AI時代のセキュリティ対策｜個人でも今日からできる7つの守り方

「AIが普及して、セキュリティはもっと難しくなった気がする」

その感覚はある意味正しくて、ある意味違います。

攻撃の見た目は確かに変わりました。でも個人が守るべき中心は、実はそれほど変わっていません。AIで強化された攻撃に対しても、基本的な習慣を更新するだけで、かなりの被害を防ぐことができます。

セキュリティエンジニアとして、今日からできる7つの守り方をまとめました。

AI時代のセキュリティ、何が変わり何が変わらないのか

CISA（米国サイバーセキュリティ・インフラストラクチャーセキュリティ庁）は、個人向けの基本行動として「フィッシング認識、強いパスワード、MFA、ソフトウェア更新」の4つを整理しています。

これは変わっていません。AI時代でも、最初の守り方はこの4つです。

変わったのは攻撃の質です。IPA「情報セキュリティ10大脅威 2026」では、組織向けに「AIの利用をめぐるサイバーリスク」が初めてランクインしました。個人被害の入口は同じ不正ログイン・フィッシング・詐欺でも、見分けにくさと量が上がっています。

「見破る力を鍛える」より「被害を受けにくい仕組みを作る」方向で考えるのが、再現性の高い対策です。

守り方① パスワードマネージャーとMFAでアカウントを守る

最初にやることはアカウント保護です。

パスワードマネージャーを使うと、サービスごとに異なる強力なパスワードを自動管理できます。さらに、登録済みのドメインにしか自動入力しないため、偽サイトへの誘導を検知する副次効果があります。

MFA（多要素認証）は、パスワードが漏れても不正ログインを防ぐ第2の鍵です。重要なアカウント（銀行、メール、SNS、クラウドサービス）から順番に有効化してください。可能なら、SMSより認証アプリ、さらにパスキー（Passkeys）への移行が安全です。

パスワードマネージャーを入れるだけで、アカウント侵害のリスクは大幅に下がります。

守り方② フィッシングは「踏まない導線」で回避する

AI生成のフィッシングメールは、日本語の不自然さや雑なロゴで見破れなくなっています。「見破る」より「踏まない仕組み」を作る方が確実です。

やること3つ:

銀行・クレカ・メール・SNSのURLはブックマークか公式アプリから入る。メールのリンクからは入らない、と決める。

パスワードマネージャーを使っていれば、偽サイトでは自動入力が反応しません。これもフィッシング検知として機能します。

「身に覚えのないパスワードリセット」「アカウント停止警告」が来たら、リンクを踏まずにブックマークから直接確認する。本物の問題ならログイン後に通知が出ます。

守り方③ AI音声・なりすましには事前の手順で対応する

短い音声クリップから音声クローンを作る技術は、もう専門家だけの領域ではありません。声だけでは本人確認の根拠が弱くなっています。

FTC（米国連邦取引委員会）は、AI音声クローンを使った家族緊急詐欺に注意喚起しています。

対策は、電話を受けてから判断するのではなく、事前に手順を決めておくことです。

家族や親しい人と「緊急時の合言葉」を決める。SNSや公開情報から推測できないもの。電話でお金や個人情報を求められたら一度切り、登録済みの番号に自分からかけ直す。「急いで」「別のアプリへ」という要求は危険信号として扱う。

守り方④ AIに入れていい情報と入れてはいけない情報を分ける

AIは便利な相談相手ですが、入力した内容は会話履歴・共有リンク・外部連携ツールを通じて残る可能性があります。

絶対に入れないもの: パスワード・APIキー・認証トークン、本人確認書類、未公開の仕事情報、顧客・取引先の個人情報、口座番号・認証コード。

注意が必要なもの: 氏名・住所・電話番号は「Aさん」「○○社」に匿名化してから入力する。メールや文書を添削してもらうときは、個人名や組織名を伏せてから貼る。

今すぐできること: 使っているAIサービスの「会話履歴の保存設定」「学習への利用設定」を確認して、必要に応じて変更する。

守り方⑤ AIエージェントは最小権限で起動する

Claude Codeなどのコーディングエージェントや、MCPを使ったAI自動化ツールは、ファイル操作・シェル実行・外部APIへのアクセスができます。

最初から全権限を有効にするより、「読み取り専用から始めて、必要なものを足す」アプローチが安全です。

外部のWebページ・PDF・メールをAIに読ませるときは、書き込み・送信・削除の権限を切ってから渡す。使っていないMCPサーバー・ブラウザ拡張・VS Code拡張は無効化する。

CLAUDE.md

守り方⑥ OS・ブラウザ・アプリの自動更新を有効にする

脆弱性の多くは、既知の問題に対するパッチが存在するのに更新が遅れているシステムを狙います。

CISAは、ソフトウェア更新を基本行動のひとつとして明確に位置付けています。自動更新を有効にするだけで、既知の脆弱性を突く攻撃の大半は防げます。

確認対象: OS（macOS・Windows・iOS・Android）、ブラウザ、主要アプリ、スマートフォン。「後でやる」を選び続けている更新通知があれば、今日中に適用してください。

守り方⑦ 使っていない連携・拡張・APIキーを定期的に整理する

時間が経つと、設定した記憶がないサービス連携や、使っていないブラウザ拡張が積み重なります。これらは、意図せず権限を持ち続けたままになっています。

半年に一度、以下を確認する習慣があると安全です。

Googleアカウント・GitHubなどのサービスで、連携しているアプリの一覧を見る。使っていないものはアクセス権を取り消す。AIサービスのAPIキーは、使っているプロジェクトごとに分け、不要になったら失効する。ブラウザ拡張は「使っているもの」と「入れたままのもの」を分けて整理する。

今日から始める7つのチェックリスト

• パスワードマネージャーを入れる（銀行・クレカ・メール・SNSから）
• 重要アカウントのMFAを有効化する（可能ならパスキーへ）
• 重要なサービスのURLをブックマークに登録し、リンクからは入らないと決める
• 家族と「緊急時の合言葉」を決める
• 使っているAIサービスの会話履歴・学習利用設定を確認する
• OS・ブラウザ・スマートフォンの自動更新を確認・有効化する
• 使っていないサービス連携・拡張・APIキーを1つ整理する

7つ全部を今日中にやる必要はありません。1つずつで十分です。「今日これだけやった」という積み重ねが、一番続く防衛になります。