メール乗っ取りを防ぐ！中小企業のパスワード管理とウイルス対策

「身に覚えのないエラーメールが大量に届く」「取引先から『変なメールが来た』と言われた」。メール乗っ取りの相談は、たいてい被害が出てから届きます。この記事では、中小企業が乗っ取りを未然に防ぐためのパスワード管理ツールとセキュリティソフトを、社員数別の選び方とあわせて比較します。

中小企業が乗っ取られる入口は3つある

当ブログには、メールやセキュリティのトラブルを扱った記事がいくつもあります。なかでも「MAILER-DAEMON」の記事は2015年の公開から10年以上たった今も、毎月多くの方に読まれています。それだけ「気づいたら乗っ取られていた」という状況が減っていない、ということです。

これまでの記事で取り上げた事例を整理すると、被害の入口は大きく3つに分かれます。

①と②は「パスワード管理」で被害を小さくできます。③は「セキュリティソフト」と「社内ルール」で防ぎます。どちらか片方だけでは足りない、というのがこの記事の結論です。

漏れたパスワードは「使い回し」で被害が広がる

②の漏えいは、自社の努力だけでは防げません。ただし、漏れたパスワードを他のサービスで使っていなければ、被害はそのサービスだけで止まります。

逆に、メールと同じパスワードをネットバンキングやクラウド会計でも使っていると、1か所の漏えいが会社全体の被害に広がります。攻撃者は、漏れたIDとパスワードの組み合わせを他のサービスでも次々に試すからです。

「サービスごとに違う、長いパスワードを使う」。これを人間の記憶だけで続けるのは無理があります。そこで役に立つのがパスワード管理ツールです。

まず5分で確認：自社が乗っ取られていないかのチェックリスト

ツールを選ぶ前に、今すでに被害が出ていないかを確かめましょう。次のうち1つでも当てはまれば、対策より先に対処が必要です。

• 身に覚えのない配送エラー（MAILER-DAEMON）のメールが、急に増えていないか
• レンタルサーバーの管理画面で、メールの送信数が急に増えていないか
• 取引先から「不審なメールが届いた」と連絡が来ていないか
• 「Have I Been Pwned」で会社のメールアドレスを検索し、漏えいが見つからないか
• 同じパスワードを複数のサービスで使っていないか

当てはまる場合は、24時間以内に「パスワード変更→メールソフトの設定確認→ウイルススキャン→サーバー会社への連絡→ブラックリストの確認」を進めてください。手順の詳細はMAILER-DAEMONの記事で解説しています。

パスワード管理ツールとセキュリティソフトは「守る場所」が違う

よく「セキュリティソフトを入れているから大丈夫」という声を聞きます。しかし、2つのツールが守る場所は別です。

パスワード管理ツールには、見落とされがちな効果があります。登録したサイトのURLと一致しないページでは、自動入力が働きません。いつもは自動で入るのに入らない。これが偽サイトに気づくきっかけになります。

パスワード管理ツール比較：中小企業向け4選

会社で使う場合の選び方は、次の3点です。

• 社内でパスワードを安全に共有できるか
• 退職した人のアクセスをすぐに止められるか
• 管理者が、弱いパスワードや漏えいの状況を把握できるか

※料金は各社の公式サイトと掲載情報（2026年9月確認）の目安です。ドル建ては為替で円換算が変わります。1Password Businessは2026年7月30日以降の更新分から、1人月7.99ドルから8.99ドルに改定されています。

1Password：使いやすさと「漏えいの見える化」

1Passwordは、パソコンにあまり詳しくない社員でも迷いにくい画面が特長です。「Watchtower」という機能で、漏えいが確認されたパスワード、弱いパスワード、使い回しを一覧で確認できます。

10名までの会社なら「Teams Starter Pack」が定額でわかりやすい選択肢です。人数が増えたら1席月4.99ドルで最大10席まで追加できます。シングルサインオン（SSO）や細かな権限管理が必要になったら「Business」に切り替えます。

▶ 1Passwordを14日間無料で試す（公式サイト）

Bitwarden：無料から始められるオープンソース

Bitwardenはソースコードが公開されているパスワード管理ツールです。個人向けの無料プランでも、保存件数や端末台数を気にせず使えます。「まず社長が1人で試してみる」には最適です。

社内で共有するなら、1人月4ドルの「Teams」を選びます。主要ツールの中では費用を抑えやすい部類です。一方で設定項目が多く、慣れるまで少し時間がかかる場面もあります。

▶ Bitwardenの料金プランを見る（公式サイト）

Keeper：管理者が統制しやすい

Keeperは、管理者向けの機能が充実しているツールです。誰がどのパスワードにアクセスできるかを、管理画面から細かく設定できます。5名から契約できるプランがあり、少人数から始められます。

「Business Starter」は5〜10名向けです。人数が多い会社や、取引先の情報を扱う部署がある会社に向いています。

▶ Keeperの無料体験を申し込む（公式サイト）

ブラウザ標準：無料だが「会社の管理」には弱い

ChromeのGoogleパスワードマネージャー、Appleの「パスワード」、Microsoft Edgeにも、パスワードを保存する機能があります。1人で使うなら、これだけでも「使い回しをやめる」第一歩として十分です。

ただし、会社で使うには弱点があります。社員の個人アカウントに会社のパスワードが混ざり、退職時に回収できません。管理者が状況を把握する仕組みもありません。社員が2人以上になったら、専用ツールへの移行を検討しましょう。

補足：Microsoft Authenticatorにパスワードを保存していた方へ

Microsoft Authenticatorのパスワード自動入力機能は、2025年7月に停止しました。2025年8月中旬からは、Authenticatorに保存したパスワードを見ることもできません。保存していたパスワードはMicrosoftアカウントに同期されており、Microsoft Edgeから確認できます。

なお、ワンタイムコードを表示する2段階認証の機能は、これまでどおりAuthenticatorで使えます。「Authenticatorが使えなくなった」と勘違いしないよう注意してください。

セキュリティソフト比較：中小企業向け4選

会社のパソコンを守るソフトは、次の点で選びます。

• 「台数」単位で買うか、「人」単位で買うか
• 全社のパソコンの状態を、1つの画面でまとめて確認できるか
• パソコン以外（スマホ・サーバー）も守れるか

※料金は各社・販売店の公式サイト（2026年9月確認）の目安です。販売店や契約内容により異なります。

Microsoft Defender（Windows標準）：まずは「正しく動いているか」を確認

Windows 10／11には、Microsoft Defenderが最初から入っています。他社のセキュリティソフトを入れていなければ、これが働いています。

まず「Windowsセキュリティ」を開き、「ウイルスと脅威の防止」でリアルタイム保護がオンになっているか確認しましょう。パソコンが1〜2台の個人事業主なら、Windowsの更新を止めずに、これを正しく使うだけでも大きな差が出ます。

弱点は、会社全体の状態をまとめて見られないことです。台数が増えたら、管理機能のある製品を検討します。

Microsoft Defender for Business：Microsoft 365と一緒に使うなら

Defender for Businessは、中小企業向けに作られた法人版です。1ユーザーあたり最大5台まで守れます。どのパソコンに危険があったかを、管理者がクラウドの画面で確認できます。

すでに「Microsoft 365 Business Premium」を契約している会社は、追加費用なしで使える可能性があります。まずは契約中のプランを確認してみてください。

ESET スモール ビジネス セキュリティ：台数でわかりやすく買える

ESETは動作が軽いことで知られるセキュリティソフトです。「スモール ビジネス セキュリティ」は小規模オフィス向けの製品で、5台版ならパソコン・スマホ・タブレット5台に加えて、サーバー5台も守れます。

「社員5人でパソコン5台、共有のファイルサーバーが1台」のような会社にちょうど合う構成です。VPN機能も付いており、出張先のフリーWi-Fiを使う機会が多い人にも向いています。

▶ ESET スモール ビジネス セキュリティの詳細を見る

ウイルスバスター ビジネスセキュリティサービス：IT担当がいなくても管理しやすい

トレンドマイクロの法人向けクラウド型サービスです。管理用のサーバーを社内に置く必要がありません。インターネット上の管理画面から、全社のパソコンの状態を確認できます。

購入は販売店経由が基本で、1ライセンスから購入できます。「専任のIT担当はいないが、全台の状況は把握したい」という会社に向いています。

▶ ウイルスバスター ビジネスセキュリティサービスの詳細を見る

社員数別：おすすめの組み合わせ

ここまでの比較を、会社の規模別にまとめます。

中小企業の経営支援の立場から見ると、セキュリティの費用は「保険料」ではありません。「業務を止めないための投資」です。メールが乗っ取られると、パスワードの変更や取引先への連絡、迷惑メール送信元リストからの解除申請などで、数日単位で業務が止まることもあります。社員1人あたり月1,000円前後の費用で、その損失を防げると考えれば判断しやすくなります。

一人企業の場合はご本人のITのスキル次第ですが、メール運営に自信がある方ならブラウザ標準＋ウイルス対策ソフトの組み合わせでよいでしょう。しかし従業員数が増えてきたり、ご自身としても複数端末を使うようになっていくと、次のステップへの移行を検討する段階になりますね。

導入で失敗しない5つの手順

ツールは入れただけでは効果が出ません。次の順番で進めると、社内に定着しやすくなります。

手順1：会社で使っているアカウントを棚卸しする

メール、クラウド会計、ネットバンキング、ドメインやサーバーの管理画面、SNSなどを一覧にします。「誰がログイン情報を持っているか」も書き出しましょう。社長しか知らないパスワードが、意外に多く見つかるはずです。

手順2：マスターパスワードと復旧手段を決める

パスワード管理ツールは、1つの「マスターパスワード」ですべてを守ります。長く、他で使っていないものにしてください。忘れた場合の復旧用の情報（1Passwordの「Emergency Kit」など）は、紙に印刷して金庫で保管します。

手順3：重要なサービスから2段階認証を有効にする

メール、クラウド会計、ネットバンキング、ドメイン・サーバーの管理画面の順に、2段階認証を有効にします。パスキーに対応しているサービスなら、パスキーの利用も検討しましょう。パスワードが漏れても、2段階認証があれば乗っ取りの多くを防げます。

手順4：共有の保管庫と「認証の受け手」を決める

会社で共有するアカウントは、共有の保管庫にまとめます。このとき、認証コードのSMSやメールを「誰が受け取るか」もメモ欄に書いておきましょう。

当社でも、Amazonから届いた本物の確認SMSを詐欺だと思ってブロックしてしまったことがあります。クラウド会計とAmazonを連携した際に、担当者が認証操作をしたことを共有していなかったのが原因でした（詳しくはこちらの記事）。認証の受け手と担当者を共有しておけば、こうした行き違いを防げます。

手順5：退職・異動時の手順を決めておく

社員が辞めたら、ツールのアクセス権をすぐに外します。そのうえで、その人が使っていた共有パスワードを変更します。専用ツールなら、どのパスワードを変えるべきかが管理画面でわかります。

なお、パスワードを変更するときは「どのパスワードか」に注意してください。プロバイダーでは「メールのパスワード」と「インターネット接続のパスワード」が別になっていることがあります。接続用を変えてしまうと、ネットにつながらなくなります（KDDI情報漏洩の記事で解説しています）。

ツールでは防げない「だまし」への備え

偽の警告画面や自動音声の詐欺電話は、人の不安につけこむ手口です。セキュリティソフトで危険なサイトの一部はブロックできます。しかし、電話で誘導されて自分から操作してしまうと、ツールでは止められません。

社内で次の3つのルールを決めておきましょう。

• 画面に表示された電話番号には、絶対に電話しない
• 「今すぐ」「2時間後に止まる」と急かされたら、いったん切って公式の窓口に確認する
• 迷ったら社内の担当者に相談する。相談した人を責めない

偽の警告画面が消えないときは、「Alt」＋「F4」キーでブラウザを閉じるか、パソコンを再起動します（詳しい対処法）。海外からの詐欺電話が多い場合は、携帯電話会社の「国際電話の着信休止」機能も有効です（詳しい対策）。

補助金は使える？デジタル化・AI導入補助金「セキュリティ対策推進枠」

セキュリティ対策には、デジタル化・AI導入補助金（旧IT導入補助金）の「セキュリティ対策推進枠」が使えます。概要は次のとおりです。

• 補助率：中小企業は2分の1以内、小規模事業者は3分の2以内
• 補助額：5万円〜150万円
• 対象経費：サービスの利用料（最大2年分）など

ただし、対象になるのは「サイバーセキュリティお助け隊サービスリスト」に掲載され、IT導入支援事業者が登録したサービスだけです。この記事で紹介した製品をそのまま買っても、補助の対象になるとは限りません。補助金を使いたい場合は、先にリストを確認し、支援事業者に相談してください。

よくある質問

パスワード管理ツールが攻撃されたら、全部漏れてしまいませんか？

主要なツールは、保存データを暗号化しています。マスターパスワードがなければ、提供会社でも中身を読めない仕組みです。ただし過去には、暗号化された保管データそのものが盗まれた事例もあります。長いマスターパスワードと2段階認証の組み合わせを必ず使ってください。

無料のBitwardenやブラウザ標準では不十分ですか？

1人で使うなら十分です。問題は社員が増えたときです。退職者のアクセスを止められない、誰が何を知っているかわからない、という状態になります。社員が2人以上になったら、共有・管理機能のある有料プランを検討しましょう。

Windows標準のDefenderだけで大丈夫ですか？

パソコン1〜2台で、Windowsを常に最新に保っているなら、基本的な防御にはなります。ただし、会社全体の状態をまとめて見ることはできません。台数が増えたら、管理機能のある製品を選ぶのが安全です。

スマホも対策が必要ですか？

必要です。仕事のメールや認証アプリ、LINEがスマホに入っているなら、スマホも会社の入口です。ESET スモール ビジネス セキュリティのように、パソコンとスマホをまとめて守れる製品を選ぶと管理が楽になります。

まとめ：パスワード管理とセキュリティソフトは「両輪」で

• 乗っ取りの入口は「使い回し」「漏えい」「だまし」の3つ
• 使い回しと漏えいには、パスワード管理ツールと2段階認証で備える
• ウイルスや危険なサイトには、セキュリティソフトで備える
• だましには、ツールに加えて社内ルールで備える
• 1人なら無料から始め、社員が増えたら共有・管理機能のある有料プランへ

「うちは小さい会社だから狙われない」ということはありません。小さな会社ほど、1つのアカウントが乗っ取られたときの影響が大きくなります。まずは5分のチェックリストから始めてみてください。

関連記事

• MAILER-DAEMONのメールが急増したら要注意！メールアカウント乗っ取りの可能性と対処法
• 【緊急警告】KDDI情報漏洩でニフティ・BIGLOBEユーザーは要注意！パスワード変更の罠と対策
• マイクロソフトを名乗る詐欺画面に注意！アドウェア・スケアウェアの手口
• 「2時間後に電話が止まる」は詐欺！謎の国際電話（+1 855…）の正体と対策
• Amazonを名乗る偽SMS…かと思ってブロックしたら本物でした