パスワード管理と2段階認証2026｜使い回しをやめる・乗っ取り対処・帰国前の電話番号 - lazy-lazy｜にほん暮らしの学校

🇬🇧 English 🇯🇵 日本語で読む読みながら日本語も学べます / Learn Japanese while you read

この記事は2026年11月12日に、総務省「国民のためのサイバーセキュリティサイト」、IPA（情報処理推進機構）、警察庁の警察白書と相談窓口、金融庁、出入国在留管理庁の公式ページを開いて確かめて書いています。個別のアプリやサービスをすすめる記事ではありません。

先に結論

日本のオンライン手続きでは、メールアドレスと電話番号が本人確認の鍵です。入管の在留申請オンラインは、受付番号も審査完了の知らせもメールで届きます。パスワードを忘れたときも、登録したメールや電話番号で取り戻します。
パスワードの使い回しとは、同じパスワードを複数のサービスで使うことです。1か所から漏れると、ほかのサービスにも入られるおそれがあります。10文字以上にして、サービスごとに変えます。
定期的に変える必要はありません。漏れたと分かったときに、すぐ変えます。
2段階認証（多要素認証）は、メールと銀行から先に設定します。SMSで届いたコードは、友達を名乗る相手にも教えません。
携帯番号を変える・解約する前に、銀行や入管などの登録先を新しい番号とメールに変えます。日本を離れる前は特にです。解約した番号には、SMSのコードが届きません。

知らないままの人が、まわりにいませんか。この記事を送る：WhatsApp LINE

これが分かると、乗っ取りを防げて、番号を解約した後も自分の口座や手続きに入れます。入られたときも、何から手をつけるか迷いません。

帰国の1週間前、空港で使う予定の新しいSIMを買ったところです。日本の携帯は、出発の前日に解約するつもりでした。そこへ銀行のアプリが「SMSに届いた確認コードを入力してください」と出します。コードが届くのは、明日には使えなくなる番号です。日本人の友達に聞くと「番号を変えればいいよ」と言います。ただ、変える手続きにもログインが要りそうで、その順番は誰も知りませんでした。

パスワードの使い回しはなぜ危ない？——2025年の不正アクセスは7,190件
日本ではメールと電話番号が本人確認の鍵？——銀行・携帯・入管のオンライン
パスワード管理はどうする？——10文字以上・使い回さない・定期変更は不要
2段階認証（多要素認証）とは？——3つの要素のうち2つ以上
パスワード管理や2段階認証にお金はかかる？——有料の道具は要らない
乗っ取られたら？——自分でログインできるかで手順が決まる
携帯番号を変える・解約する前にやることは？——日本を離れる前は登録先を先に変える
終わりの判断——自分はどれか
よくある質問（FAQ）
まとめ
あわせて読みたい

パスワードの使い回しはなぜ危ない？——2025年の不正アクセスは7,190件

警察が2025年に把握した不正アクセスは、7,190件でした（警察庁「令和8年版警察白書」）。そのうち4,747件（66.0%）は、入られた後に「インターネットバンキングでの不正送金等」が行われていました。検挙された事件の手口は、他人のIDとパスワードを無断で入力する型が92.6%でした。

パスワードが漏れる道は、主に3つです。IPAは、単純なパスワードを推測される、ほかのサービスから漏れたパスワードを使われる、偽サイトにだまされて入力する、の3つを挙げています。2つ目は「リスト型攻撃」と呼ばれます。漏れたIDとパスワードの組を、別のサービスに次々と入れて試す手口です。

だから、使い回しがいちばん効きます。あなたがどんなに気をつけても、使っているサービスの側から漏れることがあります。パスワードがサービスごとに違えば、漏れたのは1か所で済みます。IPAの相談窓口には、2026年7〜9月の3か月に、不正ログインの相談が395件寄せられました。FacebookやInstagramなどに入られて、自分ではログインできなくなったという相談が多いとされています。

偽SMSや偽サイトの見分け方は、偽SMS・フィッシングの見分け方と押してしまった時の手順にまとめています。この記事は、見分ける前の守りと、入られた後の話です。

日本ではメールと電話番号が本人確認の鍵？——銀行・携帯・入管のオンライン

日本のオンライン手続きは、登録したメールと電話番号を前提に作られています。入管の在留申請オンラインでは、申請受付番号、追加資料の依頼、審査完了の知らせがメールで届きます。外国人本人が利用者として登録していれば、在留カードの有効期限の30日前と7日前にも知らせが届きます。パスワードの再設定も、利用者IDの照会もメールです。

オンラインで申請した人は、申請受付番号が書かれた受付完了メールを、在留カードと一緒に常に持ち歩く必要があります。申請中であることの証明になるからです。そのメールアドレスに入れなくなれば、証明も手元から消えます。

メールと電話番号が鍵になる所の表。入管の在留申請オンラインは、受付番号と審査完了がメールで届き、外国人本人の利用なら在留カードの期限の知らせ（30日前・7日前）も届く。ネットバンキングは、ログインや送金の通知、ワンタイムパスワードなどの多要素認証。携帯会社のアカウントは、盗んだIDとパスワードでeSIMを契約された事件がある。SNSや買い物は、パスワードを忘れたら登録したメールか電話番号で取り戻す。メールのパスワードを破られると、ほかのサービスの再設定にも使われる。

銀行も同じです。ネットバンキングは、IDとパスワードに加えて、第2パスワードやワンタイムパスワードなどの多要素認証で本人を確かめています（総務省）。金融庁は、ログインやパスワード変更、送金を知らせる機能を有効にするようすすめています。知らせを受け取るメールや電話番号が、今も使えるものか確かめます。

携帯会社のアカウントも狙われます。警察白書には、不正に手に入れた他人のIDとパスワードでeSIMを契約し、転売した事件が載っています。あなたの電話番号は、銀行のコードを受け取る道でもあります。その番号を管理するアカウントのパスワードも、使い回さないでください。

なかでも大事なのはメールです。メールはIDとパスワードだけで読めることが多いと総務省は書いています。メールに入られると、ほかのサービスの「パスワードを忘れた」の知らせも読まれます。メールのパスワードは、ほかのどれとも違うものにします。

パスワード管理はどうする？——10文字以上・使い回さない・定期変更は不要

総務省の目安は、最低でも10文字以上で、数字や記号、大文字と小文字が混ざったものです。IPAは、できるだけ長く、15桁程度を目安にしています。覚える必要があるなら、関係のない英単語をいくつかつなげて、間に数字を挟むと作りやすくなります。

危ないパスワードと安全なパスワードを比べた図。危ないのは、名前・誕生日・電話番号、123456やpassword、IDと同じ文字、ほかのサービスと同じもの。安全なのは、10文字以上（IPAは15桁程度）、数字・大文字・小文字、関係ない単語をつなぐ、サービスごとに別。定期的に変える必要はなく、漏れたと分かったらすぐ変える。

避けるのは、IDと同じ文字、自分や家族の名前、電話番号、生年月日、辞書にある単語ひとつ、「123456」のような並びです。人に一度でも教えたパスワードも避けます。パスワードを人に教えない、メールで送らない、メモを画面に貼らない、の3つも総務省の注意です。

全部を覚えるのは無理です。総務省は、スマホやブラウザの標準機能、または専用アプリのパスワード保存機能を使うこともすすめています。その場合は、スマホの画面ロックや、覚えられる強いマスターパスワードで守ります。紙にメモするなら、鍵のかかる所にしまいます。

パスワードを定期的に変える必要はありません。総務省は、漏れた事実が無ければ変える必要はないと書いています。定期的に変えると、作り方が単純になったり、使い回しが増えたりするからです。変えるのは、漏れたと分かったときです。

2段階認証（多要素認証）とは？——3つの要素のうち2つ以上

多要素認証とは、知っているもの・持っているもの・自分の体のうち、2つ以上を組み合わせてログインする方法です。IPAの説明では、確認を何段階かに分けるものを「多段階認証」、違う種類の要素を2つ以上使うものを「多要素認証」と呼びます。サービスによって「2段階認証」「2要素認証」など名前が違います。設定のしかたは、各サービスのヘルプで確かめます。

多要素認証の3つの要素の表。知っているものはパスワードや暗証番号。持っているものはスマホ（SMSのコードや認証アプリ）など。自分の体は指紋や顔など。このうち2つ以上を使うので、パスワードを盗まれてもそれだけでは入れない。SMSで届いたコードは、友達を名乗る相手にも教えない。

多要素認証にしておくと、IDとパスワードを盗まれても、それだけではログインできません。設定する順番は、メール、銀行、携帯会社のアカウント、よく使うSNSと買い物のサイトです。メールが先なのは、ほかのサービスの再設定がメールに届くからです。

パスワードの代わりに指紋や顔、スマホのロック解除でログインする「パスキー」も、IPAがすすめています。使えるかどうかはサービス次第です。設定の画面に「パスキー」があれば、作っておきます。

SMSのコードには落とし穴が1つあります。IPAに多く寄せられた手口では、知り合いを装ったDMで電話番号を聞かれ、届いたSMSの認証コードを教えてしまいます。すると、登録の電話番号やメールを変えられ、自分では入れなくなります。SMSで届いたコードは、誰に頼まれても教えません。相手のアカウント自体が、すでに乗っ取られていることがあるからです。

パスワード管理や2段階認証にお金はかかる？——有料の道具は要らない

ここまでの守りは、総務省が挙げるスマホやブラウザの標準機能から始められます。標準機能には、パスワードを作る機能があるものもあります。多要素認証の設定に料金を取るかどうかは、サービスの案内で確かめてください。この記事では、有料の道具をすすめません。

困ったときの相談も無料です。IPAの情報セキュリティ安心相談窓口は、電話03-5978-7509、10時〜17時（土日祝日・年末年始を除く）です。相談は無料で、通話料はかかります。1回30分以内です。

乗っ取られたら？——自分でログインできるかで手順が決まる

知らない投稿がある、ログインの知らせに覚えがない、急に入れなくなった。どれも乗っ取りの合図です。IPAの手順は、自分でまだログインできるかどうかで分かれます。

乗っ取られたかもしれないときの分岐図。自分でログインできるなら、すぐパスワードを変え、登録のメールと電話番号を確かめ、多要素認証を設定する。ログインできないなら、「パスワードを忘れた」から再設定し、だめならサービスのヘルプへ。同じパスワードのサービスも全部変える。お金が動いたら、今日、銀行かカード会社に電話する。

まだログインできるとき

すぐにパスワードを変えます。次に、登録されているメールアドレスと電話番号を見ます。自分のものでない情報があれば消して、自分の情報だけにします。最後に、多要素認証を設定します。

ログインできないとき

ログイン画面の「パスワードを忘れた」から再設定します。登録したメールや電話番号がまだ使えれば、この方法で取り戻せる可能性があります。それも無理なら、サービスのヘルプページから連絡します。IPAによると、無料のサービスは電話窓口が無いことが多く、ウェブのフォームからの連絡になります。

どちらでも今日やること

同じパスワードを使っているサービスは、全部変えます。お金が動いていたら、今日、銀行かカード会社に電話します。金融庁は、身に覚えのない取引を見つけたら速やかに金融機関に聞くよう案内しています。入管の在留申請オンラインのパスワードを人に知られたら、すぐにログインしてマイページから変えます。

相談先は、何が起きたかで選びます。技術的なことはIPAの安心相談窓口です。お金の被害や被害届は、最寄りの警察署か、都道府県警察のサイバー相談の窓口へ。迷ったら警察相談専用電話の#9110です。銀行とのやりとりで困ったら、金融庁の金融サービス利用者相談室（0570-016811、平日10時〜17時）があります。窓口を一覧で探すなら、外国人の相談窓口の早見表が使えます。

携帯番号を変える・解約する前にやることは？——日本を離れる前は登録先を先に変える

帰国の前日、空港へ向かう前に携帯を解約する。あなたの国では、それが普通かもしれません。日本では、その番号が銀行のコードや、いろいろなサービスの再設定の受け取り先になっていることがあります。番号を手放すのは、登録先を全部変えてからにします。

携帯番号を変える・解約する前の4手順。1、番号とメールを使う所を書き出す（銀行、携帯会社、入管、SNS、買い物、学校・職場）。2、古い番号が使えるうちに、新しい電話番号と、携帯会社と関係のないメールアドレスに登録し直す。3、新しい登録でログインを試し、コードや通知が届くかを見る。4、そのあとで解約する。銀行など、SMS認証が要る手続きは、登録の番号を変えてから。携帯会社のメール（@docomo.ne.jpなど）は回線の契約にひもづく。

順番は4つです。まず、その番号とメールを登録している所を書き出します。銀行、携帯会社、入管の在留申請オンライン、SNS、買い物のサイト、学校や職場です。次に、古い番号でSMSを受け取れるうちに、新しい番号とメールに登録し直します。3つ目に、新しい登録でログインして、コードや通知が届くかを試します。最後に解約します。

2つ目を先にやる理由は、IPAの説明にあります。パスワードを忘れたときに取り戻せるのは、登録したメールや電話番号を使える場合です。番号を手放した後に入れなくなると、残るのはヘルプのフォームだけになります。

メールアドレスにも気をつけます。携帯会社のメール（○○@docomo.ne.jp など）は、回線の契約にひもづくメールです。総務省の資料では、回線を解約した後も使い続けるには、別の申込みが要る形でした（2022年1月の資料）。今の条件は、契約している携帯会社に確かめてください。大事な登録先は、携帯会社と関係のないメールアドレスに移しておくと、乗り換えや帰国のたびに困りません。入管の在留申請オンラインのメールアドレスは、ログインしてマイページから変えられます。

日本を離れるなら、銀行など、SMS認証が要る手続きは、登録の番号を変えてから進めます。帰国の手続き全体の順番は、外国人の帰国前チェックリストにあります。番号を変えずに会社だけ変えるなら、格安SIMの比較とMNPの手順を見てください。