公共Wi-Fiでは必ずVPNが必要ですか？

有料VPNを最初の対策にする必要はありません。重要アカウントの固有パスワードとMFA、更新、バックアップを先に整え、ブラウザの証明書警告を無視しないでください。会社の規定がある場合や機密性の高い作業ではその規定に従い、ネットワークを信頼できなければ自分のモバイル回線を使います。

スマートフォンを紛失してもPasskeyは復旧できますか？

保存・同期方式によります。プラットフォームのアカウントや認証情報マネージャーで同期するPasskeyは、新しい端末で本人確認後に復旧できることがあります。端末に固定された認証情報には別のログイン手段が必要です。信頼できる2台目の端末、別の認証器、オフラインの復旧コードを用意してください。

パスワードはどのくらいの頻度で変更すべきですか？

日付だけを理由に変更する必要はありません。サービスごとに異なる十分に長いパスワードを使い、漏えい通知、使い回し、不審なログイン、侵害の疑いがあるときは直ちに変更してください。

フィッシングのリンクを開いただけなら、パスワード変更は必要ですか？

必須とは限りませんが、無事だと決めつけないでください。ページを閉じ、ダウンロードやインストールをせず、端末とセキュリティソフトを更新して最近のログインを確認します。認証情報やコードを入力した、ログインを承認した、端末に異常がある場合は、信頼できる別の端末からパスワード、認証、復旧情報を変更します。

家族のパスワードをすべて管理せずに支援するには？

本人の同意を得て一緒に設定し、アカウントの管理権は本人に残します。必要な緊急復旧情報だけを保管する、家族用保管庫で指定項目だけを共有する、送金・認証コード・アプリのインストールを求められたら電話で確認する、といった約束が有効です。全アカウントの監視は不要です。

一般向け個人サイバーセキュリティ対策：30分でアカウントを守り、詐欺を見抜く

個人のセキュリティ対策が難しいのは、設定そのものより助言が多すぎるからです。パスワード、二要素認証、更新、バックアップ、VPN、ウイルス対策、セキュリティキーまで、すべてが緊急に見えると何から始めるか分からなくなります。

原則は一つです。失ったときに最も多くのアカウントへ被害が広がる場所から守ります。 多くの人にとって、それは主要メールとApple、Google、Microsoftのメインアカウントです。ほかのサービスのパスワード再設定、端末同期、重要データの保存に使われるためです。

以下の「30分」は作業順序であり、全員が同じ時間で完了できるという保証ではありません。調査だけを続けるより、影響の大きい設定を今日一つ終えるほうが有効です。

すでにリンクを開いた、パスワードを渡した、不明なアプリを入れた、送金した場合は、通常のチェックリストではなく最初の10分の4経路へ進んでください。

TL;DR

主要メール、プラットフォーム、金融、メッセージングのアカウントから守り、復旧情報、不明な端末、MFAを確認します。
長く、サービスごとに異なり、安全に管理できるパスワードを使います。Passkeyがあれば優先し、なければ継続して使えるMFAを有効にします。
不審な連絡では「止まる、離れる、確認する」。操作を止め、元の連絡から離れ、公式アプリ、自分で入力したURL、既知の電話番号で確認します。
自動更新と復元可能なバックアップを用意し、復旧手段をすべて1台のスマートフォンに置かないようにします。
問題発生後は、クリックだけか、認証情報を渡したか、ソフトを入れたか、金銭が動いたかで初動を分けます。

「ルートアカウント」を見つける：30分の最低限チェック

ここでいう「ルートアカウント」はコンピューターの管理者ではなく、多くのサービスのパスワード再設定やログイン復旧に使えるアカウントです。利用頻度ではなく、失ったときの被害範囲で優先順位を決めます。

優先度	アカウント	先に守る理由
1	主要メール、Apple／Google／Microsoft	他アカウントを再設定し、端末、クラウド、同期データも制御し得る
2	銀行、カード、決済、証券	金銭的被害へ直結する可能性がある
3	LINE、WhatsApp、SNS	なりすまし、知人への詐欺、個人情報収集に使われ得る
4	通販、フォーラム、一般サービス	保護は必要だが、通常は上の3種類が先

FTCの復旧ガイドは、メールが他サービスの再設定リンクを受け取る点を説明しています。受信箱を奪われると被害が下流へ広がるため、すべてを一度に変更するのではなく、まず主要メールのセキュリティ設定を開きます。

最初の10分：主要メールまたはプラットフォームの「セキュリティ」「ログインとセキュリティ」を開き、復旧電話、復旧メール、ログイン中の端末を確認します。
10〜20分：現在のパスワード管理を続けるか、新しい方法へ移るか決めます。今日はルートアカウントの使い回しだけを直せば十分です。
20〜30分：PasskeyまたはMFAを有効にし、復旧コードを保存し、主端末以外の予備手段を一つ確保します。

入口が見つからなければ、公式ヘルプで「セキュリティ」「ログイン履歴」「2段階認証」「Passkey」を検索してください。画面は変わるため、ここでは陳腐化しやすいクリック手順を固定しません。

復旧メールと電話を自分が管理しているか確認し、不明な情報を削除します。
最近のログインと端末を確認し、不明・不要な端末をログアウトします。
PasskeyまたはMFAを有効にし、独立した予備手段を用意します。
他でも使ったパスワードなら、このアカウント専用のものへ変更します。
金融、決済、主要メッセージングでも繰り返します。
OS、ブラウザ、よく使うアプリの自動更新を有効にします。
大切な写真、文書、連絡先に復元可能なバックアップがあるか確認します。

これで詐欺が不可能になるわけではありません。ただし、一つの漏えいや端末紛失からデジタル生活全体が崩れる可能性を下げられます。

複雑さより使い回しをなくす

3か月ごとに MyPassword1! を MyPassword2! に変えているなら、その規則は推測されやすいため見直しましょう。

NISTの2025年正式版は、単要素パスワードを最低15文字とし、文字種の強制や定期変更を求めないとしています。長さ、固有性、一般的・漏えい済みの値を避けることが重要で、侵害の証拠がある場合は直ちに変更します。台湾の資安署も15文字以上とパスワード管理ツールを推奨しています。

今日：主要メール、プラットフォーム、金融アカウント。
次に：管理ツールが使い回し、漏えい、弱いと示したもの。
その他：次回ログイン時に固有パスワードを生成します。

パスワード管理ツールも無リスクではありません。認証情報を集約するため、マスターパスワード、MFA、復旧方法を特に守る必要があります。ルートアカウントを変更する前に公式の復旧方法を確認し、同じ端末と一緒に失わない場所へ緊急情報を保管してください。サポートが必ず保管庫を解除できるとは限りません。

多数の製品比較より、普段の端末で使えるか、MFAまたはPasskeyに対応するか、紛失後の復旧方法を理解できるかを確認します。継続できる仕組みが最適です。

Passkey、認証アプリ、SMS OTPの選び方

MFAはすべて同じ強さではありません。Passkeyは端末のロック解除で本人を確認し、再利用可能なパスワードをサイトへ渡さずにログインします。

方法	典型的な偽ログイン画面への耐性	端末紛失時	適する場面
パスワードのみ	低い	メールで復旧できても、盗まれると主防御を失う	他の選択肢がない場合
SMS OTP	低〜中。コードを騙し取られ得る	電話番号と通信会社の復旧に依存	SMSしかない場合でもパスワードのみより一層多い
認証アプリ	中。コードを偽サイトへ入力し得る	移行、同期、復旧コードが必要	Passkey非対応の重要アカウント
Passkey／セキュリティキー	高い。正しいサービスに結び付く	同期、2台目、予備キーが必要	対応サービスで予備手段も準備できる場合

この「低・中・高」は典型的な偽サイトによる認証情報窃取への相対比較で、正式な認証等級でも、全攻撃を表すものでもありません。

NISTはパスワードと手入力のワンタイムコードをフィッシング耐性なしとしています。英国NCSCは、Passkeyがパスワードのように盗まれて別サイトで再利用されないと説明しています。

選択は単純です。Passkeyがあれば優先し、なければ認証アプリ、SMSしかなければ何も使わないより有効にします。パスワード、OTP、予備コード、ログイン承認を連絡相手へ渡してはいけません。

Passkeyも、自分で行う送金、遠隔操作アプリの導入、画面共有中の予備コードまでは止めません。解決するのは認証情報の窃取と再利用であり、すべてのソーシャルエンジニアリングではありません。

詐欺と見た目で勝負しない：「止まる、離れる、確認する」

自然な文章や偽装された発信者番号もあるため、誤字、ロゴ、URLだけでは不十分です。相手が作った経路から離れるほうが確実です。

止まる：リンク、ダウンロード、返信、ログイン承認、送金操作をしません。
離れる：メッセージを閉じ、電話を切り、緊迫した状況から出ます。
確認する：公式アプリ、既知のURL、カードや公式サイトの電話番号を自分で使います。

台湾資安署の2026年の注意喚起は、短縮URLから「防護部品」を入れず、個人情報や送金に応じないよう求めています。FTCも、連絡内の情報ではなく、自分が本物と知る番号やサイトで確認するよう助言しています。

正規組織が連絡しないとは限りません。通話中に真偽を争うのではなく、切って信頼できる入口へ戻ります。パスワード、OTP、予備コード、ログイン承認、画面共有を求められたら止まってください。「必ず儲かる」「有名人の投資」「完全自動の副業」はAI副業詐欺の確認ガイドでも確認できます。

更新、バックアップ、復旧を1台に集中させない

防御	対象	今できること
自動更新	既知のソフトウェア脆弱性	端末、ブラウザ、アプリの自動更新を有効化
データバックアップ	故障、紛失、マルウェアによる恒久的な損失	写真や文書を信頼できるクラウドまたは外部媒体へコピー
アカウント復旧	端末、認証器、ログイン手段の喪失	2つ目のログイン方法またはオフライン復旧コードを準備

CISA Secure Our Worldは迅速な更新を基本対策の一つに挙げています。バックアップは乗っ取りを防ぎませんが、NCSCはアクセス不能なデータを復元できると説明しています。外付けドライブは未使用時に切り離します。

ルートアカウントに主端末へ依存しないログイン手段を一つ残します。
復旧コードをオフラインで、本人または同意を得た信頼できる家族だけが使える場所へ保管します。
重要データを元端末以外にも一部保存します。
バックアップ内のファイルを実際に開き、中身を確認します。

半年ごと、または端末、番号、主要メール変更時の確認は覚えやすくするための編集上の提案で、公式期限ではありません。構成を変えたときに復旧情報も更新することが重要です。

すでに問題が起きた場合：最初の10分を4経路で判断する

自分を責めず、監視されている可能性のある端末で何度もパスワードを変えないでください。相手に何が渡ったかを先に判断します。

1. リンクを開いただけで、入力もインストールもしていない

ページを閉じて再度開かず、何もダウンロードしません。OS、ブラウザ、セキュリティソフトを更新し、重要アカウントの履歴を確認します。更新とスキャンは基本的な初動であり、端末が完全に安全だという証明ではありません。 不明なアプリ、転送、ポップアップ、ログイン通知があれば入力を止め、メーカー、会社IT、信頼できる技術者へ相談します。

2. パスワード、OTP、予備コードを入力、またはログインを承認した

信頼できる別端末から、影響を受けたアカウント、同じパスワードを使うアカウントの順で変更します。全端末をログアウトし、MFAと復旧情報を再設定して不明な方法を削除します。主要メールでは、新着メールを別アドレスへ送る転送規則も確認します。FTCとNCSCも復旧後の確認を案内しています。

3. 不明なアプリ、端末管理設定、遠隔操作ソフトを入れた

ネットワークから切断し、その端末でパスワードを入力しないでください。別端末からルート・金融アカウントを処理し、メーカー、会社IT、信頼できる技術者へ相談します。突然届く「ウイルス除去」「復旧代行」は二次詐欺の恐れがあります。

4. カード・銀行情報を渡した、または送金した

直ちに銀行、カード会社、決済事業者へ連絡し、支払停止、紛失処理、異議申立てを相談します。通話、メッセージ、アカウント、URL、取引、時刻を保存します。台湾では警政署165で確認、通報、届出案内を利用できます。早い対応は介入の可能性を高め得ますが、返金は保証できません。

アカウントを取り戻した後も、下流サービスのパスワードや復旧メールが変わっていないか確認し、なりすまし連絡を受けた可能性がある知人へ知らせます。

後回しにできるもの：セキュリティを買い物リストにしない

時期	優先事項
今日	ルート、金融、メッセージング。固有パスワード、MFA、復旧情報、不明な端末
今週	他の使い回し、自動更新、重要データのバックアップ、復旧確認
リスクに応じて	有料VPN、追加のウイルス対策、ハードウェアキー、家庭内ネットワーク分離、高度な監視

「リスクに応じて」は不要という意味ではありません。記者、活動家、大きな資産や機密データを扱う人、標的型攻撃を受けた人には、端末分離、セキュリティキー、専門支援が必要な場合があります。会社端末では組織の規則に従ってください。

日常のアカウントを守りたいなら、主要メールを開き、復旧電話、ログイン中の端末、MFAを確認します。次に金融とメッセージングへ進みます。不審なログインや取引があれば通常設定を止め、上の事故経路へ切り替えます。30分で約束できるのは優先順位を付けて始めることまでです。個人サイバーセキュリティの目的は満点ではなく、一つの侵害が生活全体へ広がるのを防ぎ、自分が戻れる道を残すことです。