインの検知や権限の最小化、初動手順を整えておく