パスワードマネージャーの自動入力は安全か? ほとんどのユーザーが気づいていないフィッシング防御
自動入力はパスワードマネージャー最強のアンチフィッシング機能です。マネージャーは間違ったドメインでは自動入力を拒否します。これが安全に使う方法と、その保護を破るパターンです。
自動入力がアンチフィッシングである理由
現代のパスワードマネージャーは、認証情報をオリジン（ドメイン + スキーム + ポート）に紐づけて保存します。自動入力の際、マネージャーは現在のオリジンが保存されたオリジンと正確に一致するかを確認します。よく似たドメイン（g00gle-login.com）のフィッシングサイトは accounts.google.com と一致しないため、マネージャーは自動入力しません。何かがおかしいというユーザーへの最初のシグナルは、自動入力されるはずの認証情報が現れないことです。これはURLの目視確認よりも強力なアンチフィッシングのシグナルです。人間は微妙な文字の置き換えやホモグラフ攻撃を見落としますが、マネージャーは見落とさないからです。
ユーザーがどのように保護を破るか
保護は、ユーザーがマネージャーの挙動を信頼している場合にのみ機能します。2つのパターンがそれを破ります。(1) 手動のコピー&ペースト: 自動入力が機能しないと、ユーザーはマネージャーのボルトUIからパスワードをコピーし、フィッシングフォームに貼り付けます。オリジンの確認は回避されます。(2) 手動の上書き: ほとんどのマネージャーは、ドメインを変更するユーザー向けに「別のサイトの認証情報を使用」UIを提供します（ベンダーがサイト名を変更する等）。既知のサイトに似たフィッシングページは、ユーザーにこのマネージャーの上書きフローを使わせるよう誘導できます。解決策は、マネージャーの自動入力拒否を停止シグナルとして受け止め、手動の上書きの前にURLを確認することです。
監査済みマネージャー全体のアーキテクチャ上の防御
本サイトのピラー表で比較している5つのマネージャー — Bitwarden、1Password、Proton Pass、NordPass、KeePassXC — はいずれもオリジン束縛の自動入力を実装しています。Bitwardenと1Passwordは自動入力に明示的なユーザー操作を要求します（フィールドをクリックしてから自動入力）。ページ読み込み時には自動入力しません。これは、悪意あるページが価値の高いオリジン向けの隠しログインフォームを埋め込む不可視iframeインジェクション攻撃から保護します。一部の競合製品の古いバージョンはページ読み込み時に自動入力しており、それは攻撃可能でした。そのパターンは監査済みマネージャーでは今や稀です。
現実世界のフィッシング耐性を高める実践
(1) コピー&ペーストではなく、ブラウザ拡張機能の自動入力を使う。(2) 拡張機能が認証情報を提示しない場合、何か他のことをする前にURLを確認するシグナルとして扱う。(3) 対応するすべてのアカウントで2FAを有効にする — パスワードが漏れても、第2要素がログインを阻止する。(4) 対応するすべてのサイトでパスキー（FIDO2 / WebAuthn）に移行する。パスキーはプロトコル層でオリジンに束縛されており、ユーザーの手動ミスがあってもフィッシングできない。Bitwarden、1Password、Proton Passは2026年にいずれもパスキーを保存・自動入力します。
出典
Bitwardenの自動入力: bitwarden.com/help/auto-fill-browser。1Passwordの自動入力: 1password.com/features。Proton Passの自動入力: proton.me/pass。WebAuthn / パスキーの仕様: w3.org/TR/webauthn-3。すべてのURLは2026-04-30にアクセス。