楽天銀行のパスワード変更でつまずいた｜使える記号は12種類、パスキーはなし。Googleは18年前のままでした
証券口座・道具1Passwordを入れたので、大事なところからパスワードを変えていきました。
最初は楽天銀行です。ところが、ここでいきなりつまずきました。
- 使える記号が12種類だけで、1Passwordが作ったパスワードが何回も通らない
- パスキーがない
- 代わりの守りは、どれもメールに頼っている
次はGoogleです。パスワードの「前回の変更」を見たら、2008年12月20日でした。18年前です。
いろいろ触ってみて分かったのは、結局いちばん守るべきなのはメール（Gmail）だということです。
Gmailが一番やばかった、こわっ
この記事は、1Password導入記録の2本目です。1Passwordを入れたところまでは、こちらに書いています。
この記事の目次
- 前提：自分の作業環境
- 最初は楽天銀行から。お金の出口を先に塞ぐ
- 楽天銀行：記号が足りない、パスキーがない
- Google：前回の変更は2008年
- やりすぎて止められた
- Apple ID：ウェブから変えられず、ここでもつまずいた
- Macだけだと危なかった
- つまずきやすいところ
- 一番効果を感じていること
- まとめ
1. 前提：自分の作業環境
自分の作業環境はこうです。
- パソコンはMac、ブラウザはChrome、スマホはiPhone
- 1Passwordを入れて、Chromeのパスワードを取り込んだところから始めています
- Googleアカウントは2つ持っています
- 楽天銀行は、MacのChromeから操作しました
- 作業したのは、2026年10月26〜27日です
先に書いておくと、自分はセキュリティにあまり自信がありません。専門家でもありません。
調べながら、考えられる対策を1つずつやっていっている、という記録です。
もう1つの前提があります。最近の情報流出の多さを見ると、ログインID、パスワード、名前、住所といった主な情報は、もうどこかで漏れているものとして考えています。漏れていない前提で守るのではなく、漏れていても入られないようにする、という考え方です。
2. 最初は楽天銀行から。お金の出口を先に塞ぐ
この記事では、楽天銀行 → Google → iPhone → Apple ID の順に書いていきます。
楽天銀行から始めたのは、ちょうど振込の予定があったから、というのもあります。
もう1つの理由は、出金先です。証券口座のお金を出金できるのは、本人名義の銀行口座だけです。もし楽天証券が乗っ取られても、知らない人の口座にお金を送られることは、まずありません。
なので、先に塞ぐべきは、お金の出口になる銀行のほうだと考えました。
ただ、調べてみると、実際に起きた証券口座の乗っ取りは、出金ではありませんでした。持っている株や投資信託を勝手に売られて、そのお金で別の株を買わされる手口です。2025年1月から2026年2月までの不正取引は、1万件を超えています。
証券口座も守る必要はあります。自分の楽天証券は、ほかで使い回していないIDとパスワードにしてあって、パスキーも設定済みです。なので、ひとまずは大丈夫だと思っています。
3. 楽天銀行：記号が足りない、パスキーがない
使える記号は12種類、8〜12桁まで
振込の用事があったので、終わったついでにパスワードを変えようとしました。
![楽天銀行のログインパスワード変更画面。英大文字・英小文字・数字・記号の4種類をすべて使い、8〜12桁で設定するよう書かれている。使える記号は $ - . / : @ [ ] _ # & ? のみ](/images/101-rakuten-condition.png)
楽天銀行のログインパスワードの条件は、こうらしいです。
- 英大文字・英小文字・数字・記号の4種類を全部使う
- 8〜12桁
- 使える記号は、$ - . / : @ [ ] _ # & ? の12種類だけ
ここで、1Passwordが作ったパスワードがさっそく通りません。
1Passwordの拡張機能を開いて、鍵マークを押すと、パスワードを作る画面が出ます。
※画像のパスワードは、適当に作った例です。
でも、1Passwordからは、実際にこんな感じのパスワードが提案されます。たしかにランダムで、自分では覚えられません。これは、かなり強固っぽいです。AIにも推測はされなさそうだな、と思いました。
種類は「スマートパスワード」で、「このサイトの要件に合うパスワードを提案します」と書いてあります。
それなのに、最後が「*」です。楽天銀行では使えない記号です。
何回か作り直して、やっと条件に合うものが出ました。
ちゃんと提案してくれよ。
パスキーがない
あれだけパスキー、パスキーと言われているので、楽天銀行にもあるだろうと思っていました。
ありませんでした。
楽天証券や楽天モバイルにはありますが、楽天銀行のログインは楽天IDとは別の仕組みです。楽天銀行の公式サイトを見ても、パスキーの案内は見当たりませんでした（2026年10月27日時点）。
メインの口座なのに、そんなもんか、と思いました。
それに、パスワードも8〜12桁までです。前の記事で「ランダムな14文字以上なら、総当たりで破るのはかなり難しいらしい」と書いたのに、銀行のほうが12桁までしか受け付けません。
桁数、少なすぎない？
ログインは何回か間違えるとロックされるので、総当たりされにくい仕組みではあるようですが。
代わりの守りは、メールだのみ
楽天銀行には、パスキーの代わりに、こんな守りがあります。
- IP制限：登録した場所以外からは、暗証番号を使う取引ができない
- 振込限度額：1日に振り込める上限を決める
- ログイン制限：ログインのたびに、メールで届くワンタイムキーが必要になる
- モバイルアクセス制限：登録したスマホのアプリ以外からログインできなくする
- ATM出金制限：出金を止める、限度額やATMや時間帯を決める
- ログイン履歴：過去のログインを見て、不正がないか確かめる
- デビット利用制限：デビットカードの使い方を制限する
ただ、どれも「これで被害を防げるぞ」という感じは、あまりしませんでした。
まず、使いにくいです。たとえばログイン制限は、メールが来てからでないとログインできません。強固なのかもしれませんが、毎回これは面倒です。
それに、どれも結局メールが頼りです。ログイン制限のワンタイムキーも、振込のときのワンタイムキーも、メールで届きます。
メールを破られたらあかんやん、と。
だったら、先にGmailの守りを固めたほうがよさそうです。
楽天銀行のほうは、パスワードを変えたので、ちょっとはセキュリティが上がったはずです。
4. Google：前回の変更は2008年
18年、同じパスワードだった
Googleアカウントのパスワードを変えようとして、この表示を見ました。
前回の変更：2008/12/20。
18年前です。証券口座を開いたのとほぼ同じ頃から、一度も変えていませんでした。
しかも、昔の「秘密の質問」まで残っていました。パスワードを忘れたときに、答えを入れて本人確認をする、今はほとんど使われていない仕組みです。答えも、家族なら分かるようなものでした。
パスワード・パスキー・2段階認証
自分はGoogleアカウントを2つ持っているので、2つとも同じことをしました。やったことは、この3つです。
- パスワード：1Passwordが作った20文字くらいのものに変更
- パスキー：それぞれ2つずつにしました。1つは1Passwordの中、もう1つは別の場所（iCloudなど）です
- 2段階認証：オンになっているのを確認
パスキーは、1つだとそれが入った端末をなくしたときに困ります。Googleの画面にも「パスキーをもう1つ作ってください」と出ました。
1Passwordにパスキーを作るのは簡単でした。Chromeでパスキーを作るとポップアップが出て、そのまま1Passwordに保存されます。
最後に、いったんログアウトして、1Passwordでパスワードを入れて、2つ目の手順でパスキーを使ってログインし直しました。ちゃんと入れたので、Googleはこれで完了です。
2段階認証のコードは、1Passwordに入れない
途中で、1Passwordから「Use 1Password for 2FA」という案内が出ました。2段階認証のコードも、1Passwordで作って保存しませんか、という意味です。
便利ですが、Googleでは使わないことにしました。
パスワードと2段階認証のコードを両方1Passwordに入れると、1Passwordが破られたときに、2段階認証まで一緒に取られます。なので、コードは1Passwordに入れず、スマホに届く通知で受けるようにしました。
ただ、Googleのパスキーは1Passwordにも入れています。パスキーでログインすると、スマホの通知はいりません。なので、1Password自体が破られると、Googleも危なくなります。
いちばん大事なのは、1Password自体を固く守ることです。マスターパスワードとSecret Keyは、絶対に漏らさないようにします。
Notion・Cloudflare・GitHubも一緒に強くなった
Googleを固めたら、ついでに守りが強くなったものがあります。
Notion、Cloudflare、GitHubです。どれも「Googleでログイン」で入っているので、Googleの守りがそのまま効きます。
CloudflareとGitHubは、このブログのデータと公開の仕組みを預けている場所です。ここを乗っ取られたら、ブログごと書き換えられます。
逆に言うと、Googleが破られたら、ここも危なくなる、ということです。Googleを先に固めた意味は、ここにもありました。
Googleでログインしているサービスの一覧には、昔試しに作って、使っていないサービスも残っていました。使っていないものは、つながりを切っておきます。
5. やりすぎて止められた
2つ目のGoogleアカウントでは、ちょっと困ったことがありました。
ログインしようとすると、今使っていない古い携帯に、2段階認証の数字が届きます。古い携帯がGoogleにログインしたまま残っていたからです。
これを外そうとして、ログアウトや端末の削除を続けて触っていたら、こうなりました。
本人確認を行えませんでした。
短い時間にパスワード変更、パスキーの追加、ログアウト、端末の削除と、大事な設定を続けて触ったので、Googleが「乗っ取った人が書き換えているのかも」と考えて止めたようです。
アカウントが閉じられたわけではありません。今ログインしている端末は、そのまま使えます。
本人がやっていても、短い時間に大事な設定をあれこれ変えると、Googleからは乗っ取りと見分けがつかない、ということです。
なお、当たり前のことを言ってますが、大事な設定は、慎重に少しずつ進めたほうがよさそうです。
ある意味で安心ではあるんですが、自分は本人なんですけどね。
6. Apple ID：ウェブから変えられず、ここでもつまずいた
Apple IDのパスワードも、1Passwordで作ったものに変えようとしました。
Macの設定から変えようとすると、この画面になります。
ここでは、1Passwordの提案が出てきません。
それならと、ChromeでAppleのアカウントのページを開きました。ブラウザなら、1Passwordの提案がそのまま使えると思ったからです。
ウェブ上でパスワードを変更できません。
自分のアカウントでは、iPhoneやMacの「設定」から変えるように案内されました。なので、1Passwordでパスワードを作って保存してから、コピーして設定の画面に貼り付けることになります。
この流れを書いている記事は、ほとんど見つかりませんでした。
ただ、自分のApple IDは、今のパスワードもわりと十分に長いものです。なので、ここは一旦保留にしました。
7. Macだけだと危なかった
途中で気づいたことがあります。
1Passwordが入っているのは、Macだけでした。
GoogleもApple IDも、パスワードは1Passwordの中にしかありません。Macが壊れたら、1Passwordを開ける端末がなくなります。
新しいパソコンで開くには、マスターパスワードのほかに、Secret Keyが要ります。Secret Keyを確かめるには、Emergency Kitか、ログインしている端末が必要です。
なので、iPhoneにも1Passwordを入れました。
App Storeで「1password」と検索すると、すぐ下に別の会社の2段階認証アプリの広告が出ます。名前が「1Password: Password Manager」で、提供元が「AgileBits Inc.」なのを確かめてから入れました。
これで、Macを1台なくしても、iPhoneからパスワードを見られます。
Emergency Kitは、まだ印刷できていません。家に手軽に印刷できるところがないからです。プリンターがなければ、Secret Keyとサインインのアドレスを手で書き写して、他人に見られない安全な場所に保管しておくだけでも、全部の端末をなくしたときの備えになります。
8. つまずきやすいところ
やってみて、つまずいたところをまとめます。
- サイトごとに、パスワードの条件が違う：楽天銀行のように記号が限られていると、1Passwordの提案がそのまま通りません。記号なしで作って、使える記号を手で足すのが早いです
- パスキーがないところもある：楽天銀行のように、メインの口座でもパスキーがないことがあります
- 設定を続けて触ると止められる：Googleは、短い時間に大事な設定を続けて変えると、しばらく止めてきます
- 1Passwordが1台だけだと危ない：パスワードが1Passwordの中にしかないなら、もう1台にも入れておきます
どこから変えるか迷ったら、1Passwordの「弱いパスワード」の表示が出ているものから潰していくのが現実的です。1Passwordでは、画像のような表示が出ます。
自分がやったことを、チェックリストにしておきます。
- □ 楽天銀行のパスワードを変えた
- □ Googleのパスワードを変えた（アカウントは2つとも）
- □ Googleのパスキーを2つ以上にした
- □ Googleの2段階認証がオンになっているのを確かめた
- □ パスワードを変えたサービスは、一旦ログアウトして、1Passwordで正常にログインできるか確かめた
- □ 「Googleでログイン」しているサービスを確かめた
- □ iPhoneにも1Passwordを入れた
- □ Emergency Kitを紙で残した（まだ）
9. 一番効果を感じていること
1Passwordを入れて、一番効果を感じているのは、20桁前後のパスワードを設定できることです。
もちろん、らくちんというのもあります。新しく登録するときも、パスワードを考えなくていい。ログインのときも、勝手に入れてくれる。
でも、何よりかなりの安心になっているのは、パスワードが20桁になっていることです。
自分で覚えようとしたら、20桁のランダムな文字なんて、とても無理です。それを、サイトごとにばらばらで持てます。
20桁前後もあれば、今の日本の中では、トップクラスに強固なほうじゃないかと思っています。
もう1つ安心なのは、使い回しがなくなったことです。
前は、少しずつ変えただけのパスワードを、あちこちで使い回していました。変えたところは全部ばらばらなので、どこか1つから漏れても、ほかのサイトには広がりません。ふるさとチョイスのような流出のお知らせが来ても、そのサイトのパスワードを変えるだけで済みます。
ただし、楽天銀行のように12桁までしか受け付けないところもあります。そこは、その中でいちばん長くしておきます。
まとめ
いろいろ触ってみて、いちばん大事なのはメールだと分かりました。銀行のワンタイムキーもメールで届くし、Googleでログインしているサービスもたくさんあります。
次は、家族に1Passwordを使ってもらう話を書く予定です。
出典
- ログイン制限（楽天銀行）
- 認証強化設定（楽天銀行）
- 証券口座乗っ取り 不正な株取引の手口と急増の背景（nippon.com）
- 証券口座の乗っ取りが増えている理由（McAfee）
- Apple Accountのパスワードを変更する（Appleサポート）
画面や条件は2026年10月時点のものです。