私たちの生活の多くがオンラインへ移行するにつれ、あらゆるアカウントで固有のパスワードが必要になっています。「パスワードの使い回しは絶対にNG」というアドバイスは、今や誰もが耳にしたことがあるでしょう。
しかし、作成したパスワードを「実際にどこに保管・保存しているか」については、それほど語られていません。
この「保存先」の選択は、多くの人が思っている以上に重要です。どれほど強力でユニークなパスワードを作っても、それを保管する場所が危険であれば意味がありません。利便性を優先して露出した場所に放置すれば、攻撃者に自ら侵入の鍵を手渡すことになります。
本記事では、多くの人がやってしまいがちな「7つの危険なパスワード保存場所」、それぞれの問題点、そして今すぐ実践すべき安全な解決策を詳しく解説します。特別なケースではなく日常的な習慣ばかりですが、どれも5分で改善できる解決策が存在します。
【要約】パスワードを保存してはいけない場所と代替策
| 保存方法 | なぜ危険なのか | 安全な代替策 |
|---|---|---|
| メール | 送信済みフォルダや受信トレイ、サーバー上に暗号化されないまま半永久的に残る | 専用のパスワード管理ツールを使う |
| ブラウザの保存機能 | 情報窃取型マルウェア（インフォスティーラー）の標的になりやすく、画面ロック解除時に誰でも閲覧できる | 専用ツールへ移行し、ブラウザに保存されたパスワードを消去する |
| Google ドキュメントなどのオンライン文書 | テキスト用ツールであり機密保護向けではない。流出アラートがなく、共有設定のミスが起きやすい | 専用のパスワード管理ツールを使う |
| スExcel・Google スプレッドシート | 暗号化が弱いか存在せず、過去の古いファイルやバージョン履歴にデータが残り続ける | 専用のパスワード管理ツールを使う |
| メモ帳アプリ（Apple メモなど） | 大半のメモがデフォルトでロックされておらず、管理ツールに必要なセキュリティ機能がない | 専用のパスワード管理ツールを使う |
| チャット・メッセージングアプリ | ロック解除された端末でログイン状態が維持され、タップ一つで誤送信するリスクがある | パスワード管理ツールの「安全な共有機能」を使う |
| 画面ロックや暗号化のない端末 | 端末が盗難・紛失した際、鍵のかかっていない書類棚のように誰でも全データにアクセスできてしまう | 端末の暗号化を有効にし、強力なパスコードを設定する |
1. メール（自分宛ての送信・下書き保存）
新しいパスワードを作った際、忘れないように自分宛てにメールを送ったり、下書きに保存したりした経験は誰にでもあるでしょう。便利に思えますが、これは機密情報を置く場所として最も漏洩しやすい方法の一つです。
リスク：メールは本来、金庫（保管庫）として設計されていません。主要プロバイダ間の通信は暗号化されていますが、それは通信上の保護に過ぎず、受信トレイや送信済みフォルダに溜まっていくデータ自体を守るものではありません。パスワードは、送信済みフォルダや相手の受信トレイ、制御不能なメールサーバー上に平文（暗号化されていないテキスト）として残り続けます。
実際に起きること：受信トレイはサイバー犯罪者にとって宝の山であり、最優先の標的です。フィッシングリンクやパスワードの使い回しによってメールアカウントに侵入されると、過去に自分宛てに送信したあらゆる認証情報が検索可能な状態で一網打尽にされます。さらに、メールアドレスは他のサービスのアカウントリセットに使われることが多いため、一つの受信トレイの侵害がすべての壊滅につながります。
今すぐすべき代替策：自分宛てであっても、メールでパスワードを送信するのは絶対にやめましょう。パスワード管理ツールに保存すれば、データは暗号化され、メッセージ履歴に残ることもありません。職場の同僚にログイン情報を渡す必要がある場合は、テキストのコピペではなく、パスワード管理ツールの「安全な共有機能」を使用してください。
2. Webブラウザの保存機能
Chrome、Safari、Edgeなどで「パスワードを保存しますか？」と表示された際、深く考えずに「保存」をクリックしていませんか？最も一般的な保存方法ですが、見かけ以上にリスクを孕んでいます。
リスク：ブラウザのパスワード保存領域は、「インフォスティーラー（情報窃取型マルウェア）」の格好の標的です。このマルウェアは、PCに侵入した瞬間に保存されたログイン情報、クッキー、自動入力データを自動で収集・抽出するように設計されています。また、画面がロックされていないPCを操作できる第三者であれば、ブラウザの設定画面から数クリックでパスワードを平文で閲覧できてしまいます。
実際に起きること：怪しい添付ファイルやクラック版アプリをダウンロードしてしまうと、バックグラウンドでインフォスティーラーが実行され、数分以内にブラウザ保存のパスワード一覧がダークウェブ等で販売されます。ブラウザがログイン状態を維持しているため、攻撃者はパスワードの入力すらスキップしてアクティブなセッションをそのまま乗っ取ることが可能です。
今すぐすべき代替策：ログイン情報を専用のパスワード管理ツールに移行し、ブラウザ組み込みのパスワード保存機能をオフにして、すでに保存されているデータを消去してください。優れた管理ツールであればブラウザ上での自動入力に対応しているため、利便性を損なうことはありません。移行時にパスワード生成機能を使って、ランダムな新しいパスワードに更新するとさらに安全です。
3. Google ドキュメントなどのオンライン文書
重要な情報をGoogle ドキュメントや同様のクラウド文書にまとめる方法も人気があります。どこからでも同期でき、検索も容易だからです。しかし、パスワードの保存先としては間違ったツールです。
リスク：ドキュメント作成ツールは「テキスト編集」のためのものであり、「秘密情報の保護」のために作られていません。保管庫のデータのように個別に暗号化されているわけではなく、安全性のすべてはアカウントのログイン状態に依存します。漏洩検知やアラート機能はなく、共有設定のミスも起きやすいのが特徴です。「リンクを知っている全員が閲覧可能」という設定一つで、パスワードリストが誰でも見られる公開ページに変貌します。
実際に起きること：一時的な共有のつもりで発行したリンクの存在を忘れ、何年も公開状態のまま放置されてしまうケースが後を絶ちません。あるいは、離席時に画面をロックし忘れた隙に、開かれたドキュメント上のログイン一覧が通りすがりの人の目に触れてしまうリスクもあります。
今すぐすべき代替策：認証情報は、個別のエントリーが暗号化され、共有の権限取り消しも自由に行えるパスワード管理ツールで管理しましょう。すでに「パスワード一覧ドキュメント」が存在する場合は、データを管理ツールへ移行した上で、ゴミ箱からも完全に削除してください。
4. Excel・Google スプレッドシート
ドキュメントの次に選びがちなのがスプレッドシートです。「サイト名」「ユーザー名」「パスワード」と列を分けることで整理されているように見えますが、セキュリティ上は安全と言えません
リスク：スプレッドシートも機密保護を目的としていません。Excelのパスワード保護機能は脆弱で、無料ツールで容易に解除できます。Google スプレッドシートの保護もアカウントのセキュリティ依存です。どちらのツールも、格納された認証情報が流出した際に警告を出してはくれず、変更履歴（バージョン履歴）が残るため、セルから行を削除しても過去の値が消えない場合があります。
実際に起きること：チーム内で共有された「passwords.xlsx」がメールで添付送信され、各PCのデスクトップに保存され、クラウドストレージにコピーされた結果、ファイルの複製が何個存在し、誰がアクセスできるのか把握できなくなります。さらに、数ヶ月前に削除したはずのパスワードがバージョン履歴から丸見えになっていた、という事故も多発しています。
今すぐすべき代替策：スプレッドシートの代わりにパスワード管理ツールを導入してください。現在チームで共有スプレッドシートを運用している場合は、データを管理ツールにインポートした後、ローカル、クラウド、ゴミ箱、バージョン履歴を含めてファイルを完全に破棄しましょう。
5. メモ帳アプリ（Apple メモ、Google Keep等）
Apple メモ、Google Keep、Samsung Notesなどのメモアプリは、買い物リストやアイデアを書き留めるには最適です。手軽さからパスワードをメモしたくなりますが、本物の保管庫（ボルト）のような安全性はありません。
リスク：アプリによっては保護機能を備えているものもあります。例えばApple メモは、パスフレーズで保護されたエンドツーエンド暗号化の「メモをロック」機能を提供しています。しかし、ロック機能はメモ単位で手動設定する必要があり、デフォルトではオフになっています。そのため、大半のメモは無保護のまま放置されており、大量のログイン情報を管理・利用する用途には向いていません。 さらに、メモアプリにはパスワード管理ツールにある必須機能（自動生成、自動入力、流出監視、安全な共有、アクセス監査ログなど）が一切備わっていません。
実際に起きること：「とりあえず今だけ」と、保護されていない普通のメモに複数のパスワードを保存します。そのメモはログイン中の全デバイスに同期されるため、ロック解除されたスマホを誰かが手に取れば、数秒で全パスワードが読み取られてしまいます**。**
今すぐすべき代替策：専用の管理ツールに保存しましょう。メモの手軽さが好きなら、自動入力がセットアップされた管理ツールのほうが実際には速く入力でき、自分でロックをかけ忘れてもすべてのエントリーが自動的に暗号化されるため安心です。
6. チャット・メッセージングアプリ（Slack、LINE等）
Slack、LINE、Teams、WhatsAppなどは日常的なコミュニケーションツールであるため、同僚や家族へチャットでパスワードを送ってしまいがちです。便利な反面、安全とは言えません。
リスク：WhatsAppやSignalのようなアプリはメッセージを強固にエンドツーエンド暗号化しているため、「通信が暗号化されていない」という懸念自体は誤解です。本当の問題は別の場所にあります。チャットアプリはパスワード保管庫ではなく、常にログイン状態でバックグラウンド実行され、ロック解除された端末上で頻繁に開かれるという点です。
実際に起きること：チームメンバーにログイン情報を送信すると、その認証情報は2台の端末のチャット履歴に永久に残ります。そのどちらの端末も、貸し借りされたり、紛失したり、ロック解除のまま放置されたりするリスクがあります。また、誤操作や自動補完によって全く別の相手にパスワードを送信してしまう誤送信リスクもあり、一度送ったデータを取り消すことはできません。
今すぐすべき代替策：チャットでパスワードを送信しないでください。パスワード管理ツールの「安全な共有機能」を使用すれば、生のパスワードを相手に開示することなくアクセス権を付与でき、後から権限を取り消すことも可能です。社外の人へ一時的に受け渡す場合でも、チャットへの直接貼り付けではなく、1回限りの安全な共有リンク（ワンタイムリンク）を使用しましょう。
7. 画面ロックや暗号化が設定されていない端末
本記事で紹介する危険な習慣の中で最も露出度が高いのが、画面ロックもストレージ暗号化も設定されていないデバイスにパスワードを保管することです。「自分のノートPCやタブレットは肌身離さず持っているから大丈夫」と思っていても、デバイスの紛失や盗難は日常的に発生します。保護されていない端末は、鍵のかかっていない書類棚と同じです。
リスク：画面ロックがなければ、デバイスを拾った誰もが内部にアクセスできます。また、ディスク暗号化がなければ、仮に画面ロックが設定されていても、ドライブを取り出されたりリカバリモードで起動されたりすることでデータが読み取られてしまいます。どちらの対策も怠っている場合、端末の盗難は即座に「身元・個人のなりすまし被害」へと直結します。
実際に起きること：カフェの席からPCが持ち去られたりバッグが盗まれたりした際、泥棒は何のセキュリティも突破する必要がありません。保存されたログイン情報、ブラウザセッション、個人ファイルが一度にすべて閲覧可能になります。
今すぐすべき代替策：今すぐデバイスの暗号化を有効にし、強力なパスコードを設定してください。設定は数分で完了します。
- iPhone / iPad：パスコードを設定すると暗号化が自動的に有効になります。「設定」→「Face IDとパスコード」→「パスコードを変更」→「パスコードオプション」から、数字とアルファベットを組み合わせた「カスタムの英数字コード」を設定しましょう。
- Android：「設定」→「セキュリティ」からPIN、パスワード、または生体認証ロックを設定します。現代のAndroidデバイスは、ロック設定時にストレージがデフォルトで暗号化されます。
- Windows：「設定」→「プライバシーとセキュリティ」→「デバイスの暗号化」（またはBitLocker）をオンにします。
- Mac：「システム設定」→「プライバシーとセキュリティ」→「FileVault」をオンにします。
なお、デバイスやアカウントのパスワードを手動で設定する場合は、十分に長い文字列にしてください。米国国立標準技術研究所（NIST SP 800-63B）の最新ガイドラインでは、単一要素認証のパスワードとして最低15文字以上を推奨しています（かつての「8〜12文字」という基準から大きく変更されています）。記号を混ぜた短い複雑な文字列よりも、ランダムな単語を組み合わせた覚えやすい長文の「パスフレーズ」のほうが、記憶しやすく総当たり（ブルートフォース）攻撃に対しても圧倒的に強力です。攻撃を防ぐ最大の要素は「長さ」です。
番外編：その他注意すべき悪習慣
単独の項目としては取り上げませんでしたが、深刻なトラブルを引き起こす2つの悪習慣を紹介します。
- 付箋や紙へのメモ：モニターに貼られたPost-itのパスワードは、通りすがりや写真撮影、ゴミ箱を掃除する人など、誰にでも見られてしまいます。どうしても紙でバックアップを取る場合は、解錠対象のデバイスの近くを避け、鍵付きの引き出しや金庫に保管してください。
- 1つのパスワードの使い回し：これは保存場所の問題ではありませんが、1箇所の漏洩を連鎖的な被害に拡大させる最大の原因です。使い回しているパスワードが1つでも流出すると、攻撃者はその組み合わせを使って他のサービスへ自動的にクレデンシャルスタッフィング攻撃を行います。サイトごとに固有のパスワードを設定することで、被害をそのサイトだけに食い止めることができます。
パスワードは「どこに」保存すべきか？
これまで挙げた保存方法が失敗する理由は共通しています。「本来、秘密情報を守るために作られたツールではない」からです。専用のパスワード管理ツールは、まさに秘密情報を保護するためだけに設計されており、上記の懸念をすべて一括で解決します。
信頼できるパスワード管理ツールは、すべてのエントリーを強力に暗号化し、強固でユニークなパスワードを自動生成し、ブラウザ上で自動入力を行うため、二度と手入力やメール送信をする必要がなくなります。さらに、保存したログイン情報がデータ侵害（漏洩）に含まれていた場合には警告を出し、生のパスワードを見せることなく安全に共有できます。チーム運用においては、役割、権限設定、操作ログ（監査トレイル）が追加されるため、「誰が・いつ・何にアクセスしたか」を正確に把握できます。
導入をご検討中の方は、自社やチームに最適なツールを選ぶための比較ガイドをご活用ください。結論としては、専用の管理ツールを選び、すべてのパスワードを移行して、上記の危険な場所からデータを完全に削除することが最も確実な対策となります。
よくある質問
Q. パスワードを保存する最も安全な場所はどこですか？
専用のパスワード管理ツールです。各認証情報を暗号化し、メールやチャットの履歴に残さず、強力でユニークなパスワードを生成し、流出時にはアラートを出してくれます。ブラウザ、ドキュメント、スプレッドシート、メモ帳アプリよりも遥かに安全であり、記憶や紙のメモよりも圧倒的に安全かつ便利です。
Q. Google ドキュメントにパスワードを保存しても安全ですか？
**いいえ、安全ではありません。**Google ドキュメントは保管庫のように個別暗号化されておらず、安全性はアカウントのログイン状態に依存します。また、流出監視機能がなく、共有権限のミスも起きやすいほか、過去のデータがバージョン履歴に残ってしまいます。パスワード管理ツールを使用し、既存の「パスワード」ドキュメントはゴミ箱からも完全に削除してください。
Q. ブラウザにパスワードを保存するのは安全ですか？
**便利ですがリスクが高い方法です。**ブラウザの保存領域はインフォスティーラー（情報窃取マルウェア）の主な標的であり、画面がロックされていない状態であれば誰でも設定画面から平文で閲覧できてしまいます。専用の管理ツールへ移行し、ブラウザの保存機能をオフにして既存データを消去することを推奨します。
Q. パスワードを紙に書き留めておくべきですか？
デスクの上に放置された紙のメモは、他人に目撃されたり、撮影・窃盗されたりする危険があります。もし紙でバックアップを保持する場合は、対象のデバイスから離れた「鍵付きの引き出し」や「金庫」の中に保管してください。日常的な利用においては、パスワード管理ツールを使用するほうが遥かに安全で利便性も高くなります。
TeamPasswordでチームのパスワードを危険な場所から一掃
本記事を読んで、現在メールの受信トレイ、ブラウザ、あるいは共有スプレッドシートに置かれているパスワードが気になったなら、TeamPasswordがそれらをすべて置き換えます。
すべてのデータは暗号化された保管庫（ボルト）に保存されるため、本来パスワードを置くべきではないツールに認証情報が散乱するのを防ぎます。
- 強制可能な2要素認証（2FA）：全ユーザーに2FAを義務付け。1つの弱いログイン情報によってチーム全体が危険に晒されるのを防ぎます。
- 統合型TOTPワンタイムパスワード機能：TeamPassword内で時間無制限の認証コードを生成。別のアプリを交互に開く手間を削減します。
- 安全な共有とワンタイムリンク：メールやチャットにコピペすることなく、同僚や外部業務委託者に認証情報を手渡し、不要になったら即座に権限を剥奪できます。
- 詳細なアクティビティログ：誰が・いつ・何にアクセスしたかの完全な監査ログを記録。セキュリティ監査やコンプライアンス確認にも対応します。
料金プランは、1ユーザーあたり月額400円（スタンダードプラン/年額払い）からご利用いただけます。安全な保管庫がどのように認証情報を守るのか、詳しくはセキュリティページをご覧いただくか、まずは無料トライアルでお試しください！
