OpenAIが発表した「ChatGPT Advanced Account Security」は、ChatGPTアカウントをより強く守るための任意設定です。パスワードやSMS・メール回復に頼らず、パスキーや物理セキュリティキーを中心にログインを固める一方で、回復キーの管理を失敗すると復旧が難しくなる点もあります。本記事では、機能の中身、通常の多要素認証との違い、設定前に確認すべき注意点を整理します。
ChatGPT Advanced Account Securityの結論：強力だが、誰にでも気軽に勧める設定ではない
ChatGPT Advanced Account Securityは、ChatGPTアカウントに対する乗っ取り、フィッシング、メール・SMS経由の不正復旧を減らすための高度な保護モードです。OpenAIは2026年4月30日、この機能を個人向けChatGPTアカウントの任意設定として発表しました。公式発表では、ChatGPTだけでなく、同じログインで利用するCodexにも保護が適用されると説明されています。
最大の特徴は、単に「ログイン時にもう1つ認証を足す」のではなく、弱くなりやすい経路をまとめて閉じる点です。有効化すると、パスワードログイン、メールやSMSによるサインインコード、メールによるアカウント回復が無効になります。その代わり、パスキー、FIDO互換の物理セキュリティキー、バックアップ用のパスキー、回復キーを使ってアクセスを守ります。
そのため、この機能は「安全性を上げたい人」には有力な選択肢ですが、「回復キーをどこに保存したか忘れやすい人」「複数端末やバックアップ手段をまだ整えていない人」には慎重な準備が必要です。特に、設定後はOpenAI Supportが通常のメール回復やパスワードリセットでアクセスを戻すことはできないと案内されています。
何が発表されたのか：2026年4月30日にOpenAIが高度な保護設定を追加
OpenAIは2026年4月30日、公式ブログ「Introducing Advanced Account Security」で、ChatGPTアカウント向けの新しいセキュリティ設定を発表しました。対象は、デジタル攻撃を受けるリスクが高い人、または自分のChatGPTアカウントに最も強い保護を加えたい人です。
公式ヘルプ「Advanced Account Security」によると、利用できるのは対象地域の適格な個人向けChatGPTアカウントです。一方、ChatGPT Enterpriseユーザー、企業管理アカウント、企業管理ドメインに紐づくアカウントでは利用できないとされています。ワークスペースに紐づくアカウントは、構成によって表示されるかどうかが変わります。
設定はChatGPTのWeb版から行います。ChatGPTのSettingsに入り、Securityを開き、Advanced Account Securityを選んでEnrollを進める流れです。登録には少なくとも2つの安全なサインイン方法が必要で、そのうち1つは端末をまたいで使える必要があります。たとえば、パスキーとハードウェアセキュリティキー、2つのパスキー、2つのFIDO互換セキュリティキーといった組み合わせが想定されています。
なぜ注目されているのか：AIアカウントが「重要な作業の入口」になっている
この機能が注目される背景には、ChatGPTアカウントの価値が以前より高くなっていることがあります。ChatGPTは、調べもの、文章作成、コード支援、業務文書の下書き、個人的な相談、データ分析などに使われます。履歴や接続ツール、作業文脈が蓄積されるほど、アカウントは単なるチャット履歴置き場ではなく、個人や組織の仕事の入口になります。
OpenAIも公式発表で、ChatGPTアカウントには個人的・職業的にセンシティブな文脈が含まれ、接続ツールやワークフローの中心になり得ると説明しています。ジャーナリスト、公職者、政治的反体制派、研究者、セキュリティ意識の高いユーザーでは、アカウント乗っ取りの影響がより大きくなります。
従来のパスワードやSMS認証は、広く使われている一方で、フィッシング、認証コードの転送、メールアカウント乗っ取り、SIMスワップなどに弱くなる場面があります。FIDO Allianceの「Passkeys」でも、パスキーはパスワードが盗まれない設計で、フィッシングやクレデンシャルスタッフィングのリスクを下げる方式として説明されています。
つまり、Advanced Account Securityは、ChatGPTが「便利なAIツール」から「業務・開発・調査の中核ツール」になっていく流れに合わせ、個人アカウントにもより強い認証設計を用意する動きと見られます。
何ができるようになるのか：弱い復旧経路を閉じて、アカウント乗っ取りの余地を減らす
Advanced Account Securityでできるようになることは、大きく5つあります。第一に、パスワードログインを無効にし、パスキーまたは物理セキュリティキーによるサインインを中心にできます。これにより、偽サイトにパスワードを入力してしまう、漏えい済みパスワードを使い回される、といった典型的な攻撃経路を減らせます。
第二に、メールやSMSによるアカウント回復を無効にできます。通常、攻撃者は本人のメールアカウントや電話番号を奪うことで、別サービスのアカウント回復を狙うことがあります。Advanced Account Securityでは、この回復経路を閉じ、バックアップパスキー、セキュリティキー、回復キーを使う設計に切り替えます。
第三に、ログインセッションが短くなります。端末や有効セッションが攻撃者に使われた場合でも、露出する時間を短くするためです。また、ログイン通知が有効になり、複数デバイスのアクティブセッションを確認・管理しやすくなります。
第四に、Advanced Account Securityが有効な間は、会話がOpenAIモデルのトレーニングに使われない設定になります。これはセキュリティ機能そのものではありませんが、特に機密性の高い作業をする人にとっては、アカウント保護とプライバシー設定を同時に強められる点が重要です。
第五に、同じログインで使うCodexも保護対象になります。開発者がCodexを使ってコードベース、脆弱性対応、業務プロジェクトに関わる作業を行う場合、ChatGPT側のアカウント保護が開発支援環境の保護にもつながります。これは、AIアカウントが単体のチャットサービスではなく、開発や業務の入口になっている人ほど重要です。
従来の設定と比べてどこが進歩なのか
従来のセキュリティ対策では、パスワードに2段階認証を足す形が一般的でした。もちろん、それだけでも何もしないより安全ですが、SMSコードやメール回復が残っていると、攻撃者は別の経路からアカウント復旧を狙えます。Advanced Account Securityの進歩は、ログイン時の認証だけでなく、復旧経路、セッション、通知、トレーニング利用設定までをまとめて高度化する点です。
特に重要なのは、OpenAI Supportによる通常の復旧支援が制限されることです。一見すると不便ですが、攻撃者がサポート窓口をだましてアカウント回復を試みるソーシャルエンジニアリングを防ぎやすくなります。強固なセキュリティでは、利便性の高い復旧手段そのものが攻撃対象になるため、ここを閉じる設計は合理的です。
ただし、これは「OpenAIがすべて守ってくれる」設定ではありません。むしろ、本人が回復キーとバックアップ手段をきちんと管理する前提の設定です。高度な保護は、アカウントの所有者にも高度な運用を求めます。
既存競合との比較
Advanced Account Securityを理解するには、通常のChatGPTアカウント設定、GoogleのAdvanced Protection Program、企業向けSSO・IdP管理と比較すると分かりやすくなります。どれもアカウント保護を強める仕組みですが、対象ユーザー、復旧設計、導入負担が異なります。
| 比較対象 | 主な用途 | 強み | 注意点 | 向いているケース |
|---|---|---|---|---|
| ChatGPT Advanced Account Security | 個人向けChatGPTアカウントの高度保護 | パスワード、SMS・メール回復を無効化し、パスキーや物理キーを前提にできる。Codexにも保護が及ぶ | 回復キーを失うと復旧が難しい。Enterprise管理アカウントでは利用できない | ChatGPTやCodexに機密性の高い作業文脈がある個人ユーザー、開発者、研究者 |
| 通常のChatGPTセキュリティ設定 | 一般的なログインとアカウント保護 | 使いやすく、復旧しやすい。日常利用では負担が小さい | パスワードやメール回復など、攻撃対象になりやすい経路が残る場合がある | 機密性の高い情報を扱わず、復旧しやすさを重視するユーザー |
| Google Advanced Protection Program | Googleアカウントの高リスクユーザー向け保護 | パスキーやセキュリティキーを使い、フィッシングや不正アクセス対策を強められる。GmailやGoogleアカウント全体に効く | Googleアカウント中心の保護であり、ChatGPTやCodexの個別仕様とは異なる | Gmail、Google Drive、Googleアカウントを業務・政治活動・報道で重く使う人 |
| 企業SSO・IdP管理 | 企業や学校の組織的な認証管理 | 管理者がポリシー、ログ、退職者対応、端末管理、監査を統制しやすい | 個人アカウントの任意設定ではなく、組織設計と管理者運用が必要 | 複数ユーザーのAI利用を管理する企業、学校、セキュリティ部門 |
価格面では、Advanced Account Security自体はChatGPTアカウントの設定として提供されます。ただし、物理セキュリティキーを使う場合は別途購入が必要です。OpenAIはYubicoと提携し、米国、英国、EUの対象ユーザーには登録時にYubiKey注文の案内が表示される場合があると説明しています。ただし、YubiKeyは必須ではなく、FIDO互換のセキュリティキーやソフトウェアベースのパスキーも利用できます。
性能という観点では、ここでの「性能」はAIモデルの回答精度ではなく、認証の耐性を意味します。パスキーやFIDO互換セキュリティキーは、公開鍵暗号とドメインに紐づく仕組みにより、偽サイトで再利用できるパスワードやワンタイムコードを渡しにくい点が強みです。一方で、すべての端末・ブラウザ・職場環境でスムーズに使えるとは限らないため、導入前の確認が欠かせません。
導入しやすさでは、通常のChatGPT設定が最も負担が小さく、Advanced Account Securityは中程度、企業SSOは組織運用を含むため最も重くなります。安全性では、Advanced Account Securityや企業SSOのように、弱い復旧経路を閉じる設計が有利です。ただし、復旧のしやすさは下がるため、万人向けに単純な優劣を決めるのではなく、扱う情報の重要度と運用能力で選ぶべきです。
懸念点・注意点：回復キーを失うリスクを軽く見ない
最も重要な注意点は、回復キーの保管です。OpenAIのヘルプでは、回復キーはサインイン方法を失ったときにアカウントアクセスを取り戻すために必要であり、すべてのサインイン方法と回復キーを失うとアカウントにアクセスできなくなる可能性があると説明されています。
回復キーは安全な場所に保管する必要があります。パスワードマネージャー、暗号化されたストレージ、紙に印刷して耐火金庫など、複数の現実的な保管方法を組み合わせるのが望ましいです。ただし、同じ端末内だけに置くと、その端末を失ったときに回復手段も失います。逆に、誰でも見られる場所に置けば、回復キー自体が攻撃対象になります。
次に、端末依存の問題があります。パスキーは便利ですが、スマートフォン、PC、ブラウザ、OS、パスワードマネージャーの対応状況に左右されます。OpenAIのヘルプでも、1つの端末にだけ保存されたパスキーは、端末をまたぐ要件を満たさない場合があると説明されています。スマートフォンを紛失したとき、買い替えたとき、会社端末からアクセスするときにどうするかを先に考えておく必要があります。
また、セッションが短くなるため、ログインの頻度は増えます。これは安全性のための仕様ですが、頻繁に端末を切り替える人、出張先や共有端末で作業する人、緊急時にすぐChatGPTへアクセスしたい人には不便に感じる可能性があります。
企業利用にも注意が必要です。個人アカウントでAdvanced Account Securityを有効にしても、組織全体の監査、権限管理、退職者管理、データ持ち出し対策が自動的に整うわけではありません。企業や学校でAI利用を管理するなら、EnterpriseやBusinessの管理機能、SSO、IdP、端末管理、ログ監査といった別の統制も検討すべきです。
導入メリットを得やすい人・組織
Advanced Account Securityの導入メリットを得やすいのは、ChatGPTアカウントの中に「失うと困る文脈」が多い人です。たとえば、報道や研究の下調べ、機密性のある業務文書の整理、コードレビュー、脆弱性対応、顧客対応の下書き、戦略メモの作成などにChatGPTやCodexを使っている場合、アカウント乗っ取りの影響は大きくなります。
特に向いているのは、標的型攻撃を受けやすい立場の人です。ジャーナリスト、研究者、公職者、政治・社会活動に関わる人、セキュリティ研究者、開発者、重要な業務アカウントとChatGPTを連携している人は、パスワードやメール回復に依存しない設計の価値が大きくなります。
Codexを使う開発者にも相性があります。コードベース、設計メモ、脆弱性修正、社内ツールの実装相談などを扱う場合、AIアカウントの乗っ取りは情報漏えいだけでなく、開発フローへの侵入リスクにもつながります。Advanced Account SecurityはCodexにも適用されるため、開発支援AIを本格的に使う人ほど検討価値があります。
一方、現時点で向いていない人もいます。複数の安全なサインイン方法を用意できない人、回復キーの保管方法を決めていない人、端末を頻繁に紛失・買い替えする人、家族やチームで同じ個人アカウントを共有している人は、設定前に運用を見直すべきです。安全性を上げるつもりが、本人がログインできなくなるリスクを増やす可能性があります。
組織としては、個人アカウントの高度保護を推奨するよりも、まず利用ルールを整理する必要があります。個人のChatGPTアカウントに業務情報を入れている状態でAdvanced Account Securityだけを有効化しても、組織全体のガバナンスにはなりません。業務利用では、誰がどのアカウントで何を扱うのか、退職時にどうするのか、共有してよい情報の範囲は何かを先に定めるべきです。
実務導入を判断する際のポイント
まず確認したい前提条件は、ChatGPTアカウントにどれほど重要な情報や作業文脈があるかです。単なる雑談や一般的な調べものだけなら、通常のセキュリティ設定でも十分な場合があります。一方、機密性の高いプロジェクト、コード、研究テーマ、取引先情報、公開前の企画などを扱うなら、より強い保護を検討する価値があります。
次に、2つ以上の安全なサインイン方法を準備できるかを確認します。理想は、普段使う端末のパスキーに加え、バックアップとして物理セキュリティキーや別の信頼できるパスキーを用意することです。1つのスマートフォンだけに依存すると、紛失時に詰みやすくなります。
回復キーの保管設計も導入判断の中心です。導入前に、「どこに保存するか」「誰がアクセスできるか」「紛失や漏えい時にどう置き換えるか」を決めておくべきです。OpenAIのヘルプでは、回復キーは1回限りで使われ、回復キーを使った場合は48時間後にアカウントが解除されると説明されています。つまり、即時復旧ではなく、安全のための待機時間がある点も理解しておく必要があります。
既存システムとの接続性も見ておきたい点です。ChatGPTをブラウザだけで使う人と、Codexや複数端末で使う人では、ログイン体験が異なります。社用端末、個人スマートフォン、パスワードマネージャー、ブラウザの対応状況を確認し、日常の導線で無理なくログインできるかを試してから本格導入すると安全です。
運用時の人的負担も見逃せません。セッションが短くなると、ログイン回数が増えます。ログイン通知の確認、アクティブセッションの整理、セキュリティキーの持ち運び、回復キーの保管と更新など、小さな運用作業が発生します。高リスクユーザーには妥当な負担ですが、一般ユーザーには重く感じる場合があります。
試験導入するなら、まず重要度の高い個人アカウント1つで、日常の利用端末すべてから問題なくサインインできるかを確認します。そのうえで、スマートフォンを使えない場合、物理キーを忘れた場合、ブラウザを変えた場合、旅行先でログインする場合を想定して復旧手順を紙に書き出すとよいでしょう。
導入を急がなくてよいケースもあります。アカウントに機密情報がほとんどなく、端末や回復キー管理に自信がなく、ログイン頻度の増加が大きな負担になる場合です。その場合は、まず既存のパスワードを強固にし、パスワードマネージャーを使い、通常の多要素認証やパスキーの設定状況を整えるところから始めるのが現実的です。
よくある質問
ChatGPT Advanced Account Securityは無料で使えますか？
Advanced Account Security自体は、対象となる個人向けChatGPTアカウントのセキュリティ設定として提供されます。ただし、物理セキュリティキーを使う場合は別途購入が必要です。OpenAIはYubicoとの提携により、米国、英国、EUの対象ユーザーにYubiKey注文の案内が表示される場合があると説明していますが、YubiKey以外のFIDO互換キーやソフトウェアベースのパスキーも利用できます。
設定するとパスワードではログインできなくなりますか？
はい。OpenAIのヘルプでは、Advanced Account Securityを有効にするとパスワードログインは無効になると説明されています。ログインには、登録済みのパスキーまたは物理セキュリティキーを使います。これはフィッシング耐性を高めるための設計ですが、普段使う端末とバックアップ手段を準備していないと、本人もログインしにくくなる可能性があります。
回復キーをなくしたらどうなりますか？
登録済みのパスキーやセキュリティキーが残っていれば、アカウントに入って回復キーを置き換えられる可能性があります。しかし、すべてのサインイン方法と回復キーを失った場合、アカウントにアクセスできなくなる可能性があります。OpenAI Supportは通常のメール回復、パスワードリセット、サインイン方法の追加・削除による復旧を行えないと案内されているため、保管は最重要です。
通常の2段階認証やMFAと何が違いますか？
通常のMFAは、パスワードに加えて認証コードや追加確認を求める方式が一般的です。一方、Advanced Account Securityはパスワード自体を使わず、メールやSMSによるサインインコードと回復も無効にします。単に認証要素を足すのではなく、攻撃されやすいログイン経路と復旧経路をまとめて閉じる点が大きな違いです。
ChatGPT Enterpriseや会社のアカウントでも使えますか？
OpenAIのヘルプでは、ChatGPT Enterpriseユーザー、企業管理アカウント、企業管理ドメインに紐づくアカウントではAdvanced Account Securityを利用できないとされています。ワークスペースに紐づくアカウントは構成によって異なります。企業利用では、個人向け設定よりも、SSO、IdP、管理者ポリシー、監査ログなどを組み合わせた組織的な保護を検討すべきです。
Codexだけを守りたい場合にも意味がありますか？
意味があります。OpenAIの公式発表では、Advanced Account Securityに登録すると、同じログインでアクセスするCodexも保護されると説明されています。Codexでコード、設計、脆弱性対応、社内ツールの実装相談などを扱う開発者にとって、ChatGPTアカウントの保護は開発支援環境の保護にもつながります。ただし、リポジトリ権限や社内SSOの管理とは別に考える必要があります。
有効化したあとで解除できますか？
OpenAIのヘルプでは、Advanced Account Securityは後から無効化できると説明されています。解除時には安全なサインインフローを求められる場合があります。無効化すると、標準のサインインと回復設定に戻り、パスワードログイン、メールやSMSのサインインコード、メール回復が再び有効になります。回復キーは削除されますが、登録済みのパスキーやセキュリティキーはアカウント上に残ります。
まとめ：安全性と復旧責任をセットで考える機能
ChatGPT Advanced Account Securityは、ChatGPTとCodexを高リスクなアカウント乗っ取りから守るための強力な選択肢です。パスワード、SMS、メール回復に依存しない設計により、フィッシングやメールアカウント乗っ取りを起点にした攻撃を受けにくくできます。
一方で、これは「設定すれば後は安心」という機能ではありません。回復キー、バックアップパスキー、物理セキュリティキーを自分で管理する必要があり、すべてを失えばアカウント復旧が難しくなります。安全性の向上と復旧責任の増加は、表裏一体です。
導入を検討すべきなのは、ChatGPTやCodexに機密性の高い作業文脈があり、アカウント乗っ取りの影響が大きい人です。反対に、バックアップ手段を整えられない人は、まずパスワード管理、通常の多要素認証、端末管理を見直すところから始めるべきです。Advanced Account Securityは、AIアカウントが仕事や開発の中核に近づくほど重要になる、上級者向けの保護モードだと考えると分かりやすいでしょう。
コメント