AI 時代の個人セキュリティ：VPN・パスワード管理・二段階認証の組み合わせ方
パスワード管理ツールは使い回しを減らし、二段階認証は不正ログインへの備えを増やし、VPN は経由する通信の保護を担います。AI へ送る情報の選別と、端末を失くした際の復旧は、それとは別に準備が必要です。まず主要メールと端末を守り、各対策のつなぎ目を確かめましょう。
最初に確認したいのは「スマホがない日」
認証アプリもパスワードも同じスマホにまとめると便利です。しかし、その端末を紛失したとき、主要メールにも管理ツールにも入れなくなるなら、復旧の準備が足りません。
普段使わない端末からでも復旧できるか、提供元の説明を確認してください。バックアップコードは安全な場所に保管し、唯一のコピーをスマホの写真だけにしないこと。復旧方法を試すために、今使える唯一の認証方法を削除する必要はありません。
日本で機種変更と携帯電話番号の変更を同時に予定している人は、先に番号にひも付いたアカウントを洗い出しましょう。スマホのデータ移行と、各サービスの認証・復旧設定の変更は別の確認です。古い番号を解約してから気づくと、手続きが複雑になります。
メール、端末、パスワードの順に土台を整える
主要メールは、ほかのサービスのパスワード再設定に使われます。そこに固有のパスワード、または対応していればパスキーを設定し、強い認証を有効にします。復旧用メールや電話番号も、自分が管理しているものか確かめます。
端末には画面ロックを設定し、OS とブラウザーを更新してください。ロックされていない端末では、ログイン済みのサービスをそのまま開かれる可能性があります。VPN では、この操作も端末内のマルウェアも防げません。
パスワード管理ツールは公式の配布元から導入します。マスターパスワードを使う方式なら、ほかで使っていない十分に強いものを選び、提供されている追加の保護も有効にします。まずメール、仕事用サービス、クラウドストレージの使い回しを解消しましょう。
生成と保存は管理ツールの中で行い、実際に使う秘密を AI の会話に残さないこと。復旧手順の唯一の控えも、開けなくなるかもしれない同じ保管庫の中だけには置かないでください。CISA の日常的な対策でも、パスワード管理、認証、更新を組み合わせる考え方が示されています。
二段階認証にも方式による違いがある
利用できるなら、パスキーやセキュリティキーなど、フィッシングに強い方法を優先して検討します。パスキーはパスワード方式を置き換えられる仕組みで、単なる「パスワードと SMS」の別名ではありません。同期や復旧の条件はサービスごとに確認が必要です。
認証アプリのコードも、パスワードだけの場合より防御を増やします。ただし、偽サイトがコードをその場で転送する攻撃には注意が必要です。SMS も追加の対策になりますが、電話番号を使えることに依存します。CISA の MFA 解説は、より強い方式への移行を勧めています。
自分で始めていない認証通知は承認せず、サポートを名乗る相手にもコードを伝えないでください。アカウントを守る仕組みを、自分で相手に渡してしまわないことが大切です。
VPN を足しても、送信先への公開範囲は変わらない
| 対策 | 主な役割 | 別途必要な確認 |
|---|---|---|
| パスワード管理 | サービスごとに異なる秘密を使う | 保管庫と端末の保護 |
| 強い認証 | 盗まれたパスワードだけでの侵入を難しくする | 復旧先とログイン済み端末 |
| VPN | 端末と VPN サーバー間のトンネルを暗号化する | 偽サイト、提出データ、提供元への信頼 |
適切な HTTPS 接続では、本文などの内容は既に暗号化されます。信頼できる VPN は、正しくトンネルを通る通信について、接続先などをローカルネットワークから見えにくくする役割を追加できます。一方で VPN 提供元への信頼は必要です。EFF の VPN ガイドも万能な対策ではないと説明しています。
AI サービスは、送られた文章やファイルを受け取ります。VPN の接続状態が良好でも、この相手に内容を見せてよいかは別の判断です。詳しくはVPN が保護するデータの範囲を確認してください。
社外の AI に入れる前に、資料を小さくする
議事録や顧客対応の下書きには、架空の例や必要な部分だけを使います。氏名、連絡先、内部リンク、アクセストークンなどを取り除きましょう。名前だけを伏せても、部署や案件の経緯から人物が分かる場合があります。
日本の職場で取引先の資料を預かっているなら、自社で使える AI と、取引先が許可した用途の両方を確認します。個人契約の便利なツールに、会社の承認がそのまま引き継がれるわけではありません。
NCSC の言語モデルに関する解説でも、機密情報の入力が論点になっています。保存、学習への利用、管理者の閲覧権限は、実際のサービスや設定を確認してください。AI との会話のプライバシーでは、共有前の判断を詳しく扱っています。
道具では代わりにできない本人確認を残す
家族や同僚から急な送金・権限付与を頼まれたら、以前から知っている番号など別の経路で確認します。自然な日本語や聞き慣れた声だけでは、相手の正体を証明できません。AI フィッシングとディープフェイクへの備えも参考になります。
端末を失くした場合は、安全な端末から公式の管理画面を開き、紛失端末のアクセスを取り消してログイン状況を見直します。パスワード変更だけでは、すべてのログインが無効になるとは限りません。機種、番号、復旧用メールを変えるたびに、守りと復旧の両方を更新しましょう。
