「パスワードを設定しているから、PCやサーバーは安全」——多くの企業がそう考えています。しかし、そのパスワードだけに頼っている状態は、玄関の外に鍵をぶら下げた状態の家とよく似ています。この記事では、身近な比喩を使って、ID・パスワードだけに依存したログインがなぜ危険なのかを整理します。
玄関の外に鍵をぶら下げると、家は「開けっ放し」と同じになる
玄関先・郵便受け・植木鉢の下など、外から見える場所や届く場所に鍵を置くと、それはもう「保管」ではなく「渡している」状態です。侵入者はその鍵を容易に発見し、そのまま解錠して家に入れてしまいます。鍵をかけているつもりでも、施錠の意味は実質的になくなっています。
一度侵入を許すと、室内はくまなく物色されます。通帳（口座情報・残高）、実印（契約のなりすましに悪用）、現金、宝飾品や時計——貴重品の保管場所は短時間で特定され、物色から持ち出しまでが一気に完了してしまいます。
PCのパスワードも、まったく同じ構図
「玄関に鍵で入る」＝「PCにパスワードで入る」です。ID・パスワードが漏洩・窃取されれば、攻撃者は正規の利用者になりすまして、堂々とPCやサーバーの中に侵入できます。
その結果、泥棒が貴重品を盗んで逃げるように、PCの中から会計データ・顧客情報・給与情報などが持ち出され、あるいはランサムウェアによって暗号化されて業務が停止します。侵入者が家の中を物色するのと同じように、攻撃者もサーバー内をくまなく探索し、重要なデータのありかを特定してから被害を拡大させます。
SaaSの2要素認証だけでは「家の入口」は守れない
「クラウドサービス（SaaS）はすでに2要素認証にしているから大丈夫」という声もよく聞きます。しかし、それはたとえるなら「娘の部屋の鍵」だけを2要素認証にしているようなものです。
家全体の玄関——つまりPC・サーバーへのログインそのものが鍵1本（パスワードのみ）のままであれば、攻撃者はまず家の中に堂々と侵入できてしまいます。中に入られてしまえば、個々の部屋（各SaaS）の鍵をどれだけ強化していても、その手前にある共有ファイルやローカルデータ、他のシステムへの入口が無防備なままです。最初に対策すべきは、個別の部屋ではなく家全体の玄関なのです。
なぜ今、パスワードレス化が急務なのか
パスワードがPCの「入口」に残る限り、突破された瞬間にPC内へ侵入されるリスクは消えません。米国・英国では既にパスワードレス化が先行しており、FIDO Allianceの調査（2025〜2026年）によれば、米英企業の87％がPasskeyを導入・展開中、世界全体でも68％の組織が従業員認証でPasskeyを導入・展開中、28％が完全パスワードレスを達成しているとされています。
日本国内でも、被害はすでに現実のものになっています。
- アサヒグループホールディングス（2025年）：ランサムウェア被害により営業利益が約700億円減少
- アスクル株式会社（2025年）：ランサムウェア被害により特別損失約52億円
- 株式会社ニチレイ（2026年）：不正アクセス被害、被害額は調査中（未公表）
国内でも、パスワードレス化は「いつか対応すればいい」ものではなく、今すぐ着手すべき対策になっています。
生体認証も「単一要素」なら同じリスクを抱える
「指紋認証や顔認証にしているから安心」という考え方にも注意が必要です。指紋や顔の情報も、結局はデータとしてPCの入口に「置かれている」だけであり、それが単一の要素である限り、パスワードで入るのと同じ構図から逃れられません。
本質的な解決策は、複数の要素を重ねる「多要素認証」です。一般的に、認証の要素は次の3種類に整理されます。
- 所有：本人だけが持っているデバイスやキー
- 知識：本人だけが知っているPIN・パターン
- 生体：指紋・顔などの生体情報（他の要素と併用する場合に効果を発揮）
Microsoftの調査では、多要素認証（MFA）はID・パスワード漏洩時の攻撃成功率をわずか1.44％まで抑え、リスクを98.56％削減すると報告されています（約12.8万件の漏洩アカウントを分析した結果に基づく実証済みの数値です）。単一要素は突破されますが、複数要素を重ねることで、侵入の可能性は大きく下がります。
「入口の対策」と「中の対策」を混同していませんか
ウイルス対策ソフト・UTM／エンドポイント対策・銀行やクレジットカードの認証(メール・スマホ)——これらはいずれも重要な対策ですが、「PCの入口」を守る対策とは役割が異なります。
- 入口の対策：多要素認証など、PCやサーバーへのログインそのものを守る対策。侵入を最初の関門で止めます。
- 中の対策：ウイルス対策ソフト・UTM／エンドポイント対策・銀行やカードの認証など。入口を突破された後の被害を抑える対策で、入口対策の代わりにはなりません。
入口を破られてしまうと、中の対策をいくら積み重ねても突破されるリスクは高いままです。まず守るべきは、最初の関門である「入口」——PCやサーバーへのログインそのものです。この違いは UTM・ウイルス対策があれば認証は不要？でも詳しく解説しています。
「入口を固める」ことが、取引継続と企業信頼を守る
自社でサーバーを構築して認証基盤を整備する場合、導入・運用だけで数千万〜数億円規模のコストになることもあります。一方で、サブスクリプション型の多要素認証サービスであれば、比較的低コスト・短期間で「入口」を固めることができます。
ランサムウェア対策は、もはや任意の取り組みではありません。大手企業は取引先のセキュリティ水準を重視しており、対策不足は取引継続のリスクにつながります。また、ID・パスワードが漏れる、入力を誤るといったミスが起きても、多要素認証によって入口を止めておけば、情報資産と企業の信頼を守ることができます。
よくある質問
Q. SaaSやクラウドサービスの2要素認証を導入していれば十分ですか？
A. 十分ではありません。SaaSの2要素認証は「部屋の鍵」に相当し、重要な対策ですが、PC・サーバーへのログインそのもの（家の玄関）がパスワードのみであれば、攻撃者はそこから侵入できてしまいます。
Q. 指紋認証や顔認証を使っていれば安全ですか？
A. それが唯一の認証要素（単一要素）である場合、パスワードのみのログインと同じリスクを抱えています。所有・知識・生体のうち複数を組み合わせる「多要素認証」が必要です。
Q. ウイルス対策ソフトを導入していますが、それでも認証の対策は必要ですか？
A. 必要です。ウイルス対策ソフトやUTMは「PCの中の対策」であり、正規のID・パスワードを使った正規ログインそのものは防げません。「入口の対策」である多要素認証は別に必要です。
Q. 多要素認証を導入すると、本当にどれくらいリスクが下がりますか？
A. Microsoftの調査によれば、多要素認証はID・パスワード漏洩時の攻撃成功率を1.44％まで抑え、リスクを98.56％削減すると報告されています。
自社の「玄関」がどうなっているか確認する
自社のPC・サーバーへのログインが、ID・パスワードだけに依存していないか——まずはそこから確認することが、家全体の玄関を固める第一歩です。applippliの無料診断では、約3分の質問に回答するだけでリスクレベルを判定し、 多要素認証（MFA）の導入状況やSCS評価制度への対応状況もあわせてPDFレポートでお届けします。Windows PC・Windows Serverでの具体的な導入方法は OSログインの2要素認証とは？導入方法と選び方で解説しています。