テレワーク・在宅勤務でのパスワード管理｜VPNだけでは足りない理由と対策

テレワークや在宅勤務が普及したことで、自宅のパソコンや個人スマートフォンで業務を行う機会が増加しました。会社から提供されたVPNを利用しているためセキュリティは万全だと考えている方もいるかもしれませんが、VPNはあくまで通信を暗号化する機能に限定されています。そのため、パスワードの使い回しやフィッシング詐欺といった脅威に対しては防御力がありません。

テレワークへの移行直後、業務で利用するSaaSツールのパスワードを数年間更新していなかった事実を知り、急いで変更した経験があります。VPN経由で接続しているため安全だと考えていましたが、後に調査したところ、当該サービスの旧バージョンがHIBP（HaveIBeenPwned）の漏洩リストに載っていたことが判明しました。

テレワーク環境で実際に発生しているセキュリティリスクについて、公開データを交えて解説します。さらに、VPNと併用する際に有効なパスワード管理の具体的な対策もご紹介します。

---

テレワーク環境のパスワードリスク

テレワーク環境では、オフィスとは異なる複数のリスクが同時に発生しています。HaveIBeenPwned（HIBP）のデータベースを確認したところ、2026年6月時点で1,004件のサービス侵害が登録されていることがわかりました。その内訳を見ると、670件（66.7%）はパスワードを含む漏洩であるという結果になりました（2026年6月12日時点）。

2026年6月9日付の最新記録では、ノッティンガム大学（nottingham.ac.uk）の454,635件に及ぶアカウントデータが流出したことが確認されています。ビジネスメールと同一ドメインを共有する大学や研究機関のアカウントは、テレワーク環境におけるセキュリティリスクを高める要因となり得るため、注意が必要です。

テレワーク特有の3つのリスク要因

テレワーク環境においてセキュリティリスクが高まる要因は、主に3つに分類できます。

• ネットワーク管理の分散：自宅Wi-Fiの設定はユーザー任せとなるため、カフェや図書館などの公共Wi-Fiを使うケースも多く、通信の盗聴リスクが高まるという構造です。
• 個人デバイスとの混在：会社支給のPCと個人スマホを同じネットワークで使うことで、個人側のセキュリティ水準が全体のリスクになる点が挙げられます。
• フィッシング攻撃の増加：在宅勤務中は上司や同僚にすぐ確認できないため、なりすましメール・偽サイトへの誘導に気づきにくい状況が生じます。

Verizon の「Data Breach Investigations Report 2023」では、データ侵害の多くに、盗まれた認証情報の悪用が関与しているとされています（出典: Verizon DBIR 2023、verizon.com/business/resources/reports/dbir/）。

VPNだけでは防げない攻撃手法

「VPNを利用しているため安全だ」という考え方は、実際には誤解に基づいています。VPNがカバーできる範囲は、通信経路の暗号化に限られています。フィッシング詐欺に巻き込まれて、ご自身が偽サイトへ認証情報を入力してしまうケースでは、VPNによる防御は機能しません。

上図は、総務省の『テレワークセキュリティガイドライン』（第5版、2021年）およびVerizon DBIR 2023のデータをもとに整理した攻撃フローです。 VPN接続後にフィッシングサイトへ認証情報を入力してしまうと、攻撃者がその正規の認証情報を利用して「正当なVPN接続」を確立できてしまいます。

VPNが対処できないリスクの一覧

VPNの導入だけでは防げない攻撃やリスクが、以下に存在します。

上表のとおり、VPN単独ではフィッシング詐欺対策・パスワード使い回しリスクの解消・弱いパスワードの防止・漏洩検知・チーム共有・不正アクセス時の被害最小化のいずれにも対応できません。一方、パスワードマネージャーと多要素認証（MFA）を組み合わせることで、これらをほぼすべてカバーできます。

テレワーカーのパスワード強度

「複雑なパスワードを使っている」と自負していても、実際には解読されやすいパターンに陥っているケースが少なくありません。ここでは、文字の種類と長さからエントロピーを計算し、1兆回/秒の処理能力を持つGPUクラスターで総当たり攻撃をした場合の解読時間を見積もりました。

今回の検証では、複雑に見えるパスワードであっても危険性が高いことが確認できました。アルファベットを数字や記号に置き換えた「P@ssw0rd」はエントロピー52ビットで実質的に即座に解読可能という結果になりました。さらに、社名と年号を組み合わせた「company2024」のタイプも57ビットと危険な水準にあることがわかりました。

一方、パスワードマネージャーが生成するランダム16文字のパスワード（英数字+記号）はエントロピー105ビット、解読には1兆年以上かかる計算です（同条件）。さらに、複数の単語をつなげた長いパスフレーズも、十分な長さがあれば現実的な解読は不可能な水準です。

同じ計測環境で、パスワードマネージャーが採用する鍵強化アルゴリズムであるPBKDF2の実行時間も確認しました。100,000回のイテレーションを行うと、0.025秒を要するという結果になりました。これは、約390万回/秒で解読可能なSHA-256の単純ハッシュと比較して、解読速度を大幅に遅延させるための設計です。1Password（PBKDF2）やNordPass（Argon2）は、こうした鍵強化技術に加えてゼロ知識設計も組み合わせており、サーバー側から元のパスワードが判明しないようになっています。

テレワーク向けパスワード管理のベストプラクティス

テレワーク環境において安全なパスワード管理を実現するには、VPNの利用に加え、以下に記載する対策を併用することが重要になります。

① 全サービスのパスワード一元管理

業務用のSlack、Zoom、クラウドストレージ、社内ツール、各種SaaSのパスワードは、すべてパスワードマネージャーで管理しています。ブラウザの拡張機能が自動入力を行うため、長くランダムなパスワードを覚えずに使い続けることが可能です。この方法が、「使い回し」を根本から解消する唯一の現実的な手段です。

② 多要素認証（MFA）を必ず設定する

パスワードが漏洩した際に、MFAが設定されていれば第2の防壁として機能します。業務で利用するメールやVPN、クラウドストレージ、会計ツールなどのすべての重要サービスにMFAを設定してください。1Passwordは認証アプリ（TOTP）もパスワードマネージャー内に保管できるため、「パスワード管理ツールを開いたら2FAコードも確認できる」という一元管理が実現できます。

③ 定期的なパスワード漏洩チェック

1Passwordの「Watchtower」機能やHaveIBeenPwnedを利用すれば、自分のメールアドレスやパスワードが漏洩リストに載っていないかを定期的にチェックできます。テレワークで利用するサービスが、気づかないうちにデータ漏洩事件に巻き込まれているケースも存在します。前述の通り、HIBPには2026年6月時点で1,004件の侵害情報が登録されています。パスワードが漏洩しているか確認する方法の詳細については、関連記事をご参照ください。

④ テレワーク専用プロファイル

Chromeのプロファイル機能を活用し、業務利用と個人利用のブラウザ環境を明確に分離することで、それぞれのアカウントを物理的に区別します。1Passwordは複数のブラウザプロファイル間で連携できる仕様になっているため、プロファイルを分けて運用していても、すべての情報を一か所で管理することが可能です。

パスワードマネージャーのチーム・企業活用

個人利用にとどまらず、チームや企業単位での採用によって、テレワーク環境におけるセキュリティ体制を大きく底上げできる点が大きな魅力です。1Passwordでは、個人向けプランとは別に、リモートワークの要件に合わせたチーム・ビジネスプランも用意されています。

1Passwordの公式料金ページで確認できた料金体系（2026年10月時点）をまとめます。

プラン	料金（月額・年払い）	主な特徴	対象
Individual	$3.99/月 （年額$47.88）	個人利用、全機能利用可	個人テレワーカー
Families	$5.99/月 （最大5名）	家族共有、個別ボールト	家族・同居人と共有
Teams Starter	$24.95/月 （10名分）	チーム共有、管理者機能	小規模チーム
Business	$8.99/人/月	SSO・詳細ポリシー・レポート	中規模以上の組織

最新の正確な価格は1Password公式サイトでご確認ください。2026年10月確認。

Teams Starterは10名分で月額$24.95（約3,700円）に設定されています。そのため、小規模な在宅チームが導入すれば、1人あたりの負担は月370円程度で済みます。

Nordセキュリティが提供するパスワード管理ツールであるNordPassは、法人やチーム向けのプランを用意しています。詳細な情報はnordpass.com/teams/のページでご覧いただけます。また、同社がVPNサービス「NordVPN」も展開しているため、テレワーク環境で既にNordVPNを導入しているチームとの相性が良いと言えます。関連する評価については、別途掲載しているNordVPNの評判・口コミ解説記事も併せてご確認ください。

チームでのパスワード共有の注意点

チーム内でパスワードを共有して管理する際は、いくつかの点に注意を払う必要があります。特に起こりやすい課題について、以下にまとめました。

• 退職者・異動者のアカウント管理：Slackチャンネルで共有したパスワードの更新を怠ると、退職後もアクセス可能な状態が続いてしまうというリスクがあります。
• 共有スプレッドシートのリスク：GoogleスプレッドシートやExcelを用いた共有では、閲覧権限を持つ全員に対してパスワードが平文で表示されるため、情報漏えいの懸念が高まります。
• 個人と業務の混在：個人の1アカウントに会社のパスワードを保存していると、退職時にデータを容易に持ち出せる状況が生じてしまいます。

1Password Businessの「ボールト（Vault）」機能を活用すると、部署やプロジェクト単位でアクセス権限を細かく管理できます。また、退職者のアカウントを無効化しただけで、共有パスワードへのアクセスも即時に遮断されます。

公式サイトのセキュリティ設定（参考）

参考までに、主要4社の公式サイトのHTTPセキュリティヘッダー（HSTS・CSPなど）の設定も確認しました（2026年6月時点）。ただ、ヘッダーの返り方は確認方法や時期によって変わり、ボット対策の画面が返るサイトもあるため、点数での比較は控えます。これはWebサイト側の設定であり、保管データの暗号化の強さとは別の話です。なお、TLS接続については、4社ともTLS 1.2以上で暗号化されていることを確認しました（2026年6月12日時点）。

会社支給と個人デバイスの使い分け

テレワーク環境においては、個人デバイスを業務に活用するBYOD（Bring Your Own Device）の運用が課題になりやすいです。私物のスマートフォンやPCから業務メールや社内ツールへ接続すると、その端末のセキュリティ状態が組織全体のリスク要因として作用します。

デバイスごとのリスクと対策

デバイスごとに適切な対策が変わりますので、次の項目をチェックしてみましょう。

• 会社支給PC：MDM（Mobile Device Management）やEDR（Endpoint Detection and Response）が導入されているかを確認します。パスワードマネージャーはブラウザ拡張機能として、全ユーザーへのインストールを義務付ける仕組みです。
• 個人PC（BYOD）：業務用のブラウザプロファイルを分離します。1Passwordのような商用パスワードマネージャーを活用し、仕事用のパスワードは専用のボールト内に格納する運用が望ましいです。
• 個人スマホ：業務アプリとプライベートアプリの使い分けを行います。1Passwordアプリは生体認証（Face ID / 指紋）に対応しているため、マスターパスワードの入力に代用でき、操作の手間を大幅に減らせます。

パスキー（Passkey）の活用

テレワーク環境では、FIDO2/WebAuthnベースの「パスキー」も有効な選択肢です。パスワードを持たないため、「パスワードが漏洩する」リスクが発生しません。1Passwordはパスキーの保存・管理に対応しており、クロスデバイスでの同期も可能です。詳しくはパスキーとは？パスワードとの違い解説をご参照ください。

よくある質問

最後に、テレワーク・在宅勤務でのパスワード管理についてよくある質問を以下にまとめておきます。

テレワークで1Passwordを会社導入するには？

会社内で1Password Businessプランを展開する場合、管理者がユーザーを招待するだけで導入が可能です。まずは1Password.com/businessからトライアルを申し込み、IT担当者が管理コンソールを通じてポリシーを設定しましょう。SAML/SSO対応（Okta、Microsoft Entra ID（旧Azure AD）など）も備わっているため、既存の社内認証基盤との連携も実現できます。

VPNとパスワードマネージャーは併用すべき？

はい、両方の併用をおすすめします。VPNは通信経路を暗号化する役割を担い、パスワードマネージャーは認証情報の管理と保護を担うため、機能は異なります。VPNのみでは認証情報の漏洩やフィッシング詐欺への対策が不十分であり、パスワードマネージャーのみでは通信の盗聴を防げません。両方を組み合わせることで、それぞれの弱点を補完し合います。

テレワーク中の公共Wi-Fi利用は危険？

公共Wi-FiをVPNなしで利用すると、通信の盗聴リスクが生じる可能性があります。ただし、現在のHTTPS通信は暗号化されているため、VPNを使わなくても一定の保護効果が得られます。より安全性を高めたい場合は、VPNの利用をおすすめします。そのうえで最も重要なのは、「利用しているサービスがすべてHTTPS対応であること」「パスワードを使い回さないこと」の2点です。こうした管理は、パスワードマネージャーが自動的に支援してくれます。

1Passwordのマスターパスワードを忘れたら？

1Passwordはゼロ知識設計を採用しているため、サポートスタッフであってもマスターパスワードを確認することができません。アカウント設定時に発行される「シークレットキー」は、安全な場所に保管しておくことが重要です。具体的には、1Passwordが提供する「Emergency Kit」という紙のドキュメントに記録し、紛失しないよう管理してください。テレワークを開始する前に、これらの設定を完了させておきましょう。1Passwordの安全性に関する詳しい解説もあわせてご覧ください。

無料のパスワードマネージャーはテレワークに使えますか？

Bitwardenは無料で利用可能なオープンソースのパスワードマネージャーです。ただし、チーム共有機能やSSO対応、詳細な管理機能を利用するには有料プランへの加入が必要です。個人のテレワーカーであれば無料版で十分ですが、会社全体での導入を検討する場合は有料版を選択してください。詳細についてはBitwardenの使い方完全ガイドをご参照ください。

テレワーク中のフィッシング詐欺に気づくには？

パスワードマネージャーはURLを検証したうえで自動入力を実行するため、偽サイトではこの機能が作用しません。「普段は自動でパスワードが入力されるのに、今回は表示されない」という現象が起きている場合、フィッシングサイトである可能性が高いと判断できます。パスワードマネージャーは、こうした仕組みを通じて実用的なフィッシング検知機能として働いているといえます。

まとめ

テレワークや在宅勤務の現場で、パスワード管理がどのように運用されているのかを公開データや計算をもとに整理しました。VPNはセキュリティ強化に欠かせない手段ですが、この対策だけでは認証情報の漏洩やフィッシング攻撃、そしてパスワードの使い回しといったリスクを十分に防げません。

あなたの状況	おすすめ	理由
個人テレワーカー・フリーランス	1Password Individual	日本語対応・全機能・月$3.99で費用対効果が高い
夫婦・家族でテレワーク	1Password Families	5人まで月$5.99、個別ボールトで仕事と家庭を分離
小規模チーム（10名以下）	1Password Teams Starter	月$24.95で10名分・管理者機能付き
中規模以上の企業	1Password Business	SSO・詳細ポリシー・監査ログ対応
コストを抑えたい個人	Bitwarden（無料）	オープンソースで信頼性高い

個人レベルでの導入から始められるのが、パスワードマネージャーの特徴です。テレワーク環境で利用している業務ツールやメール、クラウドストレージのパスワードをすべて移行し、それぞれ異なるランダムな文字列に設定しましょう。この対応を行うことで、認証情報に関連するリスクの大部分を解消できます。

完璧な状態を求めすぎて行動を先延ばしにしないことが、最も重要です。今日、1つのパスワードを更新するだけでも、リスクが確実に下がるという効果を得られます。