パスワード管理ツールは必要か｜1Passwordなどの選び方と、2023年のOkta事案から見るID対策

パスワード管理ツールは使う意味がある：先に結論と確認日時

パスワード管理ツール（ID とパスワードを暗号化して保管し、ログイン時に自動で入力する道具）は、使う意味があります。1Password は、その一例です。ただし、入れるだけでは足りません。

多要素認証（パスワードに加えて別の確認を求める仕組み）やパスキー（パスワードの代わりに、端末の指紋・顔・PIN で本人確認する仕組み）、共有と退職者の決めごとも整えます。国家サイバー統括室（NCO）、IPA、警察庁と各社の公式の資料を、2026年10月27日 9時時点で確認しました。

先に結論です。

• 使う意味：使い回しをやめられ、共有と退職時の手間が減ります。
• Okta の件：1Password・Cloudflare・BeyondTrust が公表した「Okta 経由の侵入事案」は、2023年9〜10月の出来事です。2026年の新たな事案は、確認できませんでした。
• 事案の教訓：ログインの強さとは別に、ログイン後の「通行証」（セッション情報）が渡ると、破られることがあります。
• 最初にやること：主なサービスの棚卸し、多要素認証の確認、管理ツールの無料試用です（下の図）。

状況と料金は変わりえます。最新は、各社と公的機関の公式ページで読み直してください。料金は米ドル表示の公式ページを見たもので、円換算はしていません。ソフトの弱点（脆弱性）の総まとめは、別の記事にあります。

目次

Okta 経由の侵入事案：2023年に各社が公表したこと

Okta（オクタ）は、社員の ID とログインをまとめて管理するサービスです。その顧客サポート用のシステムが、不正に使われました。「新しい話」と受け取られがちですが、2023年9月28日〜10月17日の出来事です。確認日時点で、Okta の公式セキュリティブログ（2026年1月〜10月の記事の題名）に、新たなサポートシステムの事案は見当たりませんでした。

何が起きたか

Okta の2023年11月3日付の公表によると、不正な者がサポート用システムに入り、134の顧客（全体の1%未満）に関連するファイルにアクセスしました。一部は HAR ファイル（ブラウザの通信の記録。不具合の調査でサポートに渡す）で、ログイン中の状態を示すセッション情報が入っていました。不正な者はそれを使い、5つの顧客の正規のセッションを乗っ取りました。

入口は、サポート用システム内のサービスアカウントです。社員が会社貸与の PC の Chrome に個人の Google アカウントでログインし、そこにパスワードが保存されていたと、Okta は説明しています。

セッション情報は、ホテルで受付を済ませたあとのカードキーのようなものです。受付での本人確認（多要素認証）は一度で済み、カードキーを持つ人は部屋に入れます。

各社の公表

「ユーザーのデータは侵害されなかった」は、1Password の結論です。当社が確かめたものではなく、当社の保証でもありません。1Password 自身の Okta 環境に不審な活動があった点も、同じ公表に書かれています。

事案から読める3つのこと

1. 外部に渡す記録を確かめる：Okta は、HAR ファイルを共有する前に、認証情報・クッキー・セッション情報をすべて消すよう顧客に求めました。Cloudflare は、消すための無料ツールを公開しています。画面の録画や通信の記録を外部に渡すときは、ログイン情報が含まれていないかを確かめます（当社の整理）。
2. 入口が強くても、通行証は別：BeyondTrust は、管理者のアカウントが FIDO2（物理キーなどによる認証）で保護されていたのに、盗まれたセッション情報での不審な操作を受けた、と書いています。
3. 漏れた鍵は、使っていないと思っても入れ替える：Cloudflare の2024年2月の報告は、2023年11月の社内への侵入に、Okta の事案のあとに入れ替えていなかった認証情報（アクセス用の鍵1本とサービスアカウント3つ）が使われたと書いています。

パスワード管理ツールを使う意味：使い回しをやめるために

サービスが増えるほど、パスワードは覚えきれません。同じものを使い回すと、1か所で漏れたとき、ほかにも入られます。たとえるなら、すべての部屋を同じ合鍵で開ける建物です。NCO のハンドブック（Ver 5.10）は、サービスごとに別々の長く複雑なパスワードを設定するよう書いています。警察庁のサイバー警察局便り（2026年10月号）も、使い回しをしないこと、パスキーその他の多要素認証を活用することを挙げています。

管理ツールは、部屋ごとに別の鍵を作って金庫にしまう係のようなものです。NCO は、管理アプリが長く複雑なパスワードを自動で作り、ログイン時に入力する点も紹介しています。1Password の公式ヘルプは、保存したサイトでだけパスワードを入力すると書いています。偽サイトでは入力されないため、気づくきっかけにもなります。

NCO の記載から、次の3点も確かめました。

• ブラウザには保存しない：席を離れた隙の悪用や、パソコンを侵害されたときにまとめて盗まれるおそれを、NCO は挙げています。Okta の事案も、会社貸与の PC に個人のアカウントでログインし、会社の鍵が保存されていたことから、個人の側の侵害が最も可能性の高い経路だと、Okta は見ています。
• 定期変更は基本的に不要：乗っ取りや流出の事実がなければ、変更の必要は基本的にないとし、流出時は速やかに変えるよう書いています。
• クラウド型の見方：個人のスマホ向けの説明で、クラウド連携を安易に使わず、端末内で管理するものを優先するよう書いています。クラウドでは、データの管理者が自分でなくなるためです。会社で共有する使い方は別に考える必要があり、当社の整理では、次の基準で選びます。

AI やツールに渡す鍵の扱いは、別の記事にあります。

選ぶ基準：製品を決める前に確かめる6つ

1社に決める前に、次の6つを確かめます。たとえるなら、金庫を買う前に、扉の厚さと、合鍵を誰が持つかを聞くことです。

参考に、2つの公式の料金ページを見ました（2026年10月27日確認。米ドル表示・年払い）。

• 1Password：小規模チーム向けの Teams Starter Pack は10人分で月24.95ドル（11〜20人目は1席月4.99ドルを追加）、Business は1人月8.99ドル（1人から）。14日間の無料試用が表示されています。
• Bitwarden：Teams は1人月4ドル、Enterprise は1人月6ドル。共有とイベントログ（利用の記録）は Teams、アカウント回復の仕組みは Enterprise の欄にあります。

ほかにも複数の製品があり、当社は網羅していません。優劣を示す意図もありません。契約前に公式ページを見て、日本語の画面を無料試用で確かめます。3〜5人の会社は、まず小さく試して使い回しを減らし、共有や退職者の管理が増えたら選び直す進め方が考えられます（当社の整理）。

多要素認証とパスキー：入口を固める

多要素認証にも、強さの違いがあります。NCO のハンドブックは、SMS で送る番号を、海外で SIM ハイジャックにより破られた例があるとして、基本的に推奨できない側に置いています。アプリや USB のセキュリティキーは推奨できる側です。ただし NCO は、多要素認証でも万全とは限らないとも書いています。

Okta の脅威情報ブログ（2026年1月公開）は、電話で誘導する手口が増えていると説明しています。番号を選ぶ形のプッシュ通知（番号一致）も、電話の相手に番号を選ばされうるため、フィッシングに強い方式ではないとのことです。FIDO のパスキーなどを必須にすれば、この手口から守られるというのが Okta の見解です。

パスキーは、FIDO アライアンスの説明では、スマホや PC、物理キーに保存され、端末のロックを解くときと同じ操作（指紋・顔・PIN など）でサインインする方式です。警察庁は、2026年9月号で、パスキーを手紙のやり取りに例えると、印鑑（秘密鍵）を金庫（スマホ）にしまい、本人確認ができたときだけ押印する形で、偽サイトでは認証できないと説明しています。

入口を固めても、ログイン後の通行証が渡れば、別の問題が残ります。Okta と Cloudflare が示す範囲では、管理者のセッションの時間を短くする、使える端末や場所を絞る、ログインの記録を見る、などの対策があります。メール、クラウド、ドメインやサーバーの管理画面など、管理者の権限を持つアカウントから優先して固めます（当社の整理）。

電話にも注意します。Okta の2026年7月公開の報告は、「パスキーを登録してください」と電話で誘導し、偽の登録画面へ導く動きを確認したと書いています（Microsoft 365 を使う企業が対象）。

IT 部門を名乗る電話やメッセージで案内されたリンクからは、パスキーも認証コードも登録・入力せず、自分で開いた公式の画面から行います（当社の整理）。社長を名乗る送金依頼の手口は別の記事で、AI による攻撃の速さはMicrosoft の防衛レポートの記事で扱っています。

共有アカウント・退職者・外注先：会社の決めごと

IPA の「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、ID について次のように書いています。

• ID の発行・変更・削除の手続を定める。共有 ID はなるべく使わず、やむを得ず使う場合は、誰が使ったかを特定できる仕組みを整える。
• 従業員の異動や退職時には、速やかに設定を変更（削除）する。
• 退職や契約満了の際に、情報や機器・ID・鍵などを回収する。

退職者の手順は、1Password の公式ヘルプが4段階で示しています（下の図）。削除すると個人用の保管庫の中身は戻らないため、仕事の中身を先に共有の保管庫へ移します。所有者や管理者のグループにいた人は、管理できる保管庫の全パスワードを見たものとして扱う、とも書かれています。ほかの製品でも、同じ流れが目安になります（当社の整理）。社員証と一緒に行う、合鍵の回収のようなものです。

外注先や制作会社の ID は、公式の資料で細かい記載を確認していません。当社の整理では、次の5つを決めます。

1. 1人に1つの ID にする。共有が要るものは、管理ツールの共有保管庫に入れ、責任者を決める。
2. 外注先にも個人別の ID を発行し、契約終了の日に止める人と日を決める。
3. 退職や契約終了の当日に、止める作業と、鍵の入れ替えを済ませる。
4. 退職者が管理者だったら、管理できたものの鍵を全部入れ替える。
5. 年に1回、ID と権限の棚卸しをする。

制作会社を変えるときの引き継ぎは制作会社の変え方の記事に、AI ツールの接続を退職時にどう外すかはCodex プラグインの選び方の記事にあります。

最初の1日・1週間・1か月：誰が何をするか

確認できなかったこと

「見当たらなかった」ことは、「ない」ことではありません。公式の資料で確認できなかった点です。

• 2026年9〜10月の Okta 経由の新たな侵入事案（Okta の公式セキュリティブログの題名を見た範囲）。
• 1Password の事案報告書の本文。公表ページに本文はなく、旧リンクも同社のブログ一覧へ転送されて開けません。HAR ファイルとの関わりは、公式ページでは確認できず、書いていません。
• 各製品の日本語の管理画面と、円建ての料金。

よくある質問

1Password は入れたほうがよいですか。

パスワード管理ツールを使う意味はあります。使い回しをやめられ、共有と退職時の手間が減るためです。1社に決める前に、記事の6つの基準で比べます。

パスワード管理ツール自体が攻撃されたら、どうなりますか。

1Password の公式ヘルプは、保管庫を暗号化し、パスワードは事業者にも共有されないと説明しています。これは1社の説明です。NCO は、クラウドでは管理者が自分でなくなり、サービス側の水準を自分では判断しにくいと書いています。設計資料と外部監査の公開を確かめます。

Okta の事案で、1Password のデータは漏れましたか。

1Password は2023年10月23日の公表で、ユーザーデータにはアクセスされなかったと結論しています。同社の公表で、当社が確かめたものではありません。この事案は2023年の出来事です。

多要素認証を入れていれば大丈夫ですか。

万全とは言えません。NCO は、多要素認証でも破られる手口があると書いています。BeyondTrust の事例では、FIDO2 で保護された管理者のセッション情報が盗まれ、不審な操作を受けました。パスキーや物理キーは、Okta や FIDO アライアンスがフィッシングに強い方式としています。

退職者のアカウントは、いつ止めますか。

IPA は、異動や退職時に速やかに設定を変更（削除）するよう書いています。退職や契約終了の当日に、止める人と日を決めておきます（当社の整理）。

まとめ

パスワード管理ツールは、使い回しをやめるために使う意味があります。Okta 経由の侵入事案は2023年のもので、各社の公表から、ログイン後の通行証と鍵の入れ替えの大切さが読み取れます。入口は多要素認証やパスキーで固め、共有・退職者・外注先の決めごとを文書にします。

参照元・出典

• 公的機関：NCO ハンドブック、IPA ガイドライン第4.0版、警察庁10月号・9月号
• Okta：10月20日、11月3日、11月29日の公表（2023年）、脅威情報ブログ（2026年1月、7月）
• 1Password：Okta 事案、退職者の手順、セキュリティモデル、料金
• BeyondTrust・Cloudflare：BeyondTrust、Cloudflare、HAR Sanitizer、2024年2月の報告
• Bitwarden 料金、FIDO アライアンス

本記事は 2026年10月27日 9時の確認時点のものです。最新は、各社と公的機関の公式ページでご確認ください。