- はじめに：怖がる記事ではなく、順番に片付ける記事です
- 結論：優先順位はこの10個です
- ① Google・Microsoft・Appleなど重要アカウントを守る
- ② 銀行・証券・クレジットカードを守る
- ③ パスワードの使い回しをやめる
- ④ Windows・スマホ・ブラウザを自動更新にする
- ⑤ メール・SMSのリンクからログインしない
- ⑥ アカウントの復旧設定を確認する
- ⑦ Windowsのセキュリティ機能を確認する
- ⑧ 重要なデータをバックアップする
- ⑨ Wi-Fiルーターの設定を確認する
- ⑩ 不要なアカウント・アプリ・拡張機能を整理する
- 10分でできるセキュリティチェック
- まず取り組みたい5つ
- セキュリティは「4つの層」で考える
- よくある質問（FAQ）
- まとめ
- 参考資料（一次情報）
はじめに：怖がる記事ではなく、順番に片付ける記事です
ここ数年、個人を狙った攻撃の形がはっきり変わってきました。銀行やカード会社をかたるフィッシング、漏れたパスワードの使い回しを突く不正ログイン、2025年に相次いだ証券口座の乗っ取り、クレジットカードの不正利用、「荷物を持ち帰りました」などの偽SMS、偽の警告を出すサポート詐欺、ファイルを人質にするランサムウェア。文面がとても自然な詐欺メールも珍しくなくなりました。
数字にも出ています。フィッシング対策協議会への報告件数は2025年の1年間で2,454,297件と過去最多になりました（フィッシングレポート2026）。2025年のインターネットバンキング不正送金は4,747件・約103億9,700万円で、その手口の約9割がフィッシングとされています（警察庁）。
ただ、不安だけが残ってしまうと意味がありません。この記事でお伝えしたいのは、「全部やらないと危ない」ではなく「やる順番がある」ということです。効果の大きい対策は限られています。上から順に片付けていくと、被害に遭うリスクを着実に下げられます。
手元にスマホかパソコンを置いて、できるところから一緒に進めていきましょう。
この記事は2026年10月時点の公式情報をもとにしています。設定画面の名称や並びは、端末・OS・アプリのバージョンによって異なる場合があります。見つからないときは、設定画面の検索欄に「パスキー」「2段階認証」などと入れて探すのが早いです。
結論：優先順位はこの10個です
細かい話の前に全体像を置いておきます。
| 優先順位 | 対策 | 重要度 |
|---|---|---|
| 1 | Google・Microsoft・Appleなど重要アカウントにパスキーまたは多要素認証 | ★★★★★ |
| 2 | 銀行・証券・クレジットカードに多要素認証＋ログイン・取引通知 | ★★★★★ |
| 3 | パスワードの使い回しをやめる | ★★★★★ |
| 4 | Windows・スマホ・ブラウザ・アプリを自動更新 | ★★★★★ |
| 5 | メール・SMSのリンクから直接ログインしない | ★★★★★ |
| 6 | アカウント復旧用メール・電話番号・バックアップコードを確認 | ★★★★☆ |
| 7 | Windows Defender・ファイアウォールを確認 | ★★★★☆ |
| 8 | 重要データをバックアップ | ★★★★☆ |
| 9 | Wi-Fiルーターのセキュリティ設定を確認 | ★★★☆☆ |
| 10 | 不要アカウント・アプリ・ブラウザ拡張を整理 | ★★★☆☆ |
1〜5は今日のうちに手を動かしていただきたいものです。この5つは、実際の画面の順番まで書いていきます。
① Google・Microsoft・Appleなど重要アカウントを守る
なぜ銀行より先にメールアカウントなのか
意外に思われるかもしれませんが、最初に守るべきは銀行口座ではなく、メールアカウントです。
多くのサービスがこういう仕組みになっているからです。
パスワードを忘れる → 登録しているメールアドレスに再設定用のURLが届く → そのURLで新しいパスワードを決める
つまり、メールを乗っ取られると、そのアドレスで登録しているサービスのパスワードを次々に変えられてしまう可能性があります。通販、SNS、場合によっては金融機関まで連鎖します。メールアカウントは、家の「合鍵がしまってある場所」です。ここを一番丈夫にします。
パスキーとは何か
パスキーは、パスワードの代わりにスマホやパソコンの指紋・顔認証・画面ロックの暗証番号でログインする仕組みです。利点は2つあります。
- パスワードを入力して相手に渡す必要がないので、偽サイトにだまし取られにくい
- 本物のサイトやサービスに結び付いた鍵が使われるため、偽サイトでは反応しない
ただし、パスキーにしたから何もしなくてよいわけではありません。端末の画面ロックと、パスキーの同期先になっているアカウント（Googleアカウントなど）の保護は引き続き大切です。
Googleアカウントの設定手順
パソコンでもスマホでも、手順はほぼ同じです。
パスキー
Googleアカウント → 「セキュリティとログイン」 → 「Googleにログインする方法」 → 「パスキーとセキュリティキー」 → 「パスキーを作成」 → 画面ロックで本人確認
迷ったら、公式ヘルプが案内している直接URLから開くのが確実です：myaccount.google.com/signinoptions/passkeys
2段階認証
Googleアカウント → 「セキュリティとログイン」 → 「Googleにログインする方法」 → 「2段階認証プロセスを有効にする」
再設定用メール・再設定用電話番号
「セキュリティとログイン」 → 「Googleにログインする方法」 → 「再設定用のメールアドレス」「再設定用の電話番号」を開いて、今も使えるものか確認
ここは古い携帯番号や、もう見ていないメールアドレスのままの方がとても多いところです。ぜひ今日見てください。
画面の文言は順次更新されており、環境によって「セキュリティ」「Googleへのログイン方法」のように少し違って見えることがあります。意味は同じものとして進めてください。
まとめて見直すなら、myaccount.google.com/security-checkup（セキュリティ診断）が便利です。ログイン方法・端末・連携アプリの要注意点をGoogleが一覧で教えてくれます。
Microsoftアカウントの設定手順
account.microsoft.com/security → 「セキュリティ」 → 「サインイン方法の管理」 → 「追加のセキュリティ」の下の「2段階認証」 → 「有効にする」 → 画面の指示に従う
認証アプリのMicrosoft Authenticator（無料）をスマホに入れておくと、ログインのたびにアプリ側で確認する形になり、SMSより安全です。確認の方法は「承認を押すだけ」のものと「画面に出た数字を入力する」ものがあるので、表示された案内に従ってください。
同じ「サインイン方法の管理」の画面から、パスキーの追加や、セキュリティ情報（回復用のメールアドレスなど）の確認もできます。
個人用のMicrosoftアカウントでは、SMSによる認証が段階的に廃止されつつあり、新しい電話番号を追加できない場合があります。現在その画面に表示されている方法（回復用メール、Authenticator、パスキーなど）を確認して、使えるものを設定してください。
Appleアカウントの設定手順
iPhoneやiPadをお使いなら、Appleアカウント（以前の「Apple ID」）を確認します。
iPhoneの「設定」 → 一番上の自分の名前 → 「サインインとセキュリティ」 → 「2ファクタ認証」がオンか確認
同じ画面から信頼できる電話番号を追加・確認できます。確認コードは、信頼できるデバイス（すでにサインインしているご自分のiPhoneやMac）に表示されるか、信頼できる電話番号に届きます。
ご家族の番号を2つ目として登録しておくと、機種変更やスマホ紛失のときに助かります。登録するときは、ご本人の了解を得て、今後も連絡がつく番号にしてください。（出典：Appleアカウントの2ファクタ認証）
認証方法には強さの順番があります
パスキー（指紋・顔・画面ロック） ＞ 認証アプリ ＞ SMS認証 ＞ パスワードのみ
考え方はシンプルです。使えるならパスキーを優先。次に認証アプリなどの多要素認証を設定する。SMSしか選べない場合も、未設定のままより保護を強められます。
「SMSは危険だから使ってはいけない」という話ではありません。ただ、SMSや認証アプリの数字コードは、偽サイトにコードを入力させる手口には弱い面があります。防げる攻撃は方法によって違うので、より強い選択肢があればそちらへ、という順番です。（出典：CISA「フィッシング耐性のある多要素認証」）
② 銀行・証券・クレジットカードを守る
2025年に何が起きたか
2025年、日本の証券会社のインターネット取引で、口座の乗っ取りによる不正取引が相次ぎました。
金融庁は、フィッシングサイトなどで盗まれたIDとパスワードが使われ、口座の中の株が勝手に売られ、その代金で値動きの荒い小型株などが買われるケースが多いと説明しています（金融庁の注意喚起）。
これを受けて、業界全体でパスキーなど「フィッシングに耐性のある多要素認証」への移行が進んでいます。金融庁は証券会社向けの監督指針を2025年10月15日に改正・施行し、原則として2026年6月末までの実施を求めました（金融庁資料）。日本証券業協会も、パスキー等の認証方式が提供されている場合は速やかに切り替えるよう呼びかけています（日本証券業協会）。
たとえばSBI証券は、2026年6月30日からパスキー認証を原則必須とする方針を公式FAQで示しています。ただし同FAQでは、従来のユーザーネームとパスワードでも引き続きログインできるとされており、未設定の方には設定を促す案内が表示・配信されます（SBI証券 FAQ）。
必須化の時期や方式は証券会社ごとに異なり、同じ会社でも利用者ごとに段階的に案内される場合があります。ご自分が使っている会社の公式サイトやアプリ内のお知らせで確認してください。
カード側も見ておきましょう。日本クレジット協会の集計では、2025年通年のクレジットカード不正利用被害額は510.5億円、うち番号盗用が475.4億円（約93%）でした（2026年3月6日発表）。2026年4〜6月期でも番号盗用が約93%を占めています（2026年9月7日発表）。カードそのものを盗まれるのではなく、番号が盗まれて使われるのが被害の中心です。
二重に守る、という考え方
ここが、この記事で一番お伝えしたい考え方です。金融サービスのセキュリティには2つの役割があります。
- 侵入させない（多要素認証・パスキー）
- 侵入・取引されたら、すぐ気付く（通知）
片方では足りません。鍵を増やしても、万一入られたときに気付けなければ被害は広がります。逆に通知だけでは入られてしまいます。
確認してほしい設定
利用中の金融機関の「セキュリティ設定」「お知らせ設定」「通知設定」といった画面を開いて、次を探してください。
| 設定 | なぜ必要か |
|---|---|
| 多要素認証（できればパスキー） | ID・パスワードが漏れてもログインされにくくする |
| ログイン通知 | 知らない場所・端末からのログインに気付ける |
| 取引通知（売買の通知） | 勝手に株が売買されたらすぐ分かる |
| 出金通知 | お金が外に出るのを見逃さない |
| 登録メールアドレス変更の通知 | 通知の宛先を書き換えられる手口に気付ける |
| 出金先銀行口座の変更時の通知 | 送金先をすり替える手口に気付ける |
とくに下2つ――メールアドレスの変更と出金先口座の変更――は見落としがちですが、非常に重要です。攻撃者はまずここを書き換えて、通知が本人に届かないようにしようとします。
ただし、これらの通知は会社によって扱いが違います。 利用者がオン・オフを選べるものもあれば、重要な変更として自動で送られ、停止できないものもあります（たとえばマネックス証券は出金・出金先口座変更の通知を無効化できないと案内しています）。
やること：使っている銀行・証券・カード会社のアプリを開いて、「セキュリティ」や「各種設定」の中を一度ぜんぶ見る。ログイン・取引・出金の通知を、設定できる範囲でオンにする。 登録メールや出金先口座を変更したときの通知が、自動で送られるのか、設定が必要なのかも確認する。
通知が増えて煩わしく感じるかもしれませんが、ふだんの操作の通知に見慣れておくことが、覚えのない通知に気付く力になります。
③ パスワードの使い回しをやめる
リスト型攻撃という手口
リスト型攻撃は、こういう流れです。
①あるサービスAから、利用者のメールアドレスとパスワードの一覧が漏れる
↓
②攻撃者がその「メールアドレス＋パスワード」の組み合わせを手に入れる
↓
③Amazon、Google、楽天、証券会社、SNSなどに、同じ組み合わせを機械的に片っ端から試す
↓
④同じパスワードを使っていたサービスに、そのまま入られてしまう
攻撃者はパスワードを一から推測しているのではありません。漏えい元で実際に使われていた組み合わせを持っていて、それが他でも通るかどうかを試しているのです。だから、どれだけ複雑なパスワードでも、使い回していると、一か所の漏えいが他のサービスにまで広がってしまいます。（参考：OWASP「Credential stuffing」）
IPAの「情報セキュリティ10大脅威 2026」でも、個人向けの脅威として「インターネット上のサービスへの不正ログイン」が挙げられています（IPA）。
対策は3つ
- サービスごとに違うパスワードにする（これが一番効きます）
- できるだけ長くする（複雑な記号より長さが効きます。サービスが許す範囲で長く、たとえば16文字以上を目安に）
- パスワードマネージャーを使う（覚える必要がなくなります）
パスワードマネージャーについて
パスワードマネージャーは、パスワードを金庫のように保管し、ログイン画面で自動入力してくれる仕組みです。使い回す理由自体がなくなります。すでにお使いの環境に、無料で入っているものがあります。
| 種類 | 入っているもの |
|---|---|
| Googleアカウント／Chrome | Google パスワード マネージャー |
| iPhone／Mac | 「パスワード」アプリ |
| Microsoft Edge | Edgeのパスワード保存機能 |
| 単体のサービス | 1Password、Bitwardenなど |
まずは、すでに使っている環境のものから始めるのが一番ラクです。特定の製品を買う必要はありません。あとで乗り換えることもできます。無料で使える範囲や対応端末は製品ごとに違うので、選ぶときは公式の案内を確認してください。
なお、パスワードマネージャーを使うときは、それを守るアカウント（Googleアカウントなど）に必ずパスキーか多要素認証をかけておくことが前提になります。①に戻ってきます。
「紙に書いてはいけない」は本当か
よく「パスワードを紙に書くな」と言われますが、これは少し乱暴なまとめ方だと思います。
英国のNCSC（国家サイバーセキュリティセンター）も、他人がアクセスできない安全な場所に、端末とは分けて紙で保管するという選択肢を認めています（NCSC）。
同じ短いパスワードを全サービスで使い回している状態と、サービスごとに違う長いパスワードを手帳に書いて自宅の引き出しにしまっている状態を比べたら、後者のほうが安全なことがよくあります。リスト型攻撃はインターネット越しに自動で行われるので、自宅の引き出しの中の紙はその射程に入っていません。
もちろん条件はあります。
- 自宅の人目につかない場所にしまう（PCの横に貼らない、持ち歩かない）
- 端末とは別の場所に保管する
- 自分があとで確実に読み解ける書き方にする（分かりにくくしすぎて本人が復旧できなくなるのは本末転倒です）
- できれば、家族には場所だけ伝えておく
盗難・紛失・同居する人の目といったリスクは別に考える必要がありますが、ITの操作が負担に感じる方なら、「マネージャーを完璧に使いこなす」より「紙でもいいから使い回しをやめる」ほうが、実際の安全につながります。できる方法でやめることが大事です。
④ Windows・スマホ・ブラウザを自動更新にする
攻撃の多くは、すでに修正済みの弱点を狙ってきます。更新を当てていれば通らない攻撃が、更新していない端末では通ってしまいます。
Windows
まずは自動更新が効いていることと、更新が溜まっていないことを確認します。
「設定」 → 「Windows Update」 → 「更新プログラムのチェック」 → 必要なら再起動
同じ画面に「最新の更新プログラムが利用可能になったらすぐに入手する」というスイッチがあります。ここは誤解しやすいのですが、これはセキュリティ更新を早める設定ではありません。 Microsoftの説明では、セキュリティ以外の修正や新機能を段階配信を待たずに早く受け取るための設定で、セキュリティ更新はこのスイッチのオン・オフに関わらず通常どおり届きます（Microsoft）。新機能も早く試したい方だけオンにすれば十分です。
サポート期限にも注意してください。
- Windows 10 のサポートは2025年10月14日に終了しました。個人向けの「拡張セキュリティ更新プログラム（ESU）」に登録している場合は2027年10月12日までセキュリティ更新を受け取れますが、これは移行までのつなぎです（Microsoft公式）。この期間のうちにWindows 11への移行を検討しておくと安心です。
- Windows 11にも、バージョンごとの期限があります。 「Windows 11だから大丈夫」ではなく、サポート中のバージョンで最新の更新を受け続けることが大切です。2026年9月29日から配信が始まったバージョン26H2（2026 Update）は2028年10月10日まで、25H2は2027年10月12日までとされています（Microsoftリリース情報）。
Chrome・Edge
Chrome：右上の「︙」 → 「ヘルプ」 → 「Google Chrome について」
Edge：右上の「…」 → 「ヘルプとフィードバック」 → 「Microsoft Edge について」
この画面を開くと更新の確認が始まり、必要なら自動でダウンロードされます。「再起動」ボタンが出たら押してください。これはパソコン版の手順で、スマホのアプリはストアからの更新になります。（出典：Chrome／Edge）
iPhone
iPhoneの更新は、2つの場所を見ておくと確実です。
（1）OSの自動アップデート
「設定」 → 「一般」 → 「ソフトウェアアップデート」 → 「自動アップデート」
ここで「自動インストール」と「自動ダウンロード」をオンにしておくと、充電中・Wi-Fi接続中の夜間に自動で更新されます。
（2）バックグラウンドでのセキュリティ改善
「設定」 → 「プライバシーとセキュリティ」 → 「バックグラウンドでのセキュリティ改善」
こちらは、OSの大きな更新を待たずに、緊急性の高いセキュリティ修正だけを適用する仕組みです。OSの自動アップデートとは別の場所にあるので、両方確認してください。（出典：iPhoneをアップデートする／バックグラウンドセキュリティ改善について）
古いバージョンのiOSでは、項目名や場所が異なる場合があります。
Android
Androidはメーカーや機種、通信会社によって画面名が違います。Googleが案内している基本の場所はこちらです。
「設定」 → 「システム」 → 「ソフトウェア アップデート」
適用状況は「設定」→「デバイス情報」→「Androidバージョン」からも確認できます。セキュリティ更新やGoogle Playシステムアップデートの項目の位置は機種差が大きいので、設定画面の検索欄に「更新」「アップデート」と入力するか、メーカーの公式手順で確認するのが確実です。（出典：Android ヘルプ）
更新するのはOSだけではありません
- ブラウザ（Chrome、Edge、Safari、Firefox）
- Adobe Acrobat ReaderなどのPDFソフト、Zoom、Microsoft Office
- スマホのアプリ（App Store / Google Playの自動更新をオンに）
- WordPressとそのテーマ・プラグイン（ブログをお持ちの方）
- Wi-Fiルーターのファームウェア（⑨で説明します）
「OSは最新だけど、ルーターは買ってから一度も更新していない」というのは、よくあるパターンです。
⑤ メール・SMSのリンクからログインしない
ここは習慣の話です。設定ではありませんが、効果は設定に負けません。
こんなメッセージが来ます
- 「楽天カードのご利用を一部停止しました。ご確認ください」
- 「SBI証券より重要なお知らせ。本人確認が必要です」
- 「Googleアカウントに不正アクセスの可能性があります」
- 「Amazonのお支払い方法に問題があります」
- 「お荷物のお届けにうかがいましたが不在のため持ち帰りました」
- 「国税庁より未払い税金のお知らせ」
2026年9月の報告では、Amazonをかたるフィッシングが全体の約33%を占め、次いでApple、セゾンカード、アメリカン・エキスプレス、国税庁が多く、上位5ブランドで全体の約65%でした（フィッシング対策協議会）。
たった1つのルール
内容がどれだけ本物に見えても、メールやSMSの中のURLを押してログインしない。
これだけです。シンプルですが、多くのフィッシング被害を避けられます。確認方法は、安全な順にこうなります。
| 順位 | 方法 | 安全性 |
|---|---|---|
| 1 | 公式アプリを自分で開く | 最も安全 |
| 1 | 自分で保存したブックマークを開く | 同じく安全。一度登録すればずっと使える |
| 3 | 公式サイトを検索して開く | 注意が必要。検索結果の広告枠に偽サイトが出ることがあります |
| 4 | メール・SMSのリンクを押す | 避けてください |
一番おすすめしたいのは、公式アプリか、自分で保存しておいたブックマークです。 金融庁も、証券会社のサイトには正しいURLをブックマークしてアクセスするよう案内しています。
今日やっておくとよいこと：よく使う銀行・証券・カード会社・通販サイトを、自分で正しいURLからアクセスしてブックマークに登録する。できればお気に入りバーに並べて、そこからしか入らない習慣にする。
「メールが本当かどうか確かめたい」ときも、メールのリンクではなく、アプリやブックマークから入ってお知らせを確認してください。本物の連絡なら、サービス内のお知らせにも掲載されていることがあります。見当たらない場合は、公式サイトに書かれている窓口に問い合わせてください。
文章の上手さで判断してはいけません
以前は「日本語がおかしいから詐欺だ」と見分けられる場面がありました。その判断方法は、もう頼りになりません。
2026年9月の報告では、メール本文に受信者の氏名が入っているフィッシングメールが確認されています。また、実在するサービスの送信元ドメインをかたるなりすましメールも増えています（協議会の調査用メールアドレスに届いたフィッシングメールでは約37.8%）。
つまり、「文面がきれい」「自分の名前が書いてある」「送信元アドレスが正しく見える」は、本物である証拠にはなりません。判断基準を変えてください。
「文面を見て判断する」から「リンクを押さずに自分で確認する」へ。
これなら、相手の文章がどれだけ上手でも関係ありません。
⑥ アカウントの復旧設定を確認する
ここは「攻撃から守る」のではなく、自分が困らないようにするための設定です。
スマホを落として失くした。パスキーも認証アプリもそのスマホに入っていた。パスワードは覚えていない。
このとき、本人であってもログインできなくなる可能性があります。セキュリティを強くすると、この「自分も入れない」リスクが上がります。だから出口を用意しておきます。確認したいのは5つです。
- 再設定用メールアドレス … 今も見られるアドレスか
- 再設定用の電話番号 … 今使っている番号か（昔の番号のままが多い）
- バックアップコード … 下で説明します
- 信頼できるデバイス … 家族共用でない、自分の端末が登録されているか
- パスキー／セキュリティキー … 可能なら2つ以上の端末に登録
バックアップコードは、多要素認証が使えないときに代わりに使える、使い捨ての数字の一覧です。Googleアカウントでは、2段階認証プロセスを有効にしたうえで発行できます。
Googleアカウント → 「セキュリティとログイン」 → 「Googleにログインする方法」 → 「2段階認証プロセス」 → 「バックアップコード」
発行したら、印刷するか手書きで写して、自宅の安全な場所に保管してください。スマホの中だけに置くと、スマホを失くしたときに一緒に失われます。通帳や印鑑と同じ扱い、と考えると分かりやすいと思います。可能なら、ご家族にも「どこにしまってあるか」を伝えておいてください。
バックアップコードは、すべてのサービスにある仕組みではありません。また、Googleの「高度な保護機能プログラム」に参加している場合は利用できないなどの例外もあります。お使いのサービスで用意されている復旧方法を、公式の案内で確認してください。（出典：Google「バックアップコード」）
⑦ Windowsのセキュリティ機能を確認する
Windows 11にはMicrosoft Defenderというウイルス対策機能が標準で入っています。追加のソフトを買っていなくても、守りはすでに働いています。大事なのは、それが正しく有効か一度確認しておくことです。
「Windows セキュリティ」を開く（タスクバーの検索欄に「Windows セキュリティ」と入力するのが早いです） → 「ウイルスと脅威の防止」 → 「ウイルスと脅威の防止の設定」の「設定の管理」
ここで次がオンになっているか確認します。
| 項目 | 役割 |
|---|---|
| リアルタイム保護 | ファイルを開いた瞬間・ダウンロードした瞬間に調べる |
| クラウドによる保護 | 新しい脅威に対応するための強化をMicrosoftから受け取る |
| 改ざん防止 | 悪意のあるアプリが、上の設定を勝手に変えることを防ぐ |
続いてファイアウォールです。
「Windows セキュリティ」 → 「ファイアウォールとネットワーク保護」
「ドメイン ネットワーク」「プライベート ネットワーク」「パブリック ネットワーク」の3種類が表示されます。それぞれが有効か、画面に「要対応」の警告が出ていないかを確認してください。ファイアウォールは、外から勝手に入ってこようとする通信をブロックする壁のようなものです。
他社製のウイルス対策ソフトを入れている場合は、そのソフトが有効になっていればDefenderの一部が自動的に待機状態になります。チェックの色だけで判断せず、「どのソフトが保護を担当しているか」と「そのソフト側の保護状態」を確認してください。
有料のウイルス対策ソフトは必要か。 これはよく聞かれますが、この記事では「買うべき」も「買わなくてよい」も申し上げません。お伝えしたいのは中立的にこの一点だけです。
一般的な家庭での利用であれば、まずWindows標準のセキュリティ機能を正しく有効にしておくことが重要です。
ただし、ウイルス対策ソフト（標準でも有料でも）だけでは、フィッシングやリスト型攻撃による被害をすべて防ぐことはできません。Web保護機能などが助けになる場面はありますが、順番としては、まず①〜⑤に取り組むほうが効果が大きいです。
なお、「ウイルスに感染しました」と画面いっぱいに警告を出して電話をかけさせる手口はサポート詐欺です。本物のセキュリティソフトが電話番号を表示して電話をかけさせることはありません。IPAの「10大脅威 2026」でも個人向けの脅威に挙げられています。
⑧ 重要なデータをバックアップする
ランサムウェアだけでなく、パソコンの故障、落雷、水没、うっかり削除にも効くのがバックアップです。データを元に戻せるようにしておく、という意味で、他の対策では代えがたい重要な備えです。
3-2-1バックアップという考え方があります。
3 つのコピーを持つ（元データ＋バックアップ2つ）／2 種類の違う媒体に保存／1 つは別の場所に置く
ご家庭での具体例はこちらです。
| 置き場所 | 具体例 | 役割 |
|---|---|---|
| パソコン本体 | 元のデータ | ふだん使う |
| クラウド | OneDrive、Googleドライブ、iCloudなど | 家が被災しても残る |
| 外付けSSD／HDD | USBでつなぐ外付けドライブ | ネットから切り離せる＝暗号化攻撃に強い |
外付けドライブは、バックアップが終わったらパソコンから外して引き出しにしまうのがコツです。つなぎっぱなしだと、ランサムウェアにバックアップまで暗号化されてしまうことがあります。
注意したいのは、「クラウドに置いてあるから安心」とは限らない点です。 多くのクラウドは「同期」の仕組みなので、手元のファイルが消えたり暗号化されたりすると、クラウド側も同じ状態になることがあります。大事なのは、過去のバージョンに戻せる履歴があるかと、その復元方法と期限です（たとえばOneDriveの一括復元は対象プランや過去30日などの条件があります）。お使いのサービスの条件を一度確認しておいてください。
また、外付けドライブも同じ家の中だけだと、火災や水害では一緒に失われます。本当に大切なデータは、クラウドか別の場所にもう1つ置いておくと安心です。
対象は優先度の高いものから、家族の写真・動画、確定申告の資料、資産管理のデータ、Word・Excelの書類、音楽制作のプロジェクトや動画素材、WordPressのデータ、パスワードマネージャーの復旧情報（紙で保管）です。
まずは写真だけでも始めてください。失ってから一番悔しいのは、たいてい写真です。
⑨ Wi-Fiルーターの設定を確認する
ルーターは一度設置すると触らなくなる機器ですが、家のネットワークの玄関です。チェックは7つです。
はじめに用語の整理です。ルーターには2種類のパスワードがあります。管理用パスワード（ルーターの設定画面に入るためのもの）と、Wi-Fi接続用パスワード（スマホなどを繋ぐときに入れるもの）です。下の「1」は前者のことです。
1. 管理用パスワードを初期値から変更する。 初期値のままだと型番から推測されるおそれがあります。バッファローも「必ずランダムな英数字を使った複雑な個別のパスワードに変更しましょう」と案内しています（公式ページ）。なお、本体のシールに1台ごとの個別パスワードが印刷されている機種は、出荷時から推測されにくい設計です。全製品共通の初期値とは別物なので、まずシールを確認してみてください。
2. ファームウェアを最新にする。 ファームウェアはルーターの中で動いているソフトです。弱点が見つかるとメーカーが修正版を出します。最近の機種には自動更新機能があるので、設定画面で探してオンにしておくのが一番ラクです。
3. 暗号化方式はWPA3、または WPA2-AES に。 暗号化方式はWi-Fiの通信を読まれないようにする仕組みです。総務省の「自宅Wi-Fi利用者向け 簡易マニュアル」でもWPA2またはWPA3が案内されています（総務省／政府サイバーセキュリティポータルの紹介ページ）。
誤解を避けるために書いておくと、「WPA2だから即危険」ということはありません。 WPA2-CCMP／AESは現在も使われている方式です。ただし、それだけで安心というわけでもなく、ファームウェアが最新であることと、Wi-Fi接続用パスワードが十分に長く推測されにくいことが条件になります。選べるなら WPA3 を優先し、古い機器を繋ぐ必要があるときは WPA2/WPA3 の移行モードを使うのが一般的な考え方です（Appleのルーター推奨設定）。新しく買い替えるなら、WPA3対応の機種を優先するとよいでしょう。
4. WEPやTKIPは使わない。 WEPは古い方式で、現在は避けるべきものとされています。設定画面で選ばれていたらWPA2/WPA3に変更してください。古いゲーム機のためにWEPを有効にしている場合は、その機器の買い替えも含めて検討をおすすめします。
5. WPSは使っていなければオフを検討。 ボタンを押すだけで機器をつなげる便利機能です。ふだん使っていないならオフが無難です。
6. 外部からの管理機能は、必要がなければオフ。 外出先からルーターの設定画面を開ける機能（「リモート管理」など）は、使っていなければオフにしてください。
7. 古いルーターを長く使い続けない。 メーカーのサポートが終わると、弱点が見つかっても修正版が出なくなります。これは一番見えにくいリスクです。なお、保証期間が終わったからといって、すぐに更新が止まるわけではありません。バッファローは保証期間を過ぎた製品についても可能な範囲で脆弱性に対応するとしつつ、対応できない場合もあると説明しています。5〜6年以上使っているルーターは、一度メーカーサイトで対応状況を確認してみてください。
⑩ 不要なアカウント・アプリ・拡張機能を整理する
最後は、攻撃される入口を減らすという考え方です。使っていないものは、守る対象でありながら、誰も見ていない入口になります。
| 整理するもの | 確認方法の目安 |
|---|---|
| Chrome拡張機能 | Chromeの「︙」→「拡張機能」→「拡張機能を管理」。覚えのないものは削除 |
| 使っていないスマホアプリ | 1年触っていないものを削除 |
| Googleアカウントと連携した不要サービス | myaccount.google.com/connections で確認・解除 |
| 使っていない通販サイトのアカウント | 住所とカード情報が残っていることが多い。退会を検討 |
| 古いSNSアカウント | 使っていないなら削除 |
| APIキー・アクセストークン | 開発をされている方は、使っていないものを失効させる |
| WordPressのプラグイン | 停止中のものも含めて削除。古いプラグインは侵入口になります |
| PCの不要ソフト | 「設定」→「アプリ」→「インストールされているアプリ」から削除 |
とくにブラウザの拡張機能は注意したいところです。拡張機能は、見ているページの内容を読み取れる強い権限を持つことがあり、作者が変わってあとから情報を送るようになった例もあります。「便利そうだから入れたけれど、もう使っていない」ものは、思い切って消してしまって大丈夫です。
10分でできるセキュリティチェック
印刷して、鉛筆で埋めていただくのがおすすめです。
| チェック | 確認項目 | 済 |
|---|---|---|
| パスキーまたは2段階認証を設定した | □ | |
| 再設定用メールを確認した | □ | |
| 再設定用電話番号を確認した | □ | |
| バックアップコードを紙で保管した | □ | |
| Microsoft | 2段階認証を確認した | □ |
| Microsoft | セキュリティ情報（回復用の連絡先）を確認した | □ |
| Apple | 2ファクタ認証を確認した | □ |
| Apple | 信頼できる電話番号を確認した | □ |
| 銀行 | 多要素認証をON | □ |
| 銀行 | ログイン・振込通知を設定できる範囲でON | □ |
| 証券 | 多要素認証（できればパスキー）をON | □ |
| 証券 | ログイン通知をON | □ |
| 証券 | 取引・出金通知を設定できる範囲でON | □ |
| 証券 | 登録メール・出金先口座変更の通知が届くか確認した | □ |
| クレカ | 利用通知をON | □ |
| パスワード | 重要サービスで使い回しがない | □ |
| パスワード | マネージャーか紙で管理している | □ |
| Windows | Windows Updateが最新 | □ |
| Windows | サポート中のバージョンを使っている | □ |
| Windows | Defender（リアルタイム保護）または他社製ソフトが有効 | □ |
| Windows | ファイアウォールが有効 | □ |
| Chrome/Edge | 最新バージョンになっている | □ |
| スマホ | OS自動更新をON | □ |
| スマホ | アプリの自動更新をON | □ |
| iPhone | バックグラウンドでのセキュリティ改善をON | □ |
| 習慣 | 金融機関をブックマークに登録した | □ |
| バックアップ | クラウドまたは外付け媒体へ保存した | □ |
| バックアップ | 過去のバージョンに戻せるか確認した | □ |
| Wi-Fi | 管理用パスワードを変更済み | □ |
| Wi-Fi | ファームウェアが最新 | □ |
| Wi-Fi | WPA3またはWPA2-AESになっている | □ |
| ブラウザ | 不要な拡張機能を削除した | □ |
今日やる
- ふだん一番使うアカウント（Google／Microsoft／Apple）にパスキーか2段階認証を設定
- 証券・銀行・カードの通知設定を、設定できる範囲でオンにする
- Windows Update とスマホのOS更新を確認
- よく使う金融機関をブックマークに登録
今週やる
- 残りの重要アカウントにもパスキー／多要素認証を設定
- バックアップコード（用意されているサービスなら）を発行して紙で保管
- 再設定用メール・電話番号を全部見直す
- パスワードマネージャーを使い始める（または紙の管理に切り替える）
- 写真や重要書類をクラウドか外付けドライブにバックアップ
- Wi-Fiルーターの管理用パスワードとファームウェアを確認
3か月ごとに確認
- OS・ブラウザ・アプリが最新か／使っているWindowsのバージョンがサポート中か
- バックアップが取れているか（一度ファイルを開いて、元に戻せるか確かめるのが大事です）
- 心当たりのないログイン通知が来ていないか
- 使っていないアプリ・拡張機能・アカウントが増えていないか
- ルーターのファームウェアが最新か
まず取り組みたい5つ
迷ってしまったら、ここから始めてください。
| # | やること | 所要時間の目安 |
|---|---|---|
| 1 | Googleなど重要アカウントにパスキーまたは多要素認証を設定 | 5分前後 |
| 2 | 証券・銀行・クレジットカードの多要素認証と通知設定を確認 | 10分前後（1社あたり数分） |
| 3 | パスワードの使い回しを確認し、重要サービスだけでも変える | 10分前後 |
| 4 | Windows Defender・ファイアウォール・Windows Updateを確認 | 数分程度 |
| 5 | 写真や重要書類をクラウドか外付けドライブにバックアップ | 準備は数分、コピーは容量次第 |
時間はあくまで目安です。画面を探す時間や回線の速さで変わります。1つだけでもいいので、今日のうちに手を動かすことを大切にしてください。
セキュリティは「4つの層」で考える
セキュリティは「100%侵入されないようにすること」ではありません。そんな状態は、残念ながら誰にも作れません。大事なのは、次の4つを重ねることです。
- 入られにくくする … パスキー、多要素認証、パスワードの使い回し防止、更新
- 入られても被害を広げにくくする … サービスごとに違うパスワード、不要なアカウントの整理
- 異変に早く気付く … ログイン通知、取引通知、出金通知
- データを復旧できるようにする … バックアップ、復旧用の連絡先、バックアップコード
これを多層防御と呼びます。1つの壁が抜けても次の層で止まる、あるいは早く気付いて被害を小さくできる、という考え方です。そして、2026年の個人セキュリティで一番お伝えしたい結論がこちらです。
「どのウイルス対策ソフトを買うか」だけを考えるより、パスキー・多要素認証・パスワードの使い回し防止・フィッシング対策・ソフトの更新・通知・バックアップの“組み合わせ”のほうが、ずっと重要です。
いま実際に起きている被害――フィッシング、リスト型攻撃、証券口座の乗っ取り、カードの番号盗用――は、ウイルス対策ソフトだけでは防ぎきれません。リスクを下げるために、まずは①〜⑤から取り組みましょう。
よくある質問（FAQ）
パスキーとパスワードは何が違いますか？
パスワードは「覚えて入力する文字列」、パスキーは「端末やアカウントに保管された鍵」です。パスキーでログインするときは、指紋・顔認証・画面ロックの暗証番号で本人確認するだけで、文字を打ちません。
大きな違いは、パスワードのように相手に渡す必要がないことと、本物のサイトに結び付いた鍵なので偽サイトでは反応しないことです。ここがフィッシングに強い理由です。
ただし万能ではありません。端末の画面ロックを解除できる人には使われてしまいますし、パスキーの同期先になっているアカウントの保護も必要です。画面ロックとアカウント保護は、あわせて大切にしてください。
SMS認証でも大丈夫ですか？
未設定のままより、確実に保護を強められます。設定していないなら、まずSMSでも設定してください。
ただ、SMSで届く認証コードは、偽サイトにコードを入力させる手口や、携帯番号を乗っ取る手口には弱い面があります。ですので、パスキーや認証アプリが選べる場合はそちらを優先するのがおすすめです。「SMSは危険だから使うな」ではなく、「より良い選択肢があればそちらへ」という順番の話です。
なお、個人用のMicrosoftアカウントではSMS認証が段階的に廃止されつつあり、新しい電話番号を追加できない場合があります。その画面に表示される方法から選んでください。
Windows Defenderだけで大丈夫ですか？
一般的な家庭での利用であれば、まずWindows標準のセキュリティ機能を正しく有効にしておくことが重要です。 リアルタイム保護・クラウドによる保護・改ざん防止と、ファイアウォールを確認してください。
ただし、ウイルス対策ソフトだけでフィッシングやリスト型攻撃の被害をすべて防ぐことはできません。有料ソフトを足すかどうかより先に、この記事の①〜⑤を済ませるほうが効果が大きいです。
パスワードは紙に書いてもよいのですか？
条件を守れば、現実的な方法です。 英国NCSCも、他人がアクセスできない安全な場所に端末と分けて保管する選択肢を認めています。
危ないのは「紙に書くこと」そのものではなく「同じパスワードを使い回すこと」です。サービスごとに違う長いパスワードを紙に書いて自宅の安全な場所にしまうほうが、短い同じパスワードを全サービスで使い回すより安全なことがよくあります。
条件は、自宅の人目につかない場所にしまう／端末とは別に保管する／持ち歩かない／自分があとで確実に読み解ける書き方にすること。盗難や同居する人の目といったリスクは別に考える必要がありますが、ITの操作が負担に感じる方なら、まずは紙でもいいので使い回しをやめることを優先してください。
WPA2のWi-Fiルーターは危険ですか？
WPA2だから即危険、ということはありません。 WPA2-CCMP／AESは現在も使われている方式で、総務省の「自宅Wi-Fi利用者向け 簡易マニュアル」でもWPA2またはWPA3が案内されています。
ただし、ファームウェアが最新であることと、Wi-Fi接続用パスワードが十分に長く推測されにくいことが前提です。また、WEPやTKIPになっていないかは必ず確認してください。選べるならWPA3を優先し、新しく買い替えるときもWPA3対応の機種を優先するとよいでしょう。
フィッシングメールを開いただけで感染しますか？
本文を表示しただけで、直ちに感染が決まるわけではありません。 危ないのはその先の行動です。本文のリンクを押して偽サイトにIDとパスワードを入力する、添付ファイルを開く、案内されたページからアプリをインストールする――これらが被害につながります。
ですので、開いてしまっても慌てないでください。リンクや添付を開かず、何も入力しないことが大切です。そのうえで、迷惑メールとして報告・削除し、メールアプリやOSを最新に保ってください。ソフトの弱点を悪用する例外もあるため、端末に不審な動きがあれば公式の窓口に相談してください。
なお「アプリのアップデートが必要です」とメールで案内して不正なアプリを入れさせる手口も増えています。アプリは必ずApp StoreやGoogle Playから入手してください。
証券口座では何を設定すればよいですか？
2つを両方です。
入られにくくする設定：多要素認証をオンにし、パスキーが使えるなら設定する。各社でパスキーへの移行が進んでおり、たとえばSBI証券は2026年6月30日からの原則必須化という方針を公式FAQで示しています（同FAQでは従来のID・パスワードでもログインできるとされています）。時期や方式は会社ごとに異なります。
早く気付くための設定：ログイン通知、取引（売買）通知、出金通知を、設定できる範囲でオンにする。そして登録メールアドレスの変更と出金先銀行口座の変更の通知が、自動で届くのか設定が必要なのかを確認する。
後半はとくに重要です。攻撃者は通知の宛先や送金先を書き換えようとするため、ここに気付けるかどうかが被害の大きさを左右します。設定するときは、メールのリンクからではなく公式アプリかご自分のブックマークから入ってください。
まとめ
- 守る順番があります。まず重要アカウント（メール）、次に金融、そしてパスワード・更新・リンクの習慣です
- パスキーが使えるところは積極的に使ってください。相手にパスワードを渡さずに済み、偽サイトでは反応しません
- 金融サービスは「入られない設定」と「気付ける通知」の両方を。とくに出金先口座とメールアドレスの変更通知が届くかを確認
- パスワードは使い回しをやめることが最優先。紙でもマネージャーでも、やめられる方法でかまいません
- メールやSMSのリンクからログインしない。公式アプリか自分のブックマークから。文面の自然さだけでは本物と判断できません
- 更新はOSだけでなく、ブラウザ・アプリ・ルーターまで。Windowsはバージョンの期限にも注意
- バックアップは、データを元に戻すための大切な備えです。復元できるかどうかまで確認を
- 2026年は、ソフトを買うことより設定の組み合わせが効きます
ぜんぶ一度にやらなくて大丈夫です。チェックリストを印刷して、1つずつ□を埋めていってください。1つ埋まるたびに、守りは着実に厚くなります。
参考資料（一次情報）
公的機関
- IPA 独立行政法人 情報処理推進機構「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html - IPA「情報セキュリティ10大脅威 2026」個人編 解説資料（PDF）
https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/setsumei_2026_kojin.pdf - IPA プレス発表「情報セキュリティ10大脅威 2026」を決定（2026年1月29日）
https://www.ipa.go.jp/pressrelease/2025/press20260129.html - 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（PDF）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf - フィッシング対策協議会による上記公表の紹介（件数・被害額の確認用）
https://www.antiphishing.jp/news/entry/npa_2026312.html - 総務省「国民のためのサイバーセキュリティサイト」
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/ - 総務省「無線LAN（Wi-Fi）の安全な利用について」
https://www.soumu.go.jp/main_sosiki/cybersecurity/wi-fi/ - 政府サイバーセキュリティポータル「自宅Wi-Fi利用者向け 簡易マニュアル」紹介
https://security-portal.cyber.go.jp/curriculum/torikumi/mic_wifi_home.html - 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」
https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html - 金融庁「証券会社等における不正アクセス等への対応」（監督指針改正の説明資料・PDF）
https://www.fsa.go.jp/common/ronten/202511/06.pdf
業界団体・海外機関
- 日本証券業協会「不正アクセス等にご注意ください！」
https://www.jsda.or.jp/about/hatten/inv_alerts/alearts04/index.html - フィッシング対策協議会「2026/09 フィッシング報告状況」
https://www.antiphishing.jp/report/monthly/202609.html - フィッシング対策協議会「フィッシングレポート2026」（PDF）
https://www.antiphishing.jp/report/phishing_report_2026.pdf - 一般社団法人日本クレジット協会「クレジットカード不正利用被害の集計結果について」（2026年3月6日・PDF）
https://www.j-credit.or.jp/download/news20260306_a1.pdf - 同（2026年9月7日・PDF）
https://www.j-credit.or.jp/download/news20260907_a1.pdf - OWASP「Credential stuffing」（リスト型攻撃の定義）
https://community.owasp.org/attacks/Credential_stuffing - CISA「Implementing Phishing-Resistant MFA」（PDF）
https://www.cisa.gov/sites/default/files/2023-01/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf - 英国 NCSC「Guidance for high-risk individuals」（パスワードの紙保管について）
https://www.ncsc.gov.uk/collection/defending-democracy/guidance-for-high-risk-individuals
Google 公式
- Googleアカウントでパスキーを使用する
https://support.google.com/accounts/answer/13548313?hl=ja - 2段階認証プロセスを有効にする
https://support.google.com/accounts/answer/185839?hl=ja - 再設定用の情報を追加・更新する
https://support.google.com/accounts/answer/183723?hl=ja - バックアップコードでログインする
https://support.google.com/accounts/answer/1187538?hl=ja - Googleアカウント セキュリティ診断
https://myaccount.google.com/security-checkup - Google Chrome を更新する
https://support.google.com/chrome/answer/95414?hl=ja - Android のバージョンと更新を確認する
https://support.google.com/android/answer/7680439?hl=ja
Microsoft 公式
- Microsoftアカウントで2段階認証を使う
https://support.microsoft.com/ja-jp/accounts-billing/security/how-to-use-two-step-verification-with-your-microsoft-account - Microsoftアカウントのセキュリティ情報と確認コード
https://support.microsoft.com/ja-jp/accounts-billing/manage/microsoft-account-security-info-verification-codes - パスキーを作成して保存する
https://support.microsoft.com/ja-jp/accounts-billing/security/create-save-passkey - Windows セキュリティ アプリのウイルスと脅威の防止
https://support.microsoft.com/ja-jp/windows/security/threat-malware-protection/virus-and-threat-protection-in-the-windows-security-app - Windows セキュリティ アプリのファイアウォールとネットワーク保護
https://support.microsoft.com/ja-jp/windows/security/windows-security/firewall-and-network-protection-in-the-windows-security-app - デバイスで利用可能になったらすぐに Windows の更新プログラムを入手する
https://support.microsoft.com/ja-jp/windows/deployment/updates-lifecycle/get-windows-updates-as-soon-as-they-re-available-for-your-device - Windows 10 のサポート終了について（個人向けESUの条件・期限）
https://www.microsoft.com/ja-jp/windows/end-of-support - Windows 11 リリース情報（バージョンごとのサポート期限）
https://learn.microsoft.com/en-us/windows/release-health/windows11-release-information - Microsoft Edge の更新設定
https://support.microsoft.com/ja-jp/edge/microsoft-edge-update-settings
Apple 公式
- Appleアカウントの2ファクタ認証
https://support.apple.com/ja-jp/102660 - iPhone や iPad をアップデートする
https://support.apple.com/ja-jp/118575 - iOS、iPadOS、macOS のバックグラウンドセキュリティ改善について
https://support.apple.com/ja-jp/102657 - Wi-Fiルーターの推奨設定
https://support.apple.com/ja-jp/102766
金融機関・メーカー
- SBI証券「パスキー認証は必須になりますか？」
https://faq.sbisec.co.jp/answer/6937e6e3b14749ed0cd6062a/ - 楽天証券「セキュリティ対策」
https://www.rakuten-sec.co.jp/web/security/measures/ - マネックス証券「セキュリティへの取り組み」
https://info.monex.co.jp/security/correspondence.html - バッファロー「ご家庭でWi-Fiルーターをより安全にお使い頂くために」
https://www.buffalo.jp/topics/select/detail/wi-fi.html
この記事は2026年10月時点の公開情報をもとに作成しています。設定画面の名称や位置、各社の対応時期、サポート期限は変更されることがあります。実際の設定にあたっては、お使いのサービス・端末の公式情報をあわせてご確認ください。
コメント