パスワードを忘れたと言われたら

社員が「パスワード」と言うとき、指しているものは1つとは限りません。パソコンを起動したときの画面と、Microsoft 365 や Google Workspace のログイン画面は、別のパスワードの場合があります。勤怠や経費などの業務システム、VPN の接続画面も、それぞれ違うことがあります。

「どの画面で、何と表示されているか」を聞き、できれば画面の写真を送ってもらいます。「アカウントがロックされました」と出ているなら、忘れたのではなく、間違えた回数が多すぎて一時的に止まっている状態です。会社の設定によっては、一定時間待つと自動で解除されます。

Windows では、パスワードの代わりに数字の暗証番号（PIN）でログインする設定もあります。社員が「パスワード」と言っていても、実はPINの場合があります。PINを忘れた場合は、画面の「PINを忘れた場合」から、会社のアカウントで本人確認をして設定し直せることがあります。

パソコンの起動時に、ディスクの暗号化の回復キーを求める画面が出ることもあります。Windows では BitLocker、Mac では FileVault という機能の画面です。これはパスワード忘れとは別の手続きなので、管理者に回します。

Microsoft 365 や Google Workspace では、管理者が許可していれば、社員が自分でパスワードを再設定できます。ログイン画面の「パスワードを忘れた場合」から進み、事前に登録した携帯電話番号や認証アプリで本人確認をする流れです。

この機能を有効にしているか、社員が連絡先を登録済みかは会社ごとに違います。登録していない社員はこの方法を使えないため、管理者による再設定に切り替えます。

新しいパスワードは、他のサービスで使っているものを流用しないよう伝えます。総務省の国民のためのサイバーセキュリティサイトは、パスワードを複数のサービスで使い回さないよう呼びかけています。

自分で再設定できない場合は、管理者が管理画面から仮のパスワードを発行します。その前に、依頼してきた人が本当にその社員かを確かめます。チャットやメールでの依頼でも、アカウントが乗っ取られている可能性があるからです。

確認の方法は、内線や登録済みの携帯電話番号に折り返す、上長に在籍を確かめる、などです。仮のパスワードは依頼が来たのとは別の手段で伝え、初回のログインで変更させる設定にします。

多要素認証を使っている会社では、「機種変更したら認証できない」という相談も混ざります。多要素認証は、パスワードに加えてスマホの認証アプリなどで本人を確かめる仕組みです。この相談はパスワードではなく、認証方法の登録をやり直す手続きになります。

「急にログインできなくなった」という相談には、誰かにパスワードを変えられた、身に覚えのないログイン通知が来た、というケースが混ざります。直前に怪しいメールのリンクからログインしていないかを聞き、心当たりがあれば乗っ取りの疑いとして扱います。

IPA は、偽のサイトにIDとパスワードを入力した場合は、速やかに変更するよう呼びかけています。同じパスワードを他のサービスでも使っていれば、そちらも変えます。

乗っ取りが疑われる場合は、再設定だけで終わらせず、管理者にログイン履歴を見てもらいます。パスワードを変えても、すでにログインしている端末からの接続が残ることがあります。管理者の画面から、その社員のログイン状態をすべて切る操作もあわせて行います。