IDとパスワードの違い｜ユーザー名・PINとの関係

IDとパスワードは、どちらもログイン画面で入力するため混同されやすい情報です。しかし、IDは「どの利用者か」をサービスへ伝える識別子、パスワードは「その利用者本人であること」を確かめる秘密情報です。メールアドレスやユーザー名がIDを兼ねることはありますが、PIN、ワンタイムパスワード、パスキーは役割や保管方法が異なります。

本稿の仕様、対応環境、画面名、操作順路は2026年10月22日時点の公式情報に基づきます。サービスやOSの更新、組織の管理ポリシーによって表示が異なる場合は、設定画面内で「パスワード」「パスキー」「2段階認証」などの語を検索してください。

IDとパスワードはログイン時に何を確認している？

IDは、サービス内で利用者や契約を区別するための識別子です。ログイン画面では「ログインID」「ユーザーID」「アカウント名」「メールアドレス」「会員番号」などと表示されます。第三者に知られる可能性を前提とする情報も多く、名札や宛先に近い役割です。

パスワードは、そのIDを使用しようとしている人が正当な利用者かを確かめるための秘密情報です。米国国立標準技術研究所（NIST）は、identifierを特定の文脈で一つの対象に関連付けられるデータ、passwordを利用者が知っていることを示すための文字列として整理しています。詳しい定義はNIST SP 800-63-4で確認できます。

例えばIDが「taro@example.jp」でパスワードが「サービスごとに生成した固有の文字列」なら、前者は対象アカウントを指定し、後者は本人確認を担当します。IDを忘れた場合は「IDを確認」「登録メールアドレスを確認」、パスワードを忘れた場合は「パスワードを再設定」と、復旧入口も別です。

ログインできないときは、最初に入力欄のラベルを読みます。「IDまたはメールアドレス」の欄へパスワードを入れたり、「パスワード」の欄へSMSで届いたコードを入れたりしても認証されません。自動入力された情報が別アカウントのものなら、候補を消して正しいIDを選び直します。

IDとパスワードが正しくても、追加認証、利用規約への同意、アカウント停止、通信障害などでログインが止まることがあります。エラーを「パスワード違い」と決めつけず、表示文を記録し、「IDが違う」「秘密情報が違う」「追加確認が未完了」の順に切り分けると再設定のやり直しを減らせます。

IDは相手を指定する情報、パスワードは本人だと証明する秘密、と分けて覚えましょう。

ユーザー名・メールアドレス・会員番号はIDとどう違う？

ユーザー名は、サービス内で表示される名前とログイン用IDのどちらにも使われます。SNSの「表示名」は同じ名前を複数人が使える一方、「ユーザーネーム」や「@から始まる名前」は重複できず、プロフィールURLやログインに使われる場合があります。画面に「表示名」と「ユーザー名」が並んでいるときは、表示名だけを控えてもアカウント復旧に使えないことがあります。

メールアドレスは本来、メールの宛先です。ただし多くのサービスでは、重複しにくく連絡先にもなるためIDを兼ねます。この場合でも、メールのパスワードとサービスのパスワードは別です。「taro@example.jp」で通販サイトへログインするとき、入力するのは通販サイト用のパスワードであり、メールボックスを開くためのパスワードではありません。

会員番号、契約番号、顧客番号も識別子になり得ます。数字だけでも、本人確認用のPINとは限りません。会員証に印刷されている番号は第三者の目に触れる前提であることが多く、それだけで本人確認を完了させる秘密情報として扱うべきではありません。サービスが「会員番号」と「暗証番号」を別々に求めるなら、会員番号がID、暗証番号が認証情報です。

IDを確認する場合は、登録完了メール、請求書、会員証、公式アプリの「アカウント」「プロフィール」「契約情報」を順に確認します。メール検索では、公式ドメインから届いた「登録完了」「会員番号」「ログインID」の通知に絞り、メール本文内のリンクではなく公式アプリやブックマークからサービスを開くとフィッシング対策になります。

IDを変更できるサービスでも、公開ユーザー名だけが変わり、ログイン用IDは変わらないことがあります。変更画面の説明で「ログインに使用」「プロフィールに表示」「連絡先」のどれに該当するかを確認してください。複数アカウントを持つ場合は、パスワード管理ツールの項目名に用途を加え、「個人用」「仕事用」「家族管理用」を判別できるようにします。

具体例として、Appleでは従来のApple IDがApple Accountという名称になっています。名称変更後もメールアドレスまたは電話番号とパスワードを使うため、古い案内との読み替えが必要です。Apple関連で入力情報を切り分けたい場合は、LUFTMEDIAのApple IDのパスワードが合っているのにサインインできない時も参照できます。

数字やメール形式だけで役割を判断せず、入力欄に書かれた正式名称を確認してください。

PIN・パスコード・ワンタイムパスワードは同じ秘密情報？

PINはPersonal Identification Numberの略で、通常は数字で構成される秘密情報です。NISTの用語ではPINもパスワードの一種ですが、実際の製品では利用範囲が限定される場合があります。Windows Hello PINは端末と結び付いて使用され、Webサービスへ送る共通パスワードとは同じものではありません。スマートフォンの画面ロック用パスコードも、端末内の認証情報を利用するための解除操作として使われます。

一方、銀行や通信会社の「暗証番号」は、契約者確認や取引承認に使う場合があります。4桁だから端末PINとは限らず、サービスごとに再設定方法が異なります。入力を何度も誤るとロックされることがあるため、候補を試し続けず、公式の「暗証番号を忘れた場合」へ進みます。

ワンタイムパスワード（OTP）は、一度または短時間だけ使える認証コードです。SMSで届く番号、認証アプリが一定時間ごとに生成する番号、ハードウェアトークンの表示値などがあります。固定パスワードの代用品とは限らず、IDとパスワードを入力した後の追加確認として求められることもあります。コードをパスワード管理ツールの「パスワード」欄へ上書き保存すると、次回ログインできなくなるため注意が必要です。

認証画面で「確認コード」「セキュリティコード」「ワンタイムパスワード」と表示されたら、その時点で公式アプリや正規サイトから自分が開始した操作かを確認します。電話やチャットで第三者からコードを聞かれても伝えません。攻撃者が先にIDとパスワードを入手し、最後のコードだけを聞き出そうとしている可能性があるためです。

コードが届かない場合は、連打せず、登録電話番号の末尾、圏外・機内モード、迷惑SMS設定、端末時刻、認証アプリ内の対象アカウントを確認します。複数回送信すると新しいコードだけが有効になり、古いSMSを入力して失敗することがあります。詳しい違いはLUFTMEDIAの2段階認証とは？SMS・認証アプリの違いとパスワード管理でも確認できます。

固定パスワード、端末PIN、短時間だけ有効なコードは、保存欄も再設定窓口も分けましょう。

パスキーはパスワードや端末PINの代わりになる？

パスキーは、対応サービスと端末の間で公開鍵暗号を使って認証する仕組みです。サービス側には公開鍵、利用者側には対応する秘密鍵が保持され、ログイン時に秘密鍵そのものをサイトへ入力しません。端末のFace ID、指紋、画面ロックPINなどは、端末内のパスキーを使用する人を確認するために使われます。顔やPINがWebサイトへパスワードとして送信されるわけではありません。

パスワードは偽サイトへ入力して盗まれる可能性がありますが、パスキーは登録先のサイトとの対応関係を認証処理で確認するため、フィッシングへの耐性があります。ただし、端末紛失、同期アカウントへのアクセス喪失、未対応ブラウザ、組織端末の制限といった運用上の問題は残ります。登録時には「どこへ保存するか」と「別端末からどう復旧するか」も確認します。

iPhone、iPad、Macでは、2026年10月22日時点でiOS 18、iPadOS 18、macOS Sequoia以降なら「パスワード」アプリからパスワード、パスキー、確認コードを確認できます。Apple公式のパスワードアプリの案内では、同じApple AccountとiCloudキーチェーンを利用した管理方法が説明されています。旧OSでは「設定」やSafariのパスワード設定など、保存場所が異なる場合があります。

Windowsでは、対応サイトの「パスキーを作成」「パスキーを追加」からWindows Helloの顔、指紋、PINなどで登録します。Microsoft Edgeで保存先を管理する場合は、「設定など」→「設定」→「パスワードとオートフィル」→「Microsoft パスワード マネージャー」へ進みます。Windowsの設定では「アカウント」→「パスキー」から確認できる構成がありますが、職場・学校アカウントは管理者の制限を受ける場合があります。

パスキー作成後も、すぐに既存パスワードや復旧情報を削除するとは限りません。まず一度サインアウトし、パスキーで再ログインできることを確認します。別端末でQRコードが表示された場合は、ログインしようとしている正規サイトのドメインを確認し、自分が開始していない要求なら読み取りません。失敗したときは「別の方法を試す」「パスワードを使用」など、サービスが表示する代替手段へ切り替えます。

パスキー登録後は、サインアウト後の再ログインと紛失時の代替手段まで試しておくと安心です。

使い回さない長いパスワードはどう作る？

最優先は、サービスごとに異なるパスワードを使うことです。同じ文字列を複数サイトで使うと、一つのサイトから漏れたIDとパスワードを別サイトへ試す「パスワードリスト攻撃」の影響が広がります。末尾の数字だけをサイトごとに変える方式も、規則を推測されやすいため固有とはいえません。

NIST SP 800-63B-4は、単一要素として使うパスワードについて最低15文字をサービス提供側へ求め、パスワードを多要素認証の一部として使う場合も最低8文字としています。また、文字種の混在を一律に強制するより、一般的・予測可能・漏えい済みの文字列を拒否し、長い入力を許容する考え方を示しています。これは利用者がどのサービスでも15文字なら十分という意味ではなく、サービスの条件を満たしたうえで長く固有にするための基準です。

自分で覚える必要がある少数のパスワードは、関係のない複数の語を組み合わせた長いパスフレーズにできます。氏名、生年月日、電話番号、ペット名、会社名、SNSで公開している趣味、キーボード配列、連番は避けます。日本語を許可しないサービスや文字数上限が短いサービスもあるため、作成画面の条件に合わせてください。

多数のアカウントには、パスワード管理ツールの生成機能を使うほうが現実的です。新規登録または変更画面で生成候補を選び、保存先のアカウント名とサイトドメインを確認します。候補が出なければ、ChromeやEdgeではパスワード欄を右クリックして生成機能を選べる場合があります。生成後は文字列を暗記するのではなく、保管庫へ正しく保存されたかを確認します。

独立行政法人情報処理推進機構（IPA）も、不正ログイン対策特集ページで、パスワードを長く複雑にし、複数サービスで使い回さないこと、多要素認証を利用することを案内しています。サービスの古い規則で短い上限や特定記号の禁止がある場合は、その範囲で生成し、他サービスとは共有しません。

秘密の質問も実質的な復旧用パスワードです。答えを公開情報から推測できる内容にせず、管理ツールへ質問と固有の回答を記録します。パスワードそのものをメールの下書き、共有メモ、連絡先の備考欄、スクリーンショットへ平文で置くと、別の侵害時にまとめて読まれるおそれがあります。

覚える数を減らし、各サイトには生成した長い固有パスワードを割り当てましょう。

パスワード管理ツールではどの画面から保存・確認する？

パスワード管理ツールは、サイトごとのID、パスワード、パスキーを暗号化された保管庫で管理し、正しいドメインで自動入力するための機能です。利用前に、保管庫へ入るためのアカウントへ長い固有パスワードと多要素認証を設定し、再設定用メールアドレスや電話番号が現在も使えるか確認します。

Google パスワード マネージャーは、2026年10月22日時点でパソコン版Chromeなら「その他」→「パスワードと自動入力」→「Google パスワード マネージャー」、Androidでは「設定」→「Google」→「すべてのサービス」→「自動入力とパスワード」→「Google パスワード マネージャー」が基本の順路です。機種で階層が異なる場合は設定アプリで「パスワード マネージャー」を検索します。パソコンではpasswords.google.comから確認する方法もあります。

iPhone、iPadの現行OSでは「パスワード」アプリを開き、Face ID、Touch IDまたは端末パスコードで認証して対象サイトを選びます。Chrome側に保存した情報を使う場合は、Chromeの「その他」→「パスワード マネージャー」も確認します。AppleとGoogleの両方へ同じサイトを保存すると、古い候補が二つ表示される場合があるため、主に使う保存先を決めます。

Microsoft Edgeでは「設定など」→「設定」→「パスワードとオートフィル」→「Microsoft パスワード マネージャー」へ進みます。Microsoft公式の管理手順が注意しているように、管理画面で保存値を編集しても、相手サイト側のパスワードは変更されません。先に公式サイトの「アカウント」→「セキュリティ」→「パスワードを変更」で更新し、その後で保存候補を更新します。

自動入力されないときは、保存したURLと現在のドメインが一致するか、ブラウザへ正しい同期アカウントでサインインしているか、自動入力が有効かを確認します。サブドメインやアプリ版では候補が出ないこともあるため、保管庫を開いて対象項目を選びます。偽サイトでも手動コピーはできてしまうため、貼り付け前にアドレスバーを確認してください。

漏えい警告や「侵害されたパスワード」が表示された場合は、管理ツール内の文字列だけを書き換えず、対象サービスの公式サイトで変更します。移行用CSVは平文になる製品があるため、共用端末や同期フォルダーへ保存しません。操作方法はLUFTMEDIAのGoogleパスワードマネージャーの使い方でも詳しく確認できます。

変更は「公式サイトで更新してから保管庫を同期」の順に行い、保存値だけを先に書き換えないでください。

多要素認証はSMS・認証アプリ・パスキーのどれを選ぶ？

多要素認証は、「知っているもの」「持っているもの」「本人の身体的特徴」など、異なる種類の要素を組み合わせる認証です。パスワードを二回入力する方式や、固定暗証番号を二つ求める方式は、段階が増えても同じ知識要素だけなら多要素認証とは限りません。

設定は対象サービスへ公式アプリまたはブックマークからログインし、「アカウント」→「セキュリティ」→「2段階認証」「多要素認証」「サインイン方法」などへ進みます。選択肢がある場合、パスキーやセキュリティキー、認証アプリ、プッシュ通知、SMSの順に、利用環境と復旧可能性を検討します。パスキーやセキュリティキーはフィッシング対策に向き、認証アプリは携帯回線がなくてもコードを生成できます。SMSは広く使えますが、電話番号変更や圏外、SIMに関する攻撃の影響を考慮します。

認証アプリを登録するときは、サイトが表示したQRコードを認証アプリの「アカウントを追加」「QRコードをスキャン」から読み取り、生成されたコードを元のサイトへ入力して登録を完了します。QRコードには認証用の秘密情報が含まれるため、撮影して写真共有やクラウドの共有フォルダーへ置きません。コードが通らなければ端末時刻を自動設定にし、対象サービスとアカウント名を取り違えていないか確認します。

登録完了後に表示されるバックアップコードは、スマートフォンを紛失したときの復旧手段です。普段使う端末だけに保存すると同時に失うため、暗号化した保管庫、施錠できる場所の紙など、別経路で保管します。コードは一度使うと無効になる場合があり、再発行すると以前の一覧が無効になるサービスもあります。

Googleでは、2026年10月22日時点でGoogleアカウントの「セキュリティ」→「Googleにログインする方法」→「2段階認証プロセス」から設定を確認できます。Google公式の2段階認証プロセスの案内では、スマートフォンを使えない場合のバックアップコードも説明されています。画面名が異なる場合はGoogleアカウント内で「2段階認証」を検索します。

機種変更では、旧端末を初期化する前に新端末でログインを試します。認証アプリの移行、電話番号、パスキーの同期、物理セキュリティキー、バックアップコードを確認し、少なくとも二つの復旧経路を用意します。会社や学校のアカウントで設定項目が表示されない場合は、個人判断で解除せず管理者へ連絡してください。

追加認証を有効にしたら、端末紛失を想定して別経路の復旧手段も同時に準備しましょう。

IDとパスワードが漏えいしたらどの順番で変更する？

漏えい通知、不審なログイン履歴、身に覚えのない投稿や購入を確認したら、最初に使用中の端末と通信環境を点検します。偽サイトへ入力した直後ならそのページを閉じ、公式アプリまたは自分で登録したブックマークからアクセスします。端末に不審なアプリや拡張機能がある、セキュリティ警告が出る場合は、別の信頼できる端末から復旧操作を始めます。

変更の優先順位は、原則としてメールアカウント、パスワード管理ツール、金融・決済、通信会社、SNS・通販などです。メールは多くのサービスのパスワード再設定先であり、管理ツールは複数の認証情報を保管するため、先に防御します。ただし、銀行やカードで進行中の不正取引がある場合は、パスワード変更より先に公式窓口へ利用停止を連絡します。

対象サービスでは「セキュリティ」「ログイン履歴」「デバイス」から不明なセッションを確認し、「すべての端末からログアウト」があれば実行します。その後、長い固有パスワードへ変更し、多要素認証を追加または再登録します。攻撃者が追加したメールアドレス、電話番号、パスキー、認証アプリ、転送設定、アプリ連携が残っていないかも確認してください。

同じパスワードを使ったサービスがある場合は、重要度だけでなく「同じIDと同じパスワードの組み合わせ」から優先して全て変更します。一文字追加した派生パスワードも同じ系列として扱います。保存済みパスワードの検索やセキュリティ診断を使い、変更済み、未変更、退会予定を記録すると漏れを減らせます。

IDとしているメールアドレスが知られただけなら、通常は全サービスのIDを急いで変更する必要はありません。ただし、パスワード再設定メール、認証コード、不審なログイン通知が届いた場合は、送信元表示ではなく公式サイトの履歴を確認します。迷惑メール内の「心当たりがない場合」リンクを直接開くと、さらに認証情報を盗まれる可能性があります。

ログインできない場合は、公式の「パスワードを忘れた」「アカウントを復元」へ進みます。復旧先が攻撃者に変更されている、本人確認が通らない、金銭被害がある場合は、画面、日時、通知メール、取引番号を保存してサービス運営者や金融機関へ連絡します。パスワードを変更できた後も、数日はログイン履歴、メール転送、決済履歴を確認してください。

最後に、漏えい原因を整理します。同じ文字列の使い回しなら全アカウントの固有化、偽サイトへの入力ならパスキーやフィッシング耐性のある認証、端末侵害ならOS・ブラウザ更新と不要な拡張機能の削除が再発防止になります。原因を確認せず文字列だけを変更すると、同じ経路から再び盗まれるおそれがあります。

復旧はメールと保管庫を先に守り、パスワード変更後にセッションと登録済み認証手段も点検してください。

参照した公式情報

• NIST SP 800-63-4 Digital Identity Guidelines
• NIST SP 800-63B-4 Authentication and Authenticator Management
• IPA 不正ログイン対策特集ページ
• Apple パスワードアプリでパスワードやパスキーを作成・管理する
• Google 2段階認証プロセスによる個人情報の保護
• Microsoft パスワード マネージャーでパスワードを表示または編集する