出張サポートでお客様のiPhoneを拝見したところ、Chromeに保存されたGoogleパスワードマネージャーのチェックアップで、「不正使用・漏洩が疑われるパスワード22件」「使い回されているパスワード87件」と表示されました。
この記事では、その場で何を確認し、どの順番で、なぜその方法を選んだのかを、実際の作業記録をもとに解説します。最後に、Appleのパスワード管理（iCloudキーチェーン）へ整理し、iPhone・Mac・iPadの3台で使えることを確認するところまでの流れをまとめています。
パスワードの使い回しが気になっている方が、ご自身で同じ確認と整理を進められるよう、手順も載せています。
この記事の「22件」について
22件は、第三者に実際にログインされた件数ではありません。Googleのチェック機能が「不正使用された可能性がある」と警告した件数です。また、22件と87件には重複している可能性があります（同じパスワードが使い回され、かつ漏洩警告も出ている、など）。
1．最初に分かったこと：1〜2パターンの文字列が、多数のサイトで使われていた
チェックアップの結果を見ると、警告されたパスワードの多くは、1〜2パターンの文字列がいくつものサイトで使い回されたものでした。
Googleの公式ヘルプでは、パスワード チェックアップは次の3つを確認するとされています。
- 漏洩：不正使用されたパスワードとユーザー名の組み合わせが、オンラインで公開されている状態
- 使い回し：複数のアカウントで同じパスワードを使っている状態
- 脆弱：誰でも分かる語句や単純なキーボードパターンなど、推測されやすい状態
今回のお客様の場合、まず手を付けるべきなのは「同じ文字列を使っているサイトを、1つずつ別のパスワードに変えること」だと判断しました。
2．なぜパスワードの使い回しが危険なのか
使い回しの怖さは、どこか1つのサービスから情報が漏れると、同じ組み合わせで他のサービスにも入られる可能性がある点にあります。
Googleのヘルプでも、複数のアカウントで同じパスワードを使うとハッキングのリスクが高まるため、アカウントごとに異なるパスワードを使うことが強くすすめられています。
今回のように1〜2パターンで何十ものサイトを使っていると、1つの漏洩が連鎖しやすくなります。使い回しは不注意というより、パスワードを人の記憶だけで管理しようとした結果として起きやすいものです。
3．最初に考えた「ベースパスワード＋サービスごとの追加文字」方式を採用しなかった理由
作業の初めに検討したのは、次のような方式でした。
- 共通のベースパスワードを1つ決める
- 楽天・Amazon・Yahoo!など、サービスごとに固有の英数字・記号を末尾に足す
- 追加部分をメモに記録し、端末を買い替えても再現できるようにする
覚えるのはベース部分だけなので、一見よくできた方法に思えます。しかし、検討の途中で次の点が気になり、採用をやめました。
- 共通部分を含むパスワードは、どこか1か所が漏れたときに、共通部分や作り方の規則が推測されるおそれがある（一般的なセキュリティ上の考え方です）
- 追加文字のメモを残すことになり、そのメモ自体が弱点になるおそれがある（こちらも一般的な考え方です）
そこで方針を変更し、サービスごとに完全に独立した、強力なランダムパスワードを設定し、パスワード管理機能に保存して自動入力する方法にしました。人が覚えるのをやめて、機械に任せる方式です。
4．管理先にAppleのパスワード管理を選んだ理由
お客様はiPhone・Mac・iPadをお使いでした。3台ともApple製品なので、標準機能で3台に同期できるAppleのパスワード管理（iCloudキーチェーン）に保存・自動入力する方法を選びました。
Appleの公式ヘルプによると、iCloudキーチェーンには次の特徴があります。
- パスワードやパスキーなどを、iPhone・iPad・Mac・Apple Vision Proの間で同期できる
- 同期には、各デバイスのソフトウェアを最新にし、Apple Accountで2ファクタ認証を有効にしておく必要がある
- エンドツーエンドで暗号化して保護される
なお、これは「Appleが唯一の正解」という意味ではありません。お客様の端末構成（Apple製品中心）に合わせた選択です。WindowsやAndroidを日常的に使う方は、別の管理方法のほうが合う場合もあります。
5．最優先は「Googleアカウント本体」の保護：約9アカウントを変更
警告が出た各サイトに手を付ける前に、まずGoogleアカウント自体を守ることにしました。GoogleアカウントはGmailやGoogleパスワードマネージャーなど、重要なサービスの入口になっているからです。
お客様のGoogleアカウントは約9個ありました。1つずつ、次の流れで進めました。
- iPhoneのSafariで、正規のGoogleアカウント管理画面を開く
- 新しい強力なパスワードに変更する
- 変更したパスワードをAppleのパスワード管理に保存する
- MacのSafariで同じアカウントにサインインし、新しい認証情報が同期され、自動入力されることを確認する
これを約9アカウント分、繰り返しました。
Googleアカウントのパスワード変更手順（公式ヘルプの内容）
- Googleアカウントを開き、必要に応じてログインする
- 左上の「セキュリティとログイン」を選ぶ
- 「Google にログインする方法」の中の「パスワード」を選ぶ（再ログインを求められることがあります）
- 新しいパスワードを入力して変更を確定する
ここで混同しやすいこと
Googleアカウントのパスワードを変更することと、Googleパスワードマネージャーに保存された「他のサイト」のパスワードを変更することは、別の作業です。
Googleアカウントのパスワードを変えても、楽天やAmazonなど、他のサイトのパスワードは変わりません。そちらはサイトごとに変更が必要です。
6．iPhoneで変更し、Macで確認する：作業の基本形
1アカウントごとに「iPhoneで変更 → 保存 → Macでサインイン確認」まで終えてから、次へ進めました。
この順番にした理由は、変更したのに保存できていなかった、同期されていなかった、という状態で次のアカウントに進むと、ログインできなくなるリスクが積み上がるためです。1件ずつ確実に確認する方が、結果的に早く、安全です。
Macで確認するときは、次の点を見ます。
- サインイン画面で、新しい認証情報の候補が表示されるか
- 候補を選ぶと、パスワードが入力されてログインできるか
ここで自動入力されない場合は、パスワードの保存・同期だけでなく、Safariの自動入力設定などにも原因がある可能性があります。次のアカウントへ進む前に、保存内容と設定を確認し、新しいパスワードでログインできることを確かめてください（確認項目は『11．安全に運用を続けるための注意点』にまとめています）。
7．漏洩警告のある他サイトを変更する
Googleアカウントの保護が済んだら、メインで使っているGoogleアカウントを整理の起点に、パスワードチェックアップで警告されたサイトを順番に確認しました。
Googleのチェックアップの確認方法（公式ヘルプの内容）
- パソコンのChromeの場合：Chromeを開き、右上のその他アイコンから「パスワードと自動入力」→「Google パスワード マネージャー」を選び、左側の「チェックアップ」を選びます
- iPhone・iPadのChromeの場合：Chromeを開き、「パスワード チェックアップ」に移動して「パスワードを確認」を選びます
- 他のブラウザの場合：passwords.google.com を開き、「パスワード チェックアップに移動」→「パスワードを確認」を選びます
結果は「漏洩」「使い回し」「脆弱」の3種類に分かれて表示されます。
iPhoneのAppleのパスワードアプリでも確認できる（公式ヘルプの内容）
Appleのパスワードアプリでも、安全性の低いパスワードや、既知の漏洩データに含まれるパスワードを確認できます。iPhoneでは、次の流れです。
- パスワードアプリを開き、「セキュリティ」をタップする
- 問題のあるアカウントをタップし、メッセージの内容を確認する
- 必要に応じて「パスワード」欄から「パスワードをコピー」しておく（新しいパスワードを作るとき、古いパスワードを求められる場合があるため）
- 「パスワードを変更」をタップし、ウェブサイトまたはアプリ側でパスワードを変更する
表示名はiOSのバージョンによって異なる場合があります。
各サイトで行った手順
- 対象サイトの正規ページを開く（検索結果の広告や、メールのリンクからは開きません）
- お客様ご本人のアカウントにサインインする
- パスワード設定画面で、サイトごとに独立した強力なパスワードに変更する
- iPhoneのSafariから、Appleのパスワード管理に保存する
- MacのSafariでも、新しい認証情報でサインインできることを確認する
パスワード変更のお知らせを装った偽サイトもあります。変更作業は、ブックマークや公式アプリなど、確実に正規と分かる入口から行ってください。
8．使わなくなったサイトの保存情報を整理する
87件の中には、すでに使っていないサービスも含まれていました。
現在も使っているサービスは、パスワードを変更しました。使っていないサイトは、不要な保存情報をGoogleパスワードマネージャーから整理・削除しました。
「保存情報の削除」と「アカウントの退会」は別
ここは誤解されやすい点です。
- 保存情報の削除：パスワード管理機能の中から、そのサイトの情報を消すこと
- アカウントの退会・削除：サービスの側で、アカウント自体をなくすこと
保存情報を消しても、サイト側のアカウントは残っています。使っていないサービスでもアカウントが残っていれば、リスクは残り得ます。不要なものは、必要に応じて退会するか、最低限パスワードを変更しておくのが望ましいです。
なお、Googleパスワードマネージャーの保存済みパスワードは、一覧から表示・編集・削除ができると公式ヘルプに記載されています。
9．最後にiPadで確認：Googleアカウントの再サインインと自動入力
最後にiPadを確認しました。Googleアカウントのパスワードを変更した後、iPad側では再サインインが必要な状態になっていました。
Googleの公式ヘルプには、パスワードを変更すると、本人確認でログインに使ったデバイスなど一部を除き、すべてのデバイスからログアウトされると記載されています。iPadで再サインインが必要になったのは、この仕様と合っています。
iPhone・Macと同じAppleのパスワード管理（iCloudキーチェーン）の仕組みを使っているため、iPadでは保存された認証情報が自動入力され、そのままログインできることを確認しました。
これで、iPhone・Mac・iPadの3台すべてで、変更後の認証情報が使えることを確認できました。
iCloudキーチェーンの同期設定（公式ヘルプの内容）
- iPhone・iPad：設定アプリで自分の名前をタップし、「iCloud」→「パスワード」の順に進み、「この[デバイス]を同期」をオンにします（iOS 17以前は「パスワードとキーチェーン」）
- Mac：システム設定でユーザ名をクリックし、「iCloud」→「パスワード」の順に進み、「このMacを同期」を選びます（macOS Sonoma以前は「パスワードとキーチェーン」）
表示名はOSのバージョンで変わるため、ご自身の端末の表示に合わせて読み替えてください。
10．パスワードとパスキーの違い
パスワード管理の話では「パスキー」という言葉も出てきます。この2つは別のものです。
| パスワード（文字列） | パスキー | |
|---|---|---|
| 仕組み | 文字列を入力して認証する | 端末が作る鍵のペアを使って認証する |
| サーバ側 | パスワードに関する情報を保管する | サービス側は公開鍵を保管する。秘密鍵はサービス側に渡されない |
| 入力 | 自動入力または手入力 | Touch IDやFace IDなどで承認 |
| 使えるサイト | ほぼすべて | 対応しているサイト・アプリのみ |
Appleの公式ヘルプでは、パスキーはパスワードに代わる認証手段で、フィッシング詐欺への耐性が高いとされています。iCloudキーチェーンを使えば、複数のApple製デバイス間で同期されます。
この作業で整理した範囲
今回のお客様への作業は、文字列パスワードを強力なものに変更し、保存・同期・自動入力できる状態にすることが中心です。パスキーへの切り替えは、この作業の中心ではありません。
サイトがパスキーに対応していれば、切り替えを選べる場合があります（Appleの「パスワード」でも、対応サービスではパスキーなどへの切り替えを選べるとされています）。対応していないサイトは、引き続き強力な文字列パスワードを使うことになります。
混同しやすい4つの言葉
- パスワードの自動生成：強力な文字列を作ること
- 保存・同期：作った文字列を覚えておき、複数の端末で使えるようにすること
- 自動入力：サインイン画面に、保存した文字列を入れること
- パスキー認証：文字列を使わず、鍵のペアで認証すること
11．安全に運用を続けるための注意点
今回の作業で実施したこと
- Googleアカウント約9個のパスワード変更と、iPhone・Mac・iPadでの確認
- 警告が出たサイトの、独立した強力なパスワードへの変更
- 不要になった保存情報の整理
追加で確認したい項目（今回の作業では実施を確認していない、一般的な推奨事項）
次の項目は、今回の作業記録では実施を確認していません。ご自身で整理する際の確認事項として挙げます。
- Googleアカウントの2段階認証プロセスが有効か。パスワードが盗まれても保護しやすくなるとされています
- 不審なログイン履歴がないか。覚えのない復元方法や再設定用の連絡先がないか
- Apple Accountの2ファクタ認証と復旧手段が設定されているか。iCloudキーチェーンの利用には2ファクタ認証が必要です
- 通常のメモアプリに、パスワードを平文で残していないか。保存しているなら、削除を検討してください。端末が見られたときのリスクになります
- 整理後に、チェックアップを再実行して件数の変化を確認する
同期や自動入力がうまくいかないとき
- 各端末のソフトウェアが最新か
- 各端末で、iCloudの「パスワード」の同期がオンになっているか
- Apple Accountで2ファクタ認証が有効か
- サインイン画面の自動入力の候補に、目的のサイトが出ているか
- 保存されたユーザ名とパスワードが、変更後のものになっているか
漏洩の検出もオンにしておく
Appleのパスワードアプリは、保存したパスワードの弱点（推測されやすい、使い回されているなど）を自動で見つけ、既知の漏洩データに含まれていないかも監視します。iPhoneでは、設定アプリの「アプリ」→「パスワード」にある「漏洩の危険があるパスワードを検出」で、オン・オフを切り替えられます（iOSのバージョンで表示が異なる場合があります）。Macでは、パスワードアプリの設定から同じ項目を切り替えられます。
もう利用できなくなったサイトやアプリについて警告が出た場合は、そのアカウントの情報をiPhoneおよびiCloudキーチェーンから削除できます。これもサイト側の退会とは別です。
12．まとめ：覚える管理から、安全に保存・自動入力する管理へ
今回の作業の要点は、次の4つです。
この記事のまとめ
- 警告の「22件」は、実際の不正ログイン件数ではなく、Googleのチェック機能の警告件数。まず冷静に中身を確認する
- ベースパスワード方式をやめ、サービスごとに独立した強力なパスワードを設定した
- 先にGoogleアカウント本体を守り、1件ずつ「変更・保存・別端末で確認」まで終えてから次へ進んだ
- 使わないサイトの保存情報を整理し、保存情報の削除とアカウント退会は別だと意識した
パスワードは、人が覚えるものではなく、安全な場所に保存して、自動で入力するものにすると、使い回しの必要がなくなります。