「AIのアカウントやWebサイトに、知らない人がログインしていないかが不安だ」
他人のIDとパスワードを使って、その人のアカウントに勝手にログインすることは、不正アクセスの1つです。このページでは、AIを業務に使うと増えるアカウントとWebサイトを不正アクセスから守るために、ログインの守り方、偽のメールへの対応、不正なログインの確認、Webサイトの管理画面の守り方を説明します。
このページで出てくる言葉の意味は用語一覧で確認できます。
業務でどう使うか
- AIエージェントにメールや共有フォルダを接続する前に、AIのアカウントと、接続するサービスのアカウントに2段階認証を設定する
- 月に1回を目安に、AIのアカウントのログインの履歴と、APIキーの利用量を見る
- AIエージェントにWebサイトの修正を任せる前に、管理画面に使っていないアカウントがないかを確かめる
- AIのアカウントに、ほかのサービスと同じパスワードを使う
- 1つのAIのアカウントを、社内の複数の人で使い回す
- メールのリンクから開いたログインの画面に、そのままパスワードを入力する
守るアカウントの一覧
AIを業務に使うと、不正なログインから守るアカウントが増えます。
AIのアカウントに不正にログインされると、不正にログインした人は、チャットの履歴を読み、AIエージェントに接続したサービスを操作できるおそれがあります。接続したアカウントが多いほど、1つのパスワードが漏れたときの影響は広がります。まず、守るアカウントを書き出してください。
| アカウント | 不正にログインされたときに起きること |
|---|---|
| AIのアカウント（Claude や ChatGPT など） | チャットの履歴を読まれる。共有リンクを作られる |
| APIの管理画面（APIキーを作る画面） | 新しいAPIキーを作られ、その利用料が自社に請求される |
| AIエージェントに接続したサービス | メール、共有フォルダ、会計ソフトのデータを読まれる。メールを送られる |
| Webサイトの管理画面 | ページを書き換えられる。偽のページを置かれる |
| ログインに使うメールのアカウント | 届いた再設定のメールで、ほかのアカウントのパスワードを変えられる |
ログインに使うメールのアカウントは、パスワードの再設定の連絡先になるため、ほかのアカウントより先に守ってください。
ログインの守り方
パスワードは長く複雑にしてサービスごとに変え、2段階認証を設定してください。
IPA（情報処理推進機構）は、パスワードをできるだけ長く、複雑にし、使い回さないことを勧めています。使い回すと、1つのサービスから漏れたパスワードで、ほかのサービスにもログインされるためです。
IPA は、パスワードとは別の手段でも本人を確かめる多要素認証を設定していれば、IDとパスワードを不正に使われても、それだけではログインできないとしています。本ガイドでは、この設定を2段階認証と呼びます。
本ガイドは、AIのアカウントを使う人ごとに別々に作り、それぞれに2段階認証を設定することを勧めます。ログインの履歴で、誰が使ったかを区別できるためです。
IPA は2025年8月28日の注意喚起で、パスワードに代わるログインの方法として、パスキーの利用を勧めています。パスキーは、指紋や顔の認証、PCやスマホのロックの解除でログインする方式です。使えるかどうかはサービスごとに違うため、各サービスのヘルプで確かめてください。
サービスごとに違うパスワードは覚えきれません。総務省は、パスワード管理ツールを使うことも勧めています。
関連：『安全の原則』
偽のメールと偽のログイン画面
疑わしいメールやSMSのリンクからはログインせず、公式サイトや公式アプリから確かめてください。
実在のサービスを名乗る偽のメールやSMSで偽のWebサイトに誘い、IDとパスワードを盗む手口を、フィッシングと呼びます。IPA は同じ注意喚起で、メールやSMSを開いただけでは被害はなく、偽のWebサイトでIDやパスワードを入力すると、アカウントに不正にログインされることがあるとしています。本物か迷ったときは、メールやSMSの中のURLや電話番号を使わず、公式サイトや公式アプリで確かめることを勧めています。
AIのサービスを名乗るメールも同じです。「利用料の支払いに失敗しました」「アカウントを停止します」と急がせる内容でも、メールのリンクからは開かず、公式サイトや公式アプリからログインして確かめてください。
偽のWebサイトに入力してしまったら、公式サイトや公式アプリからログインし、すぐにそのサービスのパスワードを変えてください。同じパスワードをほかのサービスで使っていれば、そちらも変えます。
不正なログインの確認
ログインの履歴と通知、APIキー、接続の一覧、登録情報を定期的に見てください。
富山県警察は、ログインの履歴とログインの通知メールを定期的に確かめ、身に覚えのない通知が届いたらすぐにパスワードを変えるよう呼びかけています。履歴や通知の機能があるかはサービスごとに違うため、各サービスのヘルプで確かめてください。
| 見るもの | 身に覚えのないものの例 |
|---|---|
| ログインの履歴と通知 | 使っていない時間や端末からのログイン |
| APIキーの一覧と利用量 | 作った覚えのないAPIキー、使っていない日の利用 |
| 接続の一覧 | 許可した覚えのないサービスやアプリの接続 |
| アカウントの登録情報 | 自分のものではないメールアドレスや電話番号 |
月に1回を目安に、日を決めて見ると、見落としを減らせます。身に覚えのないものが見つかったら、『事故の初動』の手順に進んでください。
関連：『外部サービスとの接続』
関連：『従量課金のAI』
関連：『事故の初動』
Webサイトの守り方
Webサイトは、使っていないアカウントを消し、ソフトウェアを更新し、記録を定期的に見てください。
管理画面や、ファイルを上げる接続（FTPなど）のアカウントをAIエージェントに渡すと、AIエージェントもそのアカウントを使います。IPA の20ヶ条のうち、自社で確かめやすい項目は次のとおりです。
| 確かめること | 20ヶ条の関連する項目（番号） |
|---|---|
| 辞めた人や使っていない外部の人のアカウントが、管理画面に残っていないか | 不要なアカウント（11） |
| 管理画面のパスワードが、推測されやすいものになっていないか | 推測されやすい単純なパスワード（12） |
| 管理画面に、不正なログインを防いだり気づいたりする対策をしているか | 不正ログインの対策（8） |
| Webサイトを動かすソフトウェアを更新しているか | ソフトウェアの脆弱性対策（4） |
| アクセスの記録を残し、定期的に見ているか | ログの保管と定期的な確認（6、14） |
この表は、本ガイドが20ヶ条から項目を選び、確かめることの形にしたもので、各項目の中身は20ヶ条に基づきます。管理画面に2段階認証を設定できるときは、本ガイドは設定を勧めます。パスワードを不正に使われても、それだけではログインできないためです。
サーバーのOSやソフトウェアの更新（20ヶ条の9）のように、自社で確かめにくい項目は、Webサイトの制作や管理を頼んでいる会社に確かめてください。
出典：IPA「安全なウェブサイトの運用管理に向けての20ヶ条」
関連：『公開前の確認』
まとめ
- AIのアカウント、接続したサービス、Webサイトの管理画面、ログインに使うメールのアカウントを書き出してください。
- パスワードは長く複雑にしてサービスごとに変え、2段階認証を設定します。パスキーが使えるサービスでは、IPA はパスキーの利用を勧めています。
- 疑わしいメールやSMSのリンクからはログインせず、公式サイトや公式アプリから確かめます。
- ログインの履歴と通知、APIキー、接続の一覧、登録情報を、月に1回を目安に見てください。
- Webサイトは、使っていないアカウントを消し、ソフトウェアを更新し、記録を定期的に見てください。