「自分の情報は自分で守って」デジタル大臣発言の真意と、利用者任せでは防げないセキュリティの盲点

　私たちは日々、安全のために無意識にやっていることがあるかと思います。例えば家を出るときに戸締まりをしない人はいないと思いますし、財布やクレジットカードを落とさないよう、カバンに入れるなどの努力をしているかと思います。「ITのセキュリティ」でも、本来はそれと変わらないはずです。少しでも気をつかうことが、サイバー空間の安全のために重要なのですが、「分かっていても……」となるのが、ITのほうのセキュリティの難しいところだと思っています。

　日々、ITセキュリティを追いかける身として、ほんの少しだけ歩み寄ることが、私たちの資産や命すら救うことになるはずと信じています。しかし現実はなかなか厳しいということを感じさせる発言がありました。今回はそこから、掘り下げていきたいと思います。 ■デジタル庁古川大臣の発言が大きな話題に 　2026年10月6日に行われた、デジタル庁古川大臣の発言が大きな話題となりました。その報道が伝えた記事タイトルには、「自分の情報は自分で守って」という文字が。折しも多くの企業が不正アクセスに遭い、大量の個人データが漏洩したという直後にこの発言があったということで、SNSでも政府を批判する投稿があふれかえりました。

　ただし、これには裏があります。デジタル庁は大臣会見をしっかりと動画配信/発言要旨の公開をしていますので、まずはこれを追いかけてみました。すると、その内容は確かに、このように記されています。 　その文言だけを切り取れば、確かに反感も覚えるでしょう。しかし、古川大臣はその前段に、国民へのお願いとして、下記の3点を述べています。 　・パスワードの使い回しをやめること ・多要素認証を設定すること ・フィッシング対策を行うこと

　実は、これは多くのセキュリティ識者が必ず伝えている、個人でできるITセキュリティ対策の基本のキ、そのものです。これをして「自分の情報は自分で守る」ということを伝えたとしたならば、大臣の真意はしっかりと伝わったはず。個人的には、デジタル大臣がこのような基本を述べ、国民に対してその重要性をアピールしたというのは隔世の感があります。 ■大臣発言はこれまで以上に踏み込んだ“正しい発言”だ 　少しだけ、この3つの基本を深掘りしていきましょう。

　まずは「パスワードの使い回しをやめること」。これはかなり昔から伝えられていることで、もはや「パスワードは秘密のものではない」という前提に立ったものです。もしあなたがどんなに長くて複雑なパスワード文字列を設定していたとしても、どこか1つの“セキュリティ対策の甘いサービス”があったとき、そこからパスワード文字列そのものが流出してしまう可能性があります。 　その時、もし全てのサービスで同じパスワードを使っていると、何も落ち度のない、強固なセキュリティを施したサービスであっても、正しいIDとパスワードの組を使い、正規にログインができてしまいます。そのため、10年以上前から「パスワードの使い回しをやめましょう！」と声高に叫ばれていましたが……それ、あまりにもきれい事過ぎると思いませんか？　

　私たちは既に、100以上のサービスを利用しているはずです。それをすべて異なるパスワードにするというのは、あまりにも非現実的です。そのため、次の「多要素認証を設定すること」を強くお勧めしたいと思います。 　多要素認証とは、パスワード以外の「もう一つのもの」を使って、あなたがあなたであることを証明する仕組みです。パスワードというあなたの記憶にしかないものは、もはや情報漏洩事故多発により誰もが知るものとなってしまいました。ならば、あなたしか持ってないものを持っているかどうかで、あなたを証明すればいいというのが基本の考え方です。

　あなたしか持っていないものと言えば、例えば「指紋」や「顔」といった生体情報だったり、「スマホ」などのあなたがいつも持っているもの。パスワードともう一つのものがなければログインできないようにすれば、第三者が不正にログインできなくなります。多くのサービスが多要素認証を設定可能になっていますので、ぜひ、積極的に使って下さい(今回は触れませんが、パスキーやパスワード管理ツールの利用も◎です)。 　さらに、フィッシング詐欺対策という、あなたにしかできないことこそがいまや最重要です。かつてはコンピューターウイルス対策にお金を払っていましたが、いまやフィッシング対策にお金をかけるべき、と思うほど。難しいのはその対策は、あなた自身に投資を行い、いろいろな情報を得る必要があることです。つまり「時間」を割いてほしいのです。

　最近のフィッシング詐欺は、見抜くことができないほどに巧妙です。かつてならば不自然だった日本語も、生成AIや高度な翻訳ツールにより、非常に自然になりました。そのため、「見分けてやろう」という考え方を捨ててください。SMSやメールで届く情報に書かれたURLは、正規のメールであってももうクリックしないことをお勧めします。万が一「いますぐ対応しないとあなたの資産がゼロになる！」というような脅しが書かれていたとしても無視。もし心配なら、そのメールが名乗る金融機関などのウェブサイトを直接開き、おなじような注意が書かれていないかを確かめましょう。

　ここまで踏み込めば、今回の大臣発言の真意が読み解けるのではないでしょうか。これらはすべて、利用者自身にしか対策ができないことです。その意味では、本発言はこれ以上なく“正しい”と思いました。ただし……。 ■大臣発言は“間違っている”？　 　問題は、これらが利用者自身への対策としてはこれ以上なく正しいにもかかわらず、これができないサービスが多いということにあります。 　例えば、多要素認証に対応していないサービス。これは意外と多く、特にECサイトでは気軽にログインし、気軽に操作してほしいがために、安全性が高まるにもかかわらず、ログインに手間がかかる仕組みを取り入れてきませんでした。

　加えて、フィッシング詐欺対策として、一番シンプルなのは「本物が出すSMSやメールにはURLを一切書かない」という方法があるにもかかわらず、それを行わないこと。サービス運営者自身がフィッシングのメッセージを把握していない証拠とも言えるでしょう。 　むしろ、サービス運営側こそが、「自分の情報は自分で守って」と思っているのではないでしょうか。多要素認証をはじめ、サービス運営側がセキュリティを高める仕組みを用意しなければ、「自分の情報は自分で守」ることすらできません。今後はそういったセキュリティ意識の低いサービスは淘汰されていくと思ってはいますが、使ってみなければ分からないことが多く、利用者の努力だけではなんともしがたいというのが実情です。

　その意味では、今回のデジタル大臣の発言はむしろ「これらのことを利用者が対応できるサービスにせよ」という、サービス提供側、経営者に向けた発言ととらえてほしいと思います。特に、多要素認証にさえ対応していれば、利用者がパスワードを使い回していたとしても、ログインが成功しないため不正アクセスを防ぐことができます。フィッシング対策に関しても、企業がフィッシング対策の情報をしっかりと発信することで、業界全体が良くなっていくはずです。

　日本においては25年以降、証券会社の口座を狙った不正アクセスや乗っ取りによる不正取引が激増しましたが、官民、そして業界全体がセキュリティ対策と利用者の意識向上を行った結果、いまでは件数、被害額も減ってきています。これこそが、「自分の情報は自分で守る」という姿ではないでしょうか。 ■セキュリティは競合他社やイデオロギーを超えて手を組める 　ITセキュリティは、ある一定レベルまでは差別化要因にはなりにくいものですので、企業もなかなかここに投資しようと考えないかもしれません。それはつまり、ある一定レベルまでは競合他社とも手を取り、考え方が異なる者たちとも協業できるということです。

　安全は嫌いだ、不安定がいいという人はいないはずです。今回もおそらく、デジタルが苦手、政府の言うことは間違ってるといった人たちを焚きつけるかのようなとらえられ方をしたかもしれませんが、ITセキュリティに関してはどんな人とも手を取り合い、安全を目指せるはずです。 　官民一体、産官学で手を取り合わねば攻撃者には勝てません。そのため、まずは私たちができることを着実に行い、家族や仲間たちが持つ資産や大事なものを攻撃者に奪われないよう、具体的な一歩目を踏み出していきましょう。まずは、「パスワードの使い回しをやめること」、「多要素認証を設定すること」、「フィッシング対策を行うこと」から！