安全なパスワードの作り方とよくある間違い

パスワードが破られる2大パターン

「強いパスワード」を考える前に、攻撃側が実際に何をしているかを知っておくと、対策の優先順位がはっきりします。個人のアカウントが乗っ取られる原因は、大きく次の2つです。

① パスワードリスト攻撃 — 「使い回し」が狙われる

どこかのサービスから漏えいした「メールアドレスとパスワードの組み合わせリスト」を使い、他のサービスに片っ端からログインを試す攻撃です。あなたのパスワードがどれだけ複雑でも、使い回していれば1か所の漏えいで全部のサービスが危険にさらされます。大規模な情報漏えいは有名企業でも起きており、「漏らさない」ことは利用者側ではコントロールできません。利用者にコントロールできるのは「漏れても被害を1サービスに限定する」こと、つまりサービスごとに違うパスワードを使うことだけです。

② 総当たり攻撃 — 「短さ」が狙われる

プログラムで文字の組み合わせを片っ端から試す攻撃です。ここで重要なのは、パスワードの強度は複雑さよりも「長さ」で決まるという点です。文字種と文字数ごとの組み合わせ数のイメージは次のとおりです。

• 数字のみ8桁：1億通り — 現代のコンピュータなら一瞬で試し尽くせる量
• 英小文字のみ8文字：約2,000億通り — それでも数時間程度で破られうる
• 英大小文字＋数字で10文字：約84京通り — 数か月〜数年規模
• 英大小文字＋数字＋記号で12文字以上：現実的な時間ではほぼ解読不可能

「8文字あれば十分」と言われたのは昔の話で、現在の目安は12文字以上、重要なアカウントは16文字です。1文字増えるごとに組み合わせは数十倍に増えるため、記号を1つ混ぜるより2文字長くする方が効きます。

ありがちな「工夫」が効かない理由

攻撃プログラムは単純な総当たりの前に、辞書に載っている単語やよくあるパターンを優先的に試します。次のような「工夫したつもり」のパスワードは、むしろ優先的に破られる側です。

• 単語の一部を記号化：p@ssw0rd — この置き換えパターン自体が攻撃辞書に登録済み
• 単語＋数字：sakura2024 — 「辞書の単語＋西暦4桁」は真っ先に試される形式
• キーボード配列：qwerty、1qaz2wsx — 配列パターンも辞書化されている
• 名前＋誕生日 — SNSで公開している情報から推測できてしまう

現実的な運用：覚えるのは1つだけ

「サービスごとに違う16文字のランダム文字列」を暗記するのは不可能です。実際の運用は次の形が現実的です。

1. 各サービスのパスワードはパスワード生成ツールなどでランダムに生成し、パスワードマネージャー（またはブラウザのパスワード保存機能）に記憶を任せる
2. マスターパスワードだけは自分で覚える。ここは無関係な日本語の単語を3〜4個つなげた「パスフレーズ」（例：洗濯機-つばめ-坂道-27 のような自分にしか意味のない組み合わせ）にすると、長くて強いのに覚えられます
3. 銀行・メール・SNSなど重要なサービスでは二要素認証（認証アプリやワンタイムコード）を必ず併用する。万一パスワードが漏れても、不正ログインを止める最後の砦になります

特に「メールのパスワード」は最優先で強化してください。他のサービスのパスワード再設定はメール経由で行われるため、メールを乗っ取られると他のアカウントも芋づる式に乗っ取られます。

よくある質問

Q. 生成したパスワードを覚えられません。どうすればいいですか？
A. 覚えないのが正解です。人間が覚えられるパスワードは攻撃者にも推測しやすいため、パスワード管理アプリ（パスワードマネージャー）やブラウザのパスワード保存機能に記憶を任せ、人間はマスターパスワード1つだけを覚える運用が現実的です。

Q. パスワードは定期的に変更すべきですか？
A. 現在は「定期変更よりも、サービスごとに異なる強固なパスワードを設定し、漏えいが疑われたら即変更する」方が重要とされています。定期変更を義務化すると「Password2024→Password2025」のような推測しやすい変更になりがちで、かえって安全性が下がることが指摘されています。

ランダムパスワードの生成はパスワード生成ツールで行えます。生成はブラウザ内だけで完結し、サーバーへの送信・保存は一切ありません。

あわせて使いたいツール