--- published_at: '2026-10-17T04:00:00+09:00' issue_date: '2026-10-17' title: 抜かれて困る会員登録は、パスワードで作らない kind: daily language: ja target: narukijima.ai source_record_ids: - 01M4JS7R00E6NNYFWB4XKP65V8 - 01M40CK54KF0CAW5SJ5MT3T0ZR - 01M481PCKT2YP7WTH4TC2BBABF - 01KJ9TKC89WH8JTBE6G4QRRZT6 eyecatch: keyword: Passkey brand: default default_reason: 主題はパスキーという仕組みで、特定の企業・製品ブランドのロゴを使う記事ではないため。 distributions: - name: note url: https://note.com/naru_kijima/n/n08a0dac31d5e - name: Substack (Japanese) url: https://narukijima.substack.com/p/e9c - name: X Share (Japanese) url: https://x.com/narukijima/status/2111176131324047771 - name: Threads (Japanese) url: https://www.threads.com/@naru_kijima/post/DekR5O3gZH7 - name: Bluesky (Japanese) url: https://bsky.app/profile/narukijima.bsky.social/post/3mxzcog44rs2h - name: Facebook (Japanese) url: https://www.facebook.com/permalink.php?story_fbid=pfbid02fUguiwhncDrKektoJqVAVvqWWtrV3cFkjMRVzxd28gkngyQxEJU7coFMzedJ9JyJl&id=100063878600682 - name: Substack Podcast (Japanese) url: https://narukijima.substack.com/p/0de ai_models: text: - claude-opus-5-5 script: - claude-opus-5-5 voice: - gemini-3.8-flash-tts podcast: audio_url: https://api.substack.com/api/v1/audio/upload/864f08f5-212b-459b-8295-cd7a64f712f7/src episode_url: https://narukijima.substack.com/p/0de duration_seconds: 498 id: '2026-10-17' source: visibility: private source_id: private:daily:2026-10-17 transformation: ai-edited-secondary image_path: /images/daily/2026-10-17.png content_sha256: 74ac41ba67a56d17cc909bbe4624ebdc24c3439221f113e63344e9dbb6f7c577 content_length_bytes: 8861 rights: license: CC BY-NC-ND 4.0 license_url: https://creativecommons.org/licenses/by-nc-nd/4.0/ terms: https://narukijima.ai/terms/ attribution: Naru Kijima / narukijima.ai — usage: ai_input: allowed search: allowed quotation: allowed-with-attribution ai_training: reserved-subject-to-existing-rights commercial: requires-separate-permission redistribution: allowed-under-CC-BY-NC-ND-4.0 dataset_inclusion: reserved-subject-to-existing-rights impersonation: prohibited scope: Existing CC license grants and applicable statutory exceptions take precedence. These signals do not record assent or enforce access control. --- # 抜かれて困る会員登録は、パスワードで作らない 情報漏えいのニュースが続くので、僕は抜かれて困るサービスほど、メールとパスワードで会員登録せず、Googleのアカウントでログインしてパスキーを付けています。 ここ1か月、日本の会社の情報漏えいが本当に多いです。10月の頭、僕は自分の記録に「さすがにちょっと多すぎる」と残しました。それから2週間たっても、まだ続いています。 いま検索が急に伸びているのが、ヤマト運輸です。ネットで買い物をして、届いてから払う「クロネコ代金後払いサービス」に不正アクセスがあって、9月28日にサービスが止まりました。10月2日の[第2報](https://www.yamato-hd.co.jp/important/img/info_260929_1_6.pdf)では、一部の利用者の氏名、住所、電話番号、メールアドレス、請求金額、商品の明細などが漏れた可能性がある、と出ています。クレジットカードの情報とパスワードは含まれない、とも書かれています。 このサービスは、会員登録をした覚えがなくても、通販の支払いで選んだだけで使っていることがあります。自分で登録したつもりがない場所にも、住所と電話番号はちゃんと置いてある、ということです。 --- ## 住所が漏れるのは、僕には止められない 最初に割り切っておくと、名前や住所が会社のサーバーから抜かれるのを、使う側が止める方法はほぼありません。預けた先が破られたら、それで終わりです。 僕は、盗む側から見ても、それがいちばん効率がいいんだと思っています。一人ずつ狙うより、たくさんの人が登録しているサーバーに入って、まとめて抜くほうが理にかなっている。AIでハッキングがやりやすくなったなら、なおさらです。登録している場所が多いほど、自分の名前が入った名簿の数も増えていきます。 僕の感覚では、個人情報ぐらいだったら、被害としては「まあまあまあ」という感じです。気持ちのいい話ではないですけど、まだ取り返しはつきます。取り返しがつかなくなるのは、お金が絡んだときです。銀行やクレジットカードまで行かれると、カードを止めて、再発行して、という後始末しか残りません。 だから僕が気にしているのは、漏れるかどうかより、漏れたあとにどこまで連鎖するかのほうです。同じメールアドレスと同じパスワードであちこちに登録していると、1か所から抜けた組み合わせで、別のサービスの扉まで開いてしまいます。住所は止められなくても、パスワードを何か所に置くかは自分で決められます。 もう一つ、漏れた情報の使われ方もあります。抜かれた人が、そのまま詐欺の的になる。ヤマトの[お知らせ](https://www.yamato-hd.co.jp/important/info_260929_1.html)でも、心当たりのないメールやSMSのURLは開かずに削除してほしい、と呼びかけています。名前と住所と買った物が分かっていれば、本物っぽい偽の連絡はいくらでも作れますからね。 --- ## 登録するなら、Googleのアカウントで入る 僕は正直、日本の会社はセキュリティ関係がガバガバだと思っています。なので、基本は大手にしか登録しません。 登録するときも、メールアドレスとパスワードでは作りません。最近は「Googleで続ける」のようなボタンがあるところが多いので、そちらで入ります。アカウントができたら、パスキーも登録します。全部のサービスでやっているわけではなくて、抜かれたらダメなところ、お金やカードが絡むところでは徹底している、という形です。 パスキーは、パスワードの代わりに、スマホやパソコンの指紋・顔・画面ロックでログインする仕組みです。Googleの[ヘルプ](https://support.google.com/accounts/answer/13548313?hl=ja)には、パスキーはパスワードと違って共有もコピーも書き留めることもできない、とあります。僕にとって大きいのは、ここです。覚えて打ち込むものがないので、偽のサイトに誘導されても、渡してしまう文字列がありません。 --- ## 鍵を1本にまとめると、その1本が怖くなる ただ、これには分かりやすい弱点があります。 10月3日、SNSでYouTubeのアカウントを乗っ取られた人を何人も見ました。二段階認証をしていたのに、パスワードも、認証用の電話番号も、復元用のメールも書き換えられて締め出された、という話です。そのとき僕は、Googleのアカウントでいろいろなところにログインしている人は、そこを取られたら全部持っていかれるな、と思いました。僕も完全にその一人です。 つまり、Googleでログインに寄せるというのは、合鍵を1本にまとめることです。あちこちの小さな鍵穴を減らす代わりに、その1本を取られたら全部開く。 それでも1週間後、僕はやっぱりGoogleに寄せる、と話していました。大元がハッキングされたら、その先でいくら設定しても意味がない。だったら大元は、大手のテック企業だけにしておく。僕の認識では、Googleそのものが破られたという話はまだありません。Googleが破られたら、そのときはもうどうしようもない、と割り切っています。 あちこちのパスワードを管理するより、大元の1本をガチガチに固めるほうが、僕には現実的でした。 --- ## パスキーに文句を言っていたのも、僕です 偉そうに書いていますけど、パスキーが面倒なのも本当です。 8月、作業用のブラウザでXにログインし直そうとしたら、パスキーでのログインを求められて、うまく入れませんでした。そのとき僕は「パスワードとユーザ名だけでログインしたいんだけど」と文句を言っています。今はパスキーを勧めているので、だいぶ都合のいい話です。 そもそも僕は、会員登録自体が嫌いです。今年の2月には、サイトを開いた瞬間に登録画面が出てくるのは「うざい」と記録に残しています。メールが届く、通知を切るのが面倒、パスワードがまた一つ増える。登録しなくても見られるなら、そのほうがいいと今も思っています。 ただ、この二つは同じ方向を向いていました。登録が面倒なら、登録先を増やさなければいい。どうしても作るなら、覚えるものを増やさない形で作る。僕の中では、面倒くさがりのまま守れるやり方が、Googleでログインしてパスキー、だったんです。 --- ## 次に「会員登録」と出たら 今日すぐ全部のアカウントを作り直す必要はないと思います。僕が見ているのは、次に登録画面が出たときの一瞬です。 まず、そこが抜かれて困る場所かを考えます。カードを登録する、ポイントや残高が貯まる。どちらかに当てはまるなら、お金が絡む側として扱います。そうでなければ、登録せずに済む道があるか探します。ゲスト購入で済むなら、それで終わりです。 お金が絡むほうなら、メールとパスワードの欄に手を伸ばす前に、「Googleで続ける」のようなボタンがあるかを見ます。あればそちらで作って、作ったあとに設定画面でパスキーを追加できるか確かめます。ボタンがない小さなサイトで、カードまで登録するのは、僕なら一度止まります。 これで住所の漏えいが防げるわけではありません。それは預けた側の仕事で、ヤマトの件も、こちらが何をしていても漏れる可能性はありました。それでも、漏れたあとに鍵まで一緒に持っていかれるかどうかは、登録した瞬間の選び方で変わります。 ヤマトの件で気になった人は、まず届いた心当たりのないSMSを開かないこと。そのうえで、次の会員登録から、パスワードの欄を一回だけ疑ってみてください。 --- © Naru Kijima — CC BY-NC-ND 4.0. 利用前に利用規約（https://narukijima.ai/terms/）を確認してください。検索・AIへの入力・出典付き引用を認めます。AI学習・データセット収録には権利を留保し、追加の許諾は行いません。既存のCC BY-NC-ND 4.0による許諾と法定例外は妨げません。なりすましは禁止です。出典表記: Naru Kijima / narukijima.ai — 。検証: https://narukijima.ai/verify/。取得だけで同意を記録する仕組みではありません。 Review the Terms (https://narukijima.ai/terms/) before use. Search, AI input, and attributed quotation are permitted. Rights are reserved for AI training and dataset inclusion; no additional permission is granted for these purposes. Existing CC BY-NC-ND 4.0 grants and statutory exceptions remain unaffected. Impersonation is prohibited. Attribution: Naru Kijima / narukijima.ai — . Verification: https://narukijima.ai/verify/. Fetching alone does not record assent.