セキュリティを整える。

サイバー攻撃・脅威の早見表を整える

＝ 主要なサイバー攻撃の手口と対策を、検索しながら引ける

主要なサイバー攻撃13種を攻撃名・概要・対策で横断検索できる防御リファレンス。心理/技術/認証/インフラ/AIで色分けし、狙われる弱点と今日からできる対策を提示。該当ツールへ内部リンク。送信ゼロ。

• ● 攻撃名・概要・狙われる弱点・対策を横断インクリメンタル検索
• ● 心理/技術/認証/インフラ/AIの分類タグでフィルタ＆色分け
• ● 脅威13種それぞれに弱点と「今日からできる対策」

パスワード強度・解読時間を整える

＝ パスワードの強さと、破られるまでの時間を見る

パスワードのエントロピー(bit)と総当たり解読時間をブラウザ内で即推定。よくある語・連番・繰り返し・西暦・キーボード列を減点し、強度ラベルと改善ヒントを表示。送信ゼロの防御ツール。

• ● エントロピー(bit)を文字種×長さでライブ計算
• ● よくあるパスワード・連番・繰り返し・西暦・キーボード列を検出して減点
• ● 5シナリオ(オンライン/bcrypt/GPU/大規模)の解読時間を可読表示

パスワード自動生成を整える

＝ ランダムで強いパスワードを無料でその場で自動生成

パスワード自動生成ツール（無料・登録不要）。crypto.getRandomValuesによる暗号乱数と棄却サンプリングで偏りのない強力なランダムパスワードを生成し、長さ4〜128・大文字/小文字/数字/記号の選択・紛らわしい文字(oO0lI1)の除外に対応。約400語の辞書から作る覚えやすいパスフレーズモードも。生成文字列のエントロピー(bit)と解読時間の目安を表示。すべてブラウザ内処理で、生成したパスワードの送信・保存は一切なし（送信ゼロ）。パスワードジェネレーター／ランダムパスワード作成に。

• ● ボタンひとつで強力なパスワードを無料で自動生成（登録不要）
• ● crypto.getRandomValuesで偏りのない安全な生成（Math.randomは不使用）
• ● 長さ4〜128・大小英字/数字/記号の文字種選択

フィッシングURLを見抜くを整える

＝ 怪しいリンクのどこが危ないかを教えてくれる

URLを貼ると@トリックや似せ文字、サブドメイン偽装など構造的な危険サインを強調し、本体ドメインの見分け方を教える防御ツール。解析は端末内のみ・送信ゼロ。

• ● @トリック検出（本物は@の後ろ）
• ● ホモグラフ/punycodeをデコードして警告
• ● 登録可能ドメイン抽出でサブドメイン偽装を可視化

セッションハイジャック / SIMスワップを整える

＝ 二段階認証を設定していても突破される仕組みを図解で理解する

セッションハイジャックとSIMスワップの仕組みをアニメ図解で理解する防御教育ツール。二段階認証を設定していても突破される理由（認証を突破せず迂回する構造）と、EDR・再認証・TOTP/パスキーへの移行という対策を安全に学べる。送信ゼロ。

• ● セッションハイジャック 3モード図解（本来のログイン／乗っ取られる流れ／防ぐ流れ）
• ● SIMスワップ 2モード図解（乗っ取られる流れ／防ぐ流れ）
• ● 「認証を突破」ではなく「認証を迂回」という共通構造の解説

詐欺見抜きクイズを整える

＝ BEC・ディープフェイク・偽エラーを「本物？詐欺？」で見抜く練習

BEC・ディープフェイク・ClickFix等を題材に、メールや画面を本物/詐欺で判定する練習ができるセキュリティ教育クイズ。本物の業務連絡も出題し、判断軸（何を要求されているか）を養う。全7問・送信ゼロ。

• ● 全7問（BEC/ディープフェイク/ClickFix/フィッシング/SIMスワップ＋本物2問）
• ● 1問ごとに「判断の決め手」を1点に絞って解説
• ● 本物の業務連絡も出題＝疑いすぎ防止

ClickFix（偽エラー詐欺）のしくみを整える

＝ 「修正手順」と称してコマンドを自分で実行させる詐欺の見抜き方

ClickFix（偽エラー詐欺）の手口を図解で理解する防御教育ツール。偽CAPTCHAがWin+Rへのコピペ実行を踏ませ感染させる流れと、見抜く判断ルール・危険サインを安全に学べる。送信ゼロ。

• ● StepDiagram 2モード（だまされる流れ／見抜いて防ぐ流れ）
• ● 危険サイン6項目チェックリスト
• ● 絶対やってはいけない例の図解（実コマンドなし）

パスキーの仕組みを整える

＝ 指紋や顔でログインする「パスキー」を、図で理解して実際に試せる

パスキー（WebAuthn）の仕組みを図解し、生体認証で実際にパスキーを作成・ログイン体験できるツール。秘密鍵が端末から出ない・フィッシングに強い理由を、自分の操作で確認できる。送信ゼロ・登録不要。

• ● 登録・ログインの鍵ペアの流れを色分け図解
• ● Touch ID / 顔認証 / Windows Hello で本物のパスキーを作成
• ● 作ったパスキーで実際にログイン（署名を表示）

2段階認証（TOTP）を整える

＝ スマホの認証アプリが出す6桁の数字の正体

2段階認証の方式（SMS/認証アプリTOTP/パスキー）を比較し、Base32秘密鍵から30秒ごとの6桁TOTPをブラウザ内で生成。秘密鍵はサーバに送らずWeb Cryptoで計算。RFC6238準拠。

• ● Base32 秘密鍵 / otpauth:// URI から TOTP を生成
• ● アプリと同じ30秒ごとの6桁を実時間で更新＋カウントダウン
• ● ワンクリックでコードをコピー

ハッシュを整える

＝ 文章やファイルの「指紋」（ハッシュ値）を作って改ざん・破損を確かめる

テキストやファイルの SHA-256/SHA-1/SHA-384/SHA-512/MD5 をブラウザ内で計算する送信ゼロのツール。ファイルの SHA-256 照合で改ざん検知もできる。

• ● テキストの SHA-256/SHA-1/SHA-384/SHA-512/MD5 をリアルタイム計算
• ● ファイルのドラッグ&ドロップ → SHA-256・MD5（改ざん・破損チェック）
• ● 公式 SHA-256 を貼って一致/不一致を即判定

ソルト＆レインボーテーブルを整える

＝ ハッシュだけでは破られる。ソルトで守るしくみを体験

パスワードのSHA-256をレインボーテーブルで逆引きする様子を再現し、ソルトで無効化できることを端末内（送信ゼロ）で対比体験できる防御・教育ツール。

• ● パスワードのSHA-256を端末内で計算（同じ入力＝必ず同じ値）
• ● 内蔵の事前計算テーブルで逆引き（クラック成功）を再現
• ● ソルトを足すとハッシュが変わり同じ表が効かなくなる対比

XSSのしくみを整える

＝ 入力をそのまま画面に出すと、なぜ危ないのかを安全に体感

XSS（クロスサイトスクリプティング）を安全に体感する防御教育ツール。入力をそのままHTMLに入れた場合とエスケープした場合を2パネルで対比。scriptはsandboxで無効化され実行されません。送信ゼロ。

• ● 危険な実装と安全な実装を2パネルで横並び対比
• ● 入力はsandbox付きiframeに隔離（allow-scripts無し）でscriptは絶対に実行されない
• ● エスケープ後の安全なHTMLをその場で確認・コピー

SQLインジェクションのしくみを整える

＝ 入力欄の細工でデータが抜ける“あの脆弱性”を、手元の練習DBで安全に体験

SQLインジェクションのしくみを手元のsql.jsサンドボックスDBで安全に再現する防御教育ツール。文字列連結の脆弱な実装とプレースホルダの安全な実装を同じ入力で並べて比較。送信ゼロ・実在DB非接触。

• ● 手元のsql.jsサンドボックスDB（ダミー3件）で完結・送信ゼロ
• ● 脆弱版（文字列連結）の実行された生SQLをそのまま表示
• ● 安全版（プレースホルダ ? バインド）と同一入力で同時対比

プロンプトインジェクションのしくみを整える

＝ 生成AIが「データに紛れた指示」に乗っ取られるしくみを安全に体感

プロンプトインジェクションを外部AIなしのローカル簡易模擬で安全に体感する防御教育ツール。指示とデータを区別しないと注入文に従う様子を再現し、防御ONで拒否に切替。送信ゼロ。

• ● システム指示＋ユーザーデータ＋防御スイッチで「乗っ取り/拒否」を対比体験
• ● 本物のLLMは呼ばずローカルの文字列ルールで模擬（送信ゼロ・外部AI非接触）
• ● 「以上の指示を無視」「ignore previous」等の注入を検出

メール認証（SPF/DKIM/DMARC）を整える

＝ なりすましメールがどの検査で弾かれるかを受信サーバー視点で体験

メール認証3方式の教育シミュレーター。SPF（送信サーバーのIP許可）・DKIM（電子署名の検証）・DMARC（ヘッダFromとのアライメント照合＋ポリシー適用）の判定を、正規メール・単純ななりすまし・攻撃者自身のSPF・DMARC未設定・転送の5シナリオで体験。SPFレコード（a/mx/include/~all）とDMARCレコード（p/rua/adkim/aspf/pct）の構文辞書、none→quarantine→rejectの段階導入も解説。すべてブラウザ内で完結し送信ゼロ。

• ● なりすまし判定シミュレーター（5つの攻撃・配送シナリオ）
• ● SPF→DKIM→DMARCの判定が順に点灯し受信箱/迷惑/拒否へ振り分け
• ● アライメント（名乗りとの一致）の可視化——SPF pass でも弾かれる理由

QRコードの中身を整える

＝ QRコードを開く前に、中身と行き先を確かめる

QRコードの画像（ファイル・貼り付け）をブラウザ内で読み取り、中身を種類別に表示。URLはフィッシングURL判定と同じ仕組みで本体ドメイン・短縮URL・IP直書き等を確認。問題が見つからなくても安全とは限らないと明示。リンクは自動で開かず、画像は送信しない。

• ● 画像の選択・貼り付け・ドラッグで読み取り（カメラは使えません）
• ● URLは本体ドメイン・短縮URL・IP直書き・似せ文字を確認（フィッシングURL判定と共通）
• ● Wi-Fi・連絡先・メール・電話・SMS・位置情報を読み分け

ログイン画面の守りを整える

＝ ID が見えても入られない守り方

WordPress などで会社サイトを運営する担当者向けに、ログイン ID が外から分かるしくみと守り方を整理するツールです。架空のサイト（example.jp）で、/?author=1 の転送先と /wp-json/wp/v2/users の応答から ID が見えるところ、パスワードを試される流れを1手ずつ追い、回数制限（5回失敗で15分ロック）・2段階認証・ID 漏れ塞ぎのどこで止まるかを切り替えて確認できます。回数制限で総当たりの所要時間がどれだけ延びるかも計算します。自分のドメインを入れると確認用のリンクを作ります（サイトへは通信しません）。状況に答えると、ID 漏れを塞ぐ設定例（functions.php・.htaccess）、サイトの守りのヘッダー（X-Frame-Options・Strict-Transport-Security・nosniff・Referrer-Policy・CSP の Report-Only 雛形）の .htaccess を出します。WordPress 以外のログイン画面向けの点検（点数とやること）もあります。入力は外部に送信されません。

• ● 架空サイトで、ID が見える入口から入られるまでを1手ずつ体験
• ● 回数制限・2段階認証・ID 漏れ塞ぎを切り替えて、止まる所を確認
• ● 回数制限で総当たりの時間がどれだけ延びるかを数字で表示