ChatGPTのパスキー・2段階認証の設定｜社員アカウントの乗っ取り対策
ChatGPTに社内の資料や顧客とのやりとりを入れて使い始めると、気になるのが「誰かに社員のアカウントへ入られたら、会話の中身が見られてしまうのでは」という点です。ChatGPTには、パスワードに加えてもう一段の本人確認をする2段階認証（多要素認証）とパスキーの仕組みがあります。この記事では、OpenAIの公式ヘルプで確認できる設定手順と、社員のアカウントを守るために会社で決めておきたいことを、IT担当がいない会社向けに整理します。
⏱ 忙しい人向け 3行まとめ
- 2段階認証もパスキーも、ChatGPTの「設定 → セキュリティ」から本人が設定する。2段階認証は認証アプリ・プッシュ通知・SMS・パスキーなどから選べる
- 2026年10月時点では、Businessの管理者でも社員に2段階認証を強制できない。社員にそろえてもらう段取りか、SSO（会社のIDでのログイン）で管理するかを決める
- スマホを失くすと、サポートの本人確認に数日かかり、回復のためのメールログインは1回きり。確認の方法を2つ以上登録しておくのが目安
ChatGPTの2段階認証とパスキーの違い
ChatGPTの2段階認証は「パスワードの後にもう1つ確認を足す」仕組み、パスキーは「パスワードの代わりに端末の顔認証や指紋で入る」仕組みで、パスキーは2段階認証の確認方法の1つとしても使えます。OpenAIの公式ヘルプで確認できる違いを表にまとめました（出典：OpenAI ヘルプセンター「Managing multi-factor authentication (MFA)」「Passkeys to secure your OpenAI account」、2026年10月29日確認）。
| 方法 | ログインのしかた | 向いている人 |
|---|---|---|
| パスワードだけ | メールアドレスとパスワード | おすすめしにくい（パスワードが漏れると入られる） |
| 2段階認証（MFA） | パスワードの後に、認証アプリのコード・スマホへの通知・SMSなどで確認 | まず全員に設定したい基本の形 |
| パスキー | メールアドレスを入れた後、端末の顔認証・指紋・PINで確認。パスワードやコードの入力が要らない | パスワードの使い回しや入力の手間をなくしたい人 |
公式ヘルプでは、2段階認証を有効にすると、ChatGPTだけでなくAPI PlatformなどOpenAIのサービス全体に効くとされています。また、使える確認の方法は、端末・国・プラン・アカウントの作り方によって変わることがあります。画面に出てくる選択肢が下の説明と違う場合は、自分の画面に出ているものから選んでください。
なぜ「乗っ取り」対策が要るのか
IPAの相談窓口の2026年7〜9月の報告では、社員のMicrosoftアカウントが悪用され、大量のメール送信に使われた事例が紹介されています（出典：IPA「サイバーセキュリティ相談窓口の相談状況［2026年第3四半期（7月～9月）］」、2026年10月26日確認。詳しくはこちらの速報）。ChatGPTも、会話の履歴やつないだGoogle Drive・メールなどに触れられるため、業務で使うなら「入られにくくする」設定をそろえておくのが現実的です。
ChatGPTの2段階認証の設定手順
ChatGPTの2段階認証は、ウェブの設定画面から5分ほどで設定できるのが目安です。公式ヘルプの手順は次のとおりです（画面の項目名は「セキュリティ」または「セキュリティとログイン」と表示されます）。
STEP1：設定を開く
ChatGPTにログインし、画面左下のアカウントメニューから「設定」を開きます
STEP2：「セキュリティ」を選ぶ
設定の中の「セキュリティ」（または「セキュリティとログイン」）を開くと、「多要素認証（MFA）」の項目があります
STEP3：確認の方法を選ぶ
認証アプリ、プッシュ通知、テキストメッセージ（SMS・WhatsApp）、パスキーから、有効にしたいものを選びます
STEP4：画面の案内に沿って登録する
認証アプリならQRコードを読み取って6桁のコードを入力、SMSなら電話番号を入れて届いたコードを入力します。次回のログインから確認が求められるようになります
確認の方法を複数登録すると、ログイン時にはより安全な方法が先に表示され、ほかの方法を選ぶこともできます。公式ヘルプでは、メールは通常の確認の方法としては使えないとされているので、「メールで届くコードで入ればいい」とは考えないほうが安心です。
なお、2段階認証を有効にしても、ほかの端末で開いているChatGPTが自動でログアウトされるわけではありません。乗っ取りが心配なときは、同じ「セキュリティ」の画面にある「すべてのデバイスからログアウト」を使います。公式ヘルプでは、すべての端末でログアウトされるまで最大30分かかることがあるとされています。
ChatGPTのパスキーの設定手順
ChatGPTのパスキーは、ウェブ版の「設定 → セキュリティ」の「パスキー」から追加します。公式ヘルプの手順は次のとおりです。
ウェブで設定を開く
設定 → セキュリティ
パスキーを追加
「パスキーを追加」を選ぶ
端末で確認
顔認証・指紋・PIN
追加した後は、メールアドレスを入れるとパスキーでのログインが最初に表示されます。パスワードで入りたいときは「別の方法を試す」を選びます。パスキーは同じ画面から追加・削除ができます。
パスキーには、その端末だけに保存されるものと、iCloudキーチェーンのように同じアカウントの端末どうしで同期されるものがあります。端末だけに保存したパスキーは、その端末を失くすと使えなくなるので、会社で使うなら同期されるパスキーか、別の確認の方法をもう1つ登録しておくのが目安です。手元のパソコンにパスキーがなくても、スマホのパスキーでQRコードを読み取ってログインできる場合もあります。
メールアドレスで作ったアカウント／対応している端末とブラウザを使っている／会社のSSOで入るアカウント（この場合、パスキーは2段階目の確認として働く）
メールアドレスのないアカウント（設定画面に項目が出ない）／アカウントの作り方やログイン方法、端末・ブラウザが対応していない場合
社員アカウントの乗っ取り対策として会社で決めること
社員のChatGPTアカウントを守るには、「誰がいつ設定するか」と「設定が抜けたときにどう気づくか」を会社で決めておくことが要になります。公式ヘルプでは、2026年10月時点でChatGPTのワークスペースやAPIの組織の単位で2段階認証を強制することはできないとされているためです。会社の状況に合わせて、次のどれかから選ぶのが現実的です。
① 全員で一斉に設定する
利用者が数人なら、朝礼や会議の後に全員で「設定 → セキュリティ」を開き、その場で認証アプリかパスキーを登録します。新しく入った社員にも、アカウントを渡すときに同じ手順を案内します
② 設定したかを一覧で確認する
管理画面から一括で確認できないため、利用者の一覧に「2段階認証：済」「確認の方法：2つ」の欄を作り、本人の申告でそろえます。半年に一度ほど見直すと抜けが出にくくなります
③ Businessなら会社のIDでのログイン（SSO）も
ChatGPT BusinessにはSSOとドメインの確認が含まれ、SAMLまたはOIDCに対応しています。Google WorkspaceやMicrosoft 365などのIDで入る形にすると、ログインの管理を会社のID側に寄せられます
③のSSOは、会社のIDの仕組み側で2段階認証を求める設定にしていれば、ChatGPTへのログインもその確認を通る形になるのが一般的です。一方で、公式ヘルプでは、単体のBusinessプランには社員の自動登録・削除（SCIM）が含まれず、SSOはChatGPTへのログイン方法を決めるもので、メンバーの招待や削除は管理者が別に行う必要があるとされています（出典：OpenAI ヘルプセンター「Setting up single sign-on (SSO) for ChatGPT Business」、2026年10月29日確認）。退職者のアカウントを止める手順は、SSOを入れても別に決めておく必要があります。プランごとの違いはChatGPT法人プランの料金と選び方、ChatGPTの機能や料金の概要はChatGPTのツール個別ページ、ほかのAIチャットはAIチャットの一覧にまとめています。
- 業務でChatGPTを使う社員と、使っているアカウント（会社契約・個人）を一覧にした
- 全員が「設定 → セキュリティ」で2段階認証かパスキーを設定した
- 確認の方法を2つ以上（例：認証アプリ＋パスキー）登録した
- 端末だけに保存したパスキーしかない社員には、もう1つ方法を足してもらった
- スマホを失くした・乗っ取りが疑わしいときの連絡先と、「すべてのデバイスからログアウト」の手順を共有した
- 退職・異動のときにワークスペースから外す担当者を決めた
会社で使うアカウントを決めることや、入力してよい情報の線引きは、ChatGPTに会社の情報を学習させない設定と生成AIからの情報漏えい対策もあわせて確認すると、社内ルールにまとめやすくなります。
つまずきポイント：スマホを替えたら入れなくなる
現場で起きやすいのが、認証アプリを入れたスマホを機種変更・紛失して、ChatGPTに入れなくなるケースです。公式ヘルプでは、登録したどの方法も使えないときはOpenAIのサポートに連絡し、数日かかることがある本人確認を経て、1回だけ使えるメールでの回復ログインが案内されるとされています。この回復は一度しか使えないため、回復した後は必ず別の確認の方法を登録し直す必要があります。より厳しい「Advanced Account Security」を有効にしている場合は、パスキーやセキュリティキーを失くしたときに回復キーを使う仕組みで、有効にするには、端末をまたいで使える方法を含めて安全なログイン方法を2つ以上登録する必要があります。機種変更の前に、新しい端末で入れるかを確かめる流れを社内で共有しておくと安心です。
ChatGPTだけでなく会社全体のアカウントを守るには
ChatGPTの2段階認証は、会社のアカウントを守る対策の一部です。メール・会計ソフト・クラウドストレージなど、社外から入れる仕組みに同じ考え方で多要素認証を広げていくと、乗っ取りの入口を減らしやすくなります。どこから手をつけるかの優先順位と費用の目安は中小企業のセキュリティ対策ガイド｜まずやる5つと費用で整理しています。
セキュリティ対策にお金をかける場合は、デジタル化・AI導入補助金の「セキュリティ対策推進枠」で、IPAが登録する「サイバーセキュリティお助け隊サービス」の利用料などが補助の対象になります。対象・上限・締切はセキュリティ対策の補助金｜セキュリティ対策推進枠の対象・上限・申請の流れにまとめています。制度は公募回・年度で変わるため、最新は事務局の公式サイトで確認してください。
※本記事は2026年10月29日時点のOpenAIの公式ヘルプにもとづきます。設定の項目名・場所・使える方法は、画面の更新やアカウントの状態によって変わることがあります。最新は公式ヘルプで確認してください。
よくある質問
Q. 2段階認証とパスキーは、どちらを設定すればよいですか？
A. まずは2段階認証（認証アプリかスマホへの通知）を全員に設定し、使える社員はパスキーも足す形が現実的です。パスキーは2段階認証の確認方法の1つとしても使えるので、両方を登録しておくと、片方の端末を失くしたときにも入りやすくなります。どの方法が使えるかは端末やアカウントの状態で変わるため、自分の設定画面に出ている選択肢から選んでください。
Q. ChatGPT Businessの管理者が、社員全員に2段階認証を強制できますか？
A. OpenAIの公式ヘルプでは、2026年10月29日時点で、ワークスペースやAPIの組織の単位で2段階認証を強制することはできないとされています。社員に設定してもらう段取りを決めるか、BusinessのSSOで会社のIDでのログインに寄せ、会社のIDの仕組み側で多要素認証を求める形が選択肢になります。仕様は変わることがあるため、最新は公式ヘルプで確認してください。
Q. 認証アプリを入れたスマホを失くしたら、どうなりますか？
A. 別の確認の方法を登録していれば、ログイン時にそちらを選べます。どの方法も使えない場合はOpenAIのサポートに連絡し、数日かかることがある本人確認を経て、1回だけ使えるメールでの回復ログインが案内されます。回復は一度しか使えないため、回復後は新しい確認の方法を登録します。失くしたスマホで開いていたChatGPTは、「すべてのデバイスからログアウト」で閉じておくと安心です。