【IPA・総務省データ】パスワード管理をエクセルで続けるリスク｜被害原因の33.7%はID・パスワード不備（2025年）

SaaSや共有アカウントが増えてくると、パスワードをひとまずExcelの一覧にまとめたくなりますよね。情シス担当者として、こんな悩みを抱えていないでしょうか。

• 共有アカウントのパスワードをExcelでまとめているが、このままで大丈夫か分からない
• ファイルにパスワードをかけているから、安全だと思っていた
• 専用ツールに切り替えるべきか、判断の基準が分からない

結論から言うと、Excelでの管理そのものが、すぐに危険というわけではありません。分かれ目は、ファイル1つにパスワードが集まる弱点を、追加認証・閲覧記録・暗号化の3つの守りで補えているかどうかです。

この記事では、不正アクセス被害の原因に関する公的データと、Excel管理の弱点を整理します。そのうえで、Excel管理を続けるか見直すかを決める3つの基準と、続ける場合の運用ルールを解説します。

この記事のポイント

• 2025年にIPAへ届出のあった不正アクセス被害では、原因の33.7%が「ID・パスワード管理の不備」でした（出典: 警察庁・総務省・経済産業省「不正アクセス行為の発生状況」）
• 2025年の不正アクセスの検挙では、「パスワードの設定・管理の甘さにつけ込んで入手」が手口別で最多の84件でした（出典: 同上）
• Excel管理を続けるかどうかは、追加認証・閲覧記録・暗号化の3点で判断できます。2025年の実施率は、認証技術22.2%、アクセスログの記録41.0%、暗号化27.4%です（常用雇用者100人以上の企業。出典: 総務省「令和7年通信利用動向調査」）

Excelでのパスワード管理は手軽な一方、一覧ファイル1つに認証情報が集まる弱点がある

Excelでのパスワード管理は、手軽に始められる反面、ファイル1つにすべてのパスワードが集まるという弱点があります。

Excelが選ばれる主な理由は、次の3点です。

• 追加の費用がかからない
• その日から始められる
• 社内の誰もが操作に慣れている

一方で、一覧ファイルが1つ漏れるだけで、全部のパスワードが一度に漏れる構造になります。主な弱点は次のとおりです。

IPAの「情報セキュリティ10大脅威 2026」解説書（組織編）も、PCやスマートフォン内のファイルにパスワードを書かないよう呼びかけています。Excelを名指しした記述ではありませんが、パスワード一覧はその代表的な例の一つです。

総務省の通信利用動向調査によると、ID・パスワードによるアクセス制御を行っている企業は、2025年に60.4%でした。この調査の対象は常用雇用者100人以上の企業です。

推移を見ると、2020年は63.1%、2021年は57.0%でした。その後は2022年に57.2%、2023年に58.0%、2024年に58.9%と、毎年上がっています。

出典: 総務省「令和7年通信利用動向調査」／総務省「令和5年通信利用動向調査」／総務省「令和4年通信利用動向調査」／総務省「令和3年通信利用動向調査」をもとに作成

2020年から2021年の落ち込みは回答企業の入れ替わりでも説明がつくため、実施をやめた企業が増えたとは言い切れません。

この推移から読み取れるのは、2021年以降の伸びが年0.2〜1.5ポイントにとどまり、2020年の水準にまだ戻っていない点です。2020年と2025年の値から計算すると、2.7ポイントの差が残っています。

なお、この設問は保管方法までは測っていません。そのうえで本記事では、ID・パスワードを使う約6割の企業は、パスワードの保管方法を決める必要がある立場にあると考えています。

出典: 総務省「令和7年通信利用動向調査」／総務省「令和5年通信利用動向調査」／総務省「令和4年通信利用動向調査」／総務省「令和3年通信利用動向調査」／IPA「情報セキュリティ10大脅威 2026」解説書（組織編）

ID・パスワード管理の不備は、不正アクセス被害の原因の約3割を占める

ID・パスワードは、届出・検挙・中小企業調査のどれを見ても、不正アクセス被害の入口の一つになっています。ただし、Excel管理だけが原因となった被害の割合を示す統計はありません。

ここからは、3つの公的統計を順に見ていきます。あわせて、統計で分かることと分からないことの境目も確認しておきましょう。

IPAへの届出では、2025年の不正アクセス被害の33.7%がID・パスワード管理の不備によるものだった

IPAに届出のあった不正アクセス被害を見ると、2025年は原因の33.7%が「ID・パスワード管理の不備」でした。対象は、実際に被害に遭った85件です。

原因別の分類は総計89件と少なめです。89件から計算すると、1件増減するだけで割合は約1ポイント動きます。

中小企業に絞った調査もあります。IPAの中小企業実態調査では、2023年度に不正アクセス被害を受けた中小企業等（419件の回答、複数回答）が対象です。このうち36.8%が、手口に「ID・パスワードの不正利用によるなりすまし」を挙げました。

2つの数値は集計の方法も対象も調査年も違うため、同じ指標として比べることはできません。

この2つの数値から読み取れるのは、集計の仕方が違っても、ID・パスワード起因の被害がそろって3割台に現れる点です。特定の統計の偏りだけでは説明しにくい傾向だと考えています。

ただし、同じ中小企業調査では、「脆弱性」を突かれた被害が48.0%で、ID・パスワードを上回っています。パスワード管理だけを見直しても、脆弱性など別の経路の被害は残る点に注意が必要です。

「パスワードの設定・管理の甘さ」は2025年の不正アクセス検挙で手口別最多の84件だった

警察庁の統計では、2025年の不正アクセスの検挙のうち、「パスワードの設定・管理の甘さにつけ込んで入手」が84件で、手口別で最多でした。これは、他人のID・パスワードを使う「識別符号窃用型」399件の内数です。

399件と84件から計算すると約21%ですが、識別符号窃用型自体が検挙件数407件の9割超を占めます。「約2割」だけを見て、ID・パスワードの比重を小さく見ないようにしましょう。

件数の増減は次のとおりです。

項目	2024年	2025年	増減
不正アクセス行為の認知件数	5,358件	7,190件	34.2%増
「パスワードの設定・管理の甘さ」による検挙	174件（計算値）	84件	90件減
「フィッシングサイトから入手」による検挙	41件（計算値）	77件	36件増

※2024年の検挙件数（174件・41件）は、2025年の件数と前年からの増減から計算した値です。
出典: 警察庁・総務省・経済産業省「不正アクセス行為の発生状況」

この表から読み取れるのは、検挙が半分以下に減った同じ年に、認知件数は34.2%増えている点です。検挙と認知は数える対象が違いますが、検挙の減少を、パスワード管理が改善した証拠と読むことはできません。

公的統計は「弱いパスワードの設定」と「ファイルへの記載などの保管ミス」を分けて数えていない

ここまでの統計には、共通の限界があります。どの統計も、パスワードの「設定」と「保管」を1つの区分で数えている点です。

2025年の届出の33.7%、同年の検挙84件、2023年度の中小企業調査の36.8%がこれにあたります。企業側の2025年調査の60.4%も、保管方法の内訳は測っていません。

この状況から言えるのは、Excel管理のリスクは、被害原因の統計とIPAの注意喚起を組み合わせて判断するしかないということです。なお、確認したのは国内の公的資料が中心で、民間調査に内訳がある可能性は残ります。

出典: 警察庁・総務省・経済産業省「不正アクセス行為の発生状況」／IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」／総務省「令和7年通信利用動向調査」／IPA「情報セキュリティ10大脅威 2026」解説書（組織編）

Excel管理を続けるか見直すかは、追加認証・閲覧記録・暗号化の3点で判断する

Excel管理を続けるかどうかは、弱点を補う3つの守りを自社が持っているかで判断できます。弱点と対策の対応は次のとおりです。

• 漏れたパスワードがそのまま使われる → 追加認証で補う
• 誰が開いたかを追いにくい → アクセスログ（閲覧記録）で補う
• ファイルが平文になりやすい → 暗号化で補う

この対応付けは本記事による整理で、統計上の区分ではありません。

総務省の2025年調査では、ID・パスワードによるアクセス制御が60.4%でした。対象は常用雇用者100人以上の企業（2,480社の回答）です。

一方、3つの守りにあたる対策は、認証技術22.2%、アクセスログの記録41.0%、暗号化27.4%でした。

出典: 総務省「令和7年通信利用動向調査」をもとに作成

この数値から読み取れるのは、3つの守りにあたる対策は、どれも実施率が半数に届いていない点です。ただし集計値どうしの比較のため、企業ごとの組み合わせまでは分かりません。

まずは、自社が3つのうちどれを持っていないかを確かめてみてください。

認証技術による利用者確認を行う企業は2025年調査で22.2%にとどまり、一覧が漏れるとそのまま使われる

1つ目の基準は、ログイン先のサービスに追加認証があるかどうかです。追加認証が無いサービスのパスワードが一覧に並んでいるなら、見直しの優先度は高いと考えてください。

総務省の2025年調査では、認証技術の導入による利用者確認を行う企業は22.2%でした。ID・パスワードによるアクセス制御の60.4%と比べると、2つの値から計算して38.2ポイントの差があります。

なお、調査票はこの「認証技術」の具体的な範囲を示していません。生体認証やICカードなど多要素認証以外の方式も含まれうるため、多要素認証の導入率とは一致しない点に注意してください。

追加認証があれば、Excelの一覧が流出しても、パスワードだけではログインできません。たとえばワンタイムパスワードを設定していれば、手元の端末に届くコードが無い限り、不正なログインを防ぎやすくなります。ただし、偽サイトでワンタイムパスワードまで入力させる「リアルタイムフィッシング」では追加認証も突破されるため、万能ではありません。

逆に、追加認証が無いサービスでは、一覧の流出がそのまま不正ログインにつながります。サービスごとの設定状況は、SaaSのセキュリティ対策とあわせて確認してみてください。

アクセスログを記録している企業は2025年調査で41.0%で、Excelの一覧は誰が開いたかを追いにくい

2つ目の基準は、一覧ファイルの閲覧記録を確認できるかどうかです。誰がいつ開いたかを後から確認できない場所に置いているなら、見直しを検討しましょう。

総務省の2025年調査では、アクセスログの記録を行う企業は41.0%でした。ID・パスワードによるアクセス制御の60.4%から計算すると、差は19.4ポイントです。3つの守りの中では最も実施率が高いものの、半数には届いていません。

Excelのファイルは、共有フォルダに置いただけでは「いつ・誰が開いたか・コピーしたか」が残りにくいものです。万一パスワードが悪用されても、一覧ファイルから漏れたのかどうかを調べる手がかりがありません。

判断の目安は、一覧ファイルの閲覧やダウンロードの履歴を確認できる場所に置いているかどうかです。たとえば、閲覧記録が残るクラウドストレージや、監査ログを取得しているファイルサーバーが該当します。社内でどの保存先が記録を残せるか、一度確認してみてください。

データやネットワークの暗号化を行う企業は2025年調査で27.4%で、Excelのパスワード保護は「読み取りパスワード」を最低限にする

3つ目の基準は、一覧ファイルそのものが暗号化されているかどうかです。Excelで続けるなら、少なくとも「読み取りパスワード」を設定してください。

総務省の2025年調査では、データやネットワークの暗号化を行う企業は27.4%でした。60.4%から計算すると、差は33.0ポイントです。この項目は通信の暗号化も含み、ファイル単位の値ではありません。

ほかの対策の状況は情報漏えい対策の実施率でまとめています。

Excelの読み取りパスワードは、ファイルを開く時点でパスワードを求め、中身も暗号化します。書き込みパスワードやシートの保護は編集を制限するだけで、中身は読めてしまいます。なお、読み取りパスワードを同じフォルダやメールに書くと、暗号化の意味がなくなります。

出典: 総務省「令和7年通信利用動向調査」／IPA「企業組織を狙う攻撃メールの手口とその対策」

Excelで運用を続けるなら、台帳の項目と退職・異動時の更新ルールを決めておく

Excelで続けると決めた場合も、パスワード本体を並べるだけの一覧にはしないことが大切です。そして、更新が回らなくなったときが、専用ツールへ切り替える目安になります。

ここでは、IPAと総務省の調査をもとに、台帳の設計と切り替えの目安を見ていきます。なお、IPAの調査は個人が所属企業の状況を答えたもので、総務省の調査は常用雇用者100人以上の企業が対象です。調査主体も対象も違うため、数値の差の大きさをそのまま比べることはできません。

退職者のIDを削除している割合は2022年調査で32.7%で、台帳には利用者と最終変更日を記録する

台帳には、パスワードそのものより「誰が使っていて、いつ変えたか」を記録するようにしましょう。退職や異動のときに、更新すべきパスワードをすぐに見つけられるようにするためです。

IPAの「企業の内部不正防止体制に関する実態調査」（2022年）では、退職後に退職者のIDやアクセス権限を削除していると答えた割合は32.7%でした。重要情報を定期的に棚卸ししている割合は19.8%です。この調査は、パネルモニター1,179名が所属企業の状況を個人として回答したものです。

これはExcelで管理している企業に限った数字ではありません。それでも、Excelの一覧は退職・異動のたびに人の手で直す必要があるため、更新が追いつかない企業も少なくないと考えられます。

そこで、台帳には次の項目を持たせておくと、更新の漏れに気づきやすくなります。台帳全体の設計については、アカウント管理台帳の作り方で詳しく解説しています。

パスワード本体は、台帳とは別のファイルか専用ツールに分けて保管するのがおすすめです。台帳が漏れても、すぐにはログインに使われない状態を作れます。

IDを発行する企業とID管理を強化する企業には20ポイント以上の差があり、更新が追いつかなくなったら専用ツールへの切り替えを検討する

一覧の更新が追いつかなくなったら、パスワード管理ツールへの切り替えを検討するタイミングです。IDを配ることと管理し続けることは、別の負担だからです。

2022年の総務省調査では、ID・パスワードによるアクセス制御を行う企業は57.2%でした。同じ2022年のIPA調査では、ID管理と本人確認（認証）を強化していると答えた割合は35.5%です。2つの値から計算すると差は21.7ポイントですが、調査主体も対象も違います。

この差から読み取れるのは、IDを配った後の管理まで手が回っていない企業が多い可能性です。Excelの一覧管理は、この部分を人の手に頼る方法です。

切り替えを考える目安は、次の3つです。

• アカウントが増えて、一覧の更新が遅れるようになった
• 退職・異動時に、パスワードの変更漏れが起きた
• 3つの守りのうち、2つ以上を用意できない

IPAの解説書は、パスワードの保管先として、パスワード管理ソフトやOS・ブラウザの機能を挙げています。

ただし、複数人で使うPCではブラウザに記憶させないよう求めています。自社に合う方法を選んでください。

出典: IPA「企業の内部不正防止体制に関する実態調査」／総務省「令和4年通信利用動向調査」／IPA「情報セキュリティ10大脅威 2026」解説書（組織編）

まとめ　Excelでのパスワード管理は、3つの守りを確認したうえで続けるか切り替えるかを決める

Excelでのパスワード管理は、手軽な一方で、ファイル1つにパスワードが集まる弱点があります。この記事の要点を振り返ります。

• 2025年は、IPAへの届出被害の原因の33.7%がID・パスワード管理の不備でした。検挙でも「設定・管理の甘さ」が手口別最多の84件です
• Excel管理だけが原因の被害割合を測った公的統計はありません。ただし、ファイル1つにパスワードが集まる構造は変わりません
• 2025年の実施率は、認証技術22.2%、アクセスログの記録41.0%、暗号化27.4%でした。この3つの守りを自社で確認し、更新が回らなくなったら切り替えを考えましょう

Excelで続けるか切り替えるかは、追加認証・閲覧記録・暗号化の3つの守りがそろっているかで決まります。まずは一覧ファイルの置き場所と読み取りパスワードの有無を確かめ、チェックリストを試してみてください。

出典: 警察庁・総務省・経済産業省「不正アクセス行為の発生状況」／総務省「令和7年通信利用動向調査」

パスワード管理のルールを社内に浸透させるなら「情シスカレッジ」

パスワードの保管ルールを決めても、社員に浸透しなければ守られません。一覧を勝手に持ち出さない、ブラウザに記憶させないといった基本を、短い教育で繰り返し伝えることが大切です。

「情シスカレッジ」は、新人・ひとり情シスのためのマイクロラーニングLMSです。数分の動画と小テストで、業務の合間に学べます。

導入は5名から可能で、請求書払いにも対応しています。初期設定はおよそ10分で完了します。

情シスカレッジの詳細を見る

※出典

• 警察庁・総務省・経済産業省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」
• 総務省「令和7年通信利用動向調査の結果（概要）別紙2」
• 総務省「令和5年通信利用動向調査の結果の概要」
• 総務省「令和4年通信利用動向調査の結果（概要）」
• 総務省「令和3年通信利用動向調査の結果（概要）」
• 情報処理推進機構「2024年度 中小企業における情報セキュリティ対策に関する実態調査」
• 情報処理推進機構「企業の内部不正防止体制に関する実態調査」
• 情報処理推進機構「情報セキュリティ10大脅威 2026」解説書（組織編）
• 情報処理推進機構「企業組織を狙う攻撃メールの手口とその対策」