OpenAIがアカウントセキュリティを大幅強化。毎日使うAIツールの安全を見直した

Xのタイムラインを眺めていたら、OpenAIがアカウントセキュリティの新機能を発表していた。タイトルは「Advanced Account Security」。正直、最初はスルーしかけたんだけど、毎日ChatGPTを仕事で使っている身としては他人事じゃないなと思って読んでみた。

フィッシング耐性ログインって何が変わるの？

発表の核心は3つ。フィッシングに強いログイン方式の導入、より堅牢なアカウント回復フロー、そして機密データを守るための保護強化だ。特に「フィッシング耐性のあるログイン」というワードが気になった。パスキーや物理セキュリティキーに対応することで、パスワードを盗み取るタイプの攻撃をそもそも無効化しようという考え方らしい。

海外のセキュリティ界隈では数年前からこの流れがあって、GoogleやAppleがパスキーを推し進めてきた。OpenAIがここに追いついてきたということは、ChatGPTが単なる「試せるAI」じゃなくて「ビジネスで普通に使うインフラ」になってきたってことだと思う。

自分の場合、ChatGPT PlusとAPI両方を契約していて、案件のリサーチや台本作成、フォロワーへの返信テンプレ作りにがっつり使っている。もしアカウントを乗っ取られたら業務が完全に止まるし、APIキーが悪用されたら金銭的な被害も出る。そう考えると、この発表は笑い飛ばせない話だ。

アカウント回復の仕組みが変わるのが地味に大事

もう一つ注目したのが「より強固なアカウント回復フロー」という部分だ。今まで「パスワードを忘れたらメールで復旧」という流れが一般的だったけど、そのメールアカウント自体が乗っ取られていたら意味がない。そこを多段階で確認する仕組みに変えていくということらしい。

これ、フォロワーさんからも「二段階認証を設定していたのにアカウントを乗っ取られた」という話を聞いたことがある。SIMスワッピングとかSMSを傍受する攻撃で突破されるパターンだ。SMS認証は二段階認証の中では一番弱いとずっと言われているのに、いまだに多くのサービスがデフォルトにしているのは正直どうかと思う。

OpenAIの今回の強化がどこまで踏み込んでいるか細かい仕様はまだ不明な部分もあるけど、方向性としては正しい。日本のサービスはこういうセキュリティアップデートが海外比で1〜2年遅れることが多いから、海外発のこういう動きを早めにキャッチしておく価値はある。

自分が今すぐやること

この記事を読んで正直ちょっと焦った。自分のOpenAIアカウントのセキュリティ設定、ちゃんと見直していなかった。今日確認してみたら、二段階認証はオンにしていたものの、SMS方式のままだった。

まずやること、3つある。

• ChatGPTのセキュリティ設定を開いて認証アプリ方式（Google AuthenticatorやAuthyなど）に切り替える
• APIキーのアクセス制限を見直して、不要なキーを削除する
• パスキー対応が正式リリースされたら即座に移行する

セキュリティって「破られてから気づく」では遅い。毎日複数のAIツールに個人情報や仕事のデータを預けている以上、アカウント管理は地味だけど外せないルーティンだと改めて思った。

あなたはChatGPTやほかのAIサービスのログイン設定、最後にいつ確認した？