［AIツール利用者向け］ChatGPTアカウントを標的型攻撃から守る「Advanced Account Security」の全機能

2026-05-01

はじめに

　OpenAIが2026年4月30日、ChatGPTアカウントを不正アクセスから保護するオプトイン式の新機能「Advanced Account Security（高度なアカウントセキュリティ）」を発表しました。本稿では、この機能が提供する4つの保護措置の内容と、Yubicoとの提携による物理セキュリティキーの普及施策について解説します。

参考記事

タイトル: Introducing Advanced Account Security
著者: OpenAI
発行元: OpenAI
発行日: 2026年4月30日
URL: https://openai.com/index/advanced-account-security/

要点

Advanced Account Securityはオプトイン式の設定で、パスキーまたは物理セキュリティキーを必須とし、パスワードによるログインを無効化するフィッシング耐性認証を実現する
メール・SMSを経由したアカウント回復機能が無効化され、バックアップパスキーや回復キーなど強固な手段のみが使用可能となる。この設定を有効にした場合、OpenAIサポートによる回復支援は受けられない
ログイン時のアラート通知、セッション有効期間の短縮、複数デバイスにわたるアクティブセッションの管理機能が提供される
本機能を有効にすると、会話データがOpenAIのモデル学習に使用されない設定が自動的に適用される
セキュリティキーメーカーYubicoとの提携により、YubiKey C NanoとYubiKey C NFCのバンドルを優待価格で入手できる

詳細解説

機能の概要と対象ユーザー

　OpenAIによれば、ChatGPTアカウントには個人・業務上のセンシティブな文脈が蓄積され、さまざまなツールやワークフローと連携する起点になりつつあります。なかでもジャーナリスト、選出議員、政治的反体制派、研究者など、デジタル攻撃のリスクがとりわけ高いユーザーが今回の主な対象として挙げられています。

　Advanced Account SecurityはChatGPTのWebアカウントの「セキュリティ」セクションからオプトインで有効化でき、有効化すると同一ログインでアクセスするCodexアカウントにも保護が適用されます。この取り組みは、OpenAIが公開しているサイバーセキュリティ行動計画の一環として位置づけられています。

4つの保護機能

　Advanced Account Securityは、主に4つの保護機能で構成されています。

　強化されたサインイン方法として、パスキーまたは物理セキュリティキーによる認証が必須となり、パスワードによるログインは無効化されます。フィッシング攻撃とは、偽サイトなどでパスワードを詐取する手口ですが、パスキーや物理セキュリティキーはサイト固有の認証情報を用いるため、原理的にこの攻撃が通用しない設計になっています。

　強化されたアカウント回復手順では、従来のメール・SMS経由の回復機能が無効化され、バックアップパスキー・セキュリティキー・回復キーによる手段のみが使用可能になります。OpenAIの発表では、この設定を有効にした場合、 OpenAIサポートによるアカウント回復支援を受けることができない 点が明記されており、ユーザー自身が回復手段を事前に確保しておくことが不可欠です。

　セッションの短縮とセッション管理により、サインインセッションの有効期間が短縮され、デバイスや既存セッションが侵害された場合のリスクウィンドウが縮小されます。新たなログインがあった際にはアラートが届き、サインイン中の複数デバイスをまとめて確認・管理することもできます。

　モデル学習除外の自動適用として、センシティブな情報を扱うユーザーが会話データの学習除外を望む場合、通常は個別設定が必要ですが、Advanced Account Security有効時にはこの設定が自動的に有効になります。

Yubicoとの提携によるセキュリティキーの普及

　物理セキュリティキー（YubiKeyなど）はフィッシングに対する有力な防御策とされていますが、入手のしやすさが一般ユーザーへの普及を妨げる側面もあります。OpenAIはセキュリティキーメーカーのYubicoと提携し、 YubiKey C Nano（ノートPCに常時装着して日常認証に使うモデル）と YubiKey C NFC（バックアップ用・スマートフォン対応モデル）のカスタムバンドルを優待価格で提供します。

　このバンドルはAdvanced Account Securityに登録していない一般ユーザーも購入でき、WebのセキュリティSettings画面から入手可能です。FIDO規格に準拠した他社製セキュリティキーや、ソフトウェアベースのパスキーも引き続き使用できます。

Trusted Access for Cyberへの必須化

　OpenAIが運営するサイバーセキュリティ専門家向けプログラムについては、2026年2月にその概要が発表されました。今回の発表では、このプログラムの個人メンバーに対して、2026年6月1日以降はAdvanced Account Securityの有効化が必須となることが明らかになりました。組織単位でのアクセスを持つ参加者については、シングルサインオンのワークフローにフィッシング耐性認証を組み込むことで代替が認められます。

今後の展開

　OpenAIはプレスリリースの中で、Advanced Account Securityの対象を今後エンタープライズ環境にも拡大していく考えを示しています。AIが業務インフラの中心に位置づけられる流れが加速するなか、アカウントセキュリティの強化は企業利用においても重要な検討事項になると考えられます。

まとめ

　OpenAIが2026年4月30日に提供を開始したAdvanced Account Securityは、フィッシング耐性認証の強制、セッション管理の厳格化、モデル学習除外の自動適用など、高リスクユーザーを想定した包括的なセキュリティ機能です。アカウント回復手段が完全にユーザー側に委ねられる点は、有効化前に十分確認しておく必要があると思います。OpenAIのセキュリティ施策の流れについては、過去記事でも取り上げていますので、あわせてご覧いただければと思います。