パスワードの使い回しは危険|今日からできる安全なパスワード管理術

「覚えきれないから、同じパスワードをいくつものサービスで使い回している」。もし心当たりがあるなら、それはパスワードの強さとは無関係に、すでに危険な状態です。

この記事では、なぜ使い回しが決定的にまずいのか、そして「全部を覚え直す」ような非現実的な方法ではなく、今日から実際に運用できる管理方法を説明します。結論を先に言うと、覚えるべきパスワードは3つだけで十分です。

流出が判明したときの48時間

「あなたのアカウントが流出しました」という通知が届いたとき、あるいは自分で流出を確認したとき、やる順番を間違えると被害が広がります。優先順位はこうです。

順番	やること	理由
1	メールアカウントのパスワードを変える	メールを取られると、他の全サービスをパスワード再発行で乗っ取られます。ここが最優先
2	メールの二段階認証を有効にする	パスワード変更だけでは、すでに入られている場合に戻される
3	メールの転送設定・フィルタを確認	攻撃者が「特定のメールを自動転送・自動削除」する設定を仕込むことがある。見落としやすい
4	金銭が絡むサービスを変更	ネット銀行・証券・決済・EC。被害が直接出る順
5	同じパスワードを使った全サービスを変更	使い回していた場合、流出した1件でどこまで波及するかを洗い出す
6	ログイン履歴とセッションを確認・全端末からログアウト	まだ居座っている接続を切る
7	登録メールアドレス・電話番号が書き換えられていないか確認	書き換えられていると、正規の手続きで取り戻せなくなる

やってはいけないこと：通知メールに書かれたリンクから手続きしようとすること。その通知自体がフィッシングである可能性があります。必ず自分でブックマークまたは検索からサービスにアクセスしてください。

新しいパスワードは、使い回しを避けるためにその場で生成するのが確実です。パスワード生成ツールは暗号学的に安全な乱数で10個まとめて作れ、生成内容は送信されません。強度が足りているかはパスワード強度チェッカーで確認できます。

家族・職場でパスワードを共有する方法

共有そのものは避けられない場面があります。動画配信サービスの家族利用、業務で使う共通アカウント、緊急時に家族が使う必要のあるもの。問題は共有の仕方です。

方法	安全性	コメント
管理ツールの共有機能	高い	相手に平文を見せずに渡せる。あとから権限を取り消せる
紙に書いて手渡し	中程度	遠隔からは盗めない。保管場所だけ注意
LINE・メールで送る	低い	履歴が残り続ける。相手の端末が破られると一緒に漏れる
共有フォルダのテキストファイル	低い	アクセス権を持つ全員が見られる。退職後も残りがち

やむを得ずメッセージで送る場合は、IDとパスワードを別々の手段で送り、送信後にメッセージを削除してください。それでも履歴がサーバーに残る可能性は残ります。

もう一つ大事なのが「自分に何かあったとき」への備えです。管理ツールには緊急アクセス機能を持つものがあり、指定した相手が一定期間後にアクセスできるようになります。家族が困らないよう、設定しておく価値があります。

パスワード以外も含めた、対策の全体像

パスワードを固めても、他の入口が空いていれば意味がありません。個人でやる対策を、効果の大きい順に並べると次のようになります。

優先	対策	守れるもの	詳しく
1	サービスごとに違うパスワード	使い回しによる連鎖的な乗っ取り	この記事
2	二段階認証を有効にする	パスワードが漏れても侵入を防ぐ	この記事
3	OSとアプリを更新し続ける	既知の脆弱性を突く攻撃	サポート期限（EOL）とは
4	バックアップを別の場所に取る	ランサムウェア、機器故障、誤操作	ランサムウェアとは
5	リンクを踏む前にドメインを見る	フィッシング詐欺	フィッシング詐欺の見分け方
6	ウイルス対策を1つだけ動かす	マルウェア全般	Microsoft Defenderの実力
7	スマホの紛失対策を設定する	盗難・置き忘れ	スマホのセキュリティ対策
8	公衆Wi-Fiでの通信を暗号化	盗聴	VPNとは

1と2だけで、個人が受ける被害の大半は防げます。3以降は上乗せの備えと考えてください。「これさえ入れれば安全」という製品は存在せず、対策を重ねることで被害の確率と規模を下げるという考え方（多層防御）が基本になります。

公的な情報源としては、IPA（情報処理推進機構）の不正ログイン対策特集ページおよび日常における情報セキュリティ対策がまとまっています。手口の最新動向を確認したいときに参照してください。

なぜ「使い回し」が最悪なのか

パスワードリスト型攻撃という現実

攻撃者は、あなたのパスワードを推測しようとはしません。どこか別のサービスから流出した「メールアドレスとパスワードの組み合わせ」を、そのまま他のサービスで機械的に試すだけです。これをパスワードリスト型攻撃（クレデンシャルスタッフィング）と呼びます。

この攻撃の恐ろしい点は、パスワードの強さがまったく関係しないことです。32文字の複雑なパスワードでも、使い回していれば1か所の流出で全滅します。

しかも流出は、あなたが気をつけていても起きます。利用しているサービス側の問題だからです。「自分は怪しいサイトを使っていないから大丈夫」は成立しません。

「サービス名を混ぜる」も通用しない

よくある工夫として、amazon_taro123、google_taro123 のようにサービス名を混ぜる方法があります。これは一見よさそうに見えて、実際にはほとんど効果がありません。

1つ流出した時点で、人間が5秒眺めれば法則が分かります。攻撃者は自動化しているので、こうしたパターンの変形も当然試します。「規則性のある変形」は、使い回しと同じだと考えてください。

あなたのパスワードは、いま何秒で破られるか

自分のパスワードがどの程度の強さなのかは、感覚ではなく数値で確認できます。当サイトで公開しているツールで、突破までにかかる時間の目安を計算できます。

試してみると分かりますが、P@ssw0rd のような「記号で置き換えた8文字」は、GPUを使った総当たりで1秒もかかりません。攻撃ツールは a→4、o→0 といった置き換えを標準で試すためです。

記号を足すより、文字数を増やすほうが効く

パスワードの強度は、次の式で決まります。

情報量（ビット） = log₂(使える文字の種類) × 文字数

文字の種類は掛け算の係数にすぎませんが、文字数は指数として効きます。具体的にはこうなります。

変更内容	強度の変化	突破時間の変化
記号を追加して文字種を62→95に増やす	1文字あたり 5.95 → 6.57ビット	約1.5倍
文字数を12文字→16文字に増やす	71.5 → 95.3ビット	約1,400万倍

つまり、「覚えにくい記号を無理に混ぜる」より「単純でも長くする」ほうが、はるかに合理的です。

覚えられて強い作り方：パスフレーズ

関連のない単語を3〜4個つなげる方法です。たとえば Hoshizora-umibe-kazenooto-4821 のような形。30文字あるので総当たりでは破れませんが、意味のある単語の並びなので覚えられます。

ポイントは「意味のある文章にしないこと」です。「私は毎朝コーヒーを飲む」のような文は、単語の並び順が推測できてしまうため強度が落ちます。無関係な単語をランダムに選ぶのが正解です。上のツールの生成機能で作れます。

現実的な運用：覚えるパスワードは3つだけ

すべてのサービスのパスワードを覚えるのは不可能です。覚えるのは次の3つだけにして、残りはパスワード管理ツールに生成・記憶させます。

1. パスワード管理ツールのマスターパスワード　これが破られると全部終わるので、最も長く強くします。パスフレーズが向いています
2. PC・スマホのログインパスワード　端末を物理的に触られたときの最後の砦です
3. メインのメールアカウント　パスワードリセットの起点になるため、ここを取られると他も芋づる式に取られます

パスワード管理ツールの選び方

まずブラウザ内蔵の管理機能（Chrome・Safari・Edge）から始めるのが現実的です。追加費用も設定も不要で、使い回しをやめる効果はすぐ得られます。「専用ツールを調べてから」と先延ばしにするより、今日から内蔵機能を使うほうが確実に安全になります。

専用ツールに移るべきなのは、次のような場合です。

• 複数のブラウザやOSをまたいで使いたい（内蔵機能はブラウザごとに分断されがちです）
• 家族やチームでパスワードを安全に共有したい
• パスワード以外（クレジットカード、身分証、機密メモ）もまとめて管理したい
• 流出監視や強度の一括チェック機能が欲しい

パスワードを強くするより効く：2段階認証

率直に言うと、パスワードを複雑にすることより、2段階認証を有効にすることのほうが防御力の向上は大きいです。方式によって強さが違うので、選べるなら下にいくほど安全です。

方式	強さ	弱点
SMSで受け取るコード	△	SIMスワップ詐欺やSMS傍受に弱い。ただし何もないよりは大幅にマシ
認証アプリ（TOTP）	○	偽サイトに自分でコードを入力してしまうと突破される
パスキー / セキュリティキー	◎	偽サイトでは動作しない設計。フィッシングに原理的に強い

パスキーが使えるサービスでは、迷わずパスキーを選んでください。パスキーは正規のドメインと紐づいて動作するため、見た目がそっくりな偽サイトでは認証情報そのものが出てきません。「うっかり入力してしまう」という人間側のミスを、仕組みで防げるのが決定的な違いです。

定期的なパスワード変更は、もう不要

「3か月ごとにパスワードを変えましょう」というルールは、現在は推奨されていません。米国NISTのガイドライン（SP 800-63B）でも、定期変更の強制は非推奨とされています。

理由は単純で、強制的に変更させると人間は必ず覚えやすい単純なパターンに流れるからです。Password2025 → Password2026 のように末尾を1つ増やすだけ、といった変更が横行し、かえって弱くなります。

変更すべきなのは、「そのパスワードが流出した可能性があると分かったとき」だけです。

流出をチェックする

自分のメールアドレスが過去の情報漏えいに含まれていないかは、「Have I Been Pwned」という無料のサービスで確認できます。含まれていた場合は、そのサービスのパスワードを即座に変更し、同じパスワードを使っている他のサービスもすべて変更してください。

主要なブラウザやパスワード管理ツールにも、同様の流出監視機能が組み込まれています。警告が出たら後回しにせず、その場で対応してください。

今日やるべきこと（優先順位つき）

1. メインのメールアカウントのパスワードを長いものに変え、2段階認証を有効にする（ここが最重要）
2. ネットバンキング・クレジットカード・ECサイトのパスワードが使い回しになっていないか確認する
3. パスワード管理ツール（まずはブラウザ内蔵でOK）を使い始める
4. パスキーに対応しているサービスから順に、パスキーへ移行する
5. パスワード強度チェッカー で現在のパスワードの強さを確認する

全部を一度にやる必要はありません。1番だけでも今日やれば、リスクは大きく下がります。

よくある質問

パスワードは定期的に変更すべきですか？

不要です。米国NISTのガイドライン（SP 800-63B）でも定期変更の強制は非推奨とされています。強制すると人は単純なパターン（末尾の数字を1ずつ増やすなど）に流れ、かえって弱くなるためです。変更すべきなのは流出の可能性が判明したときだけです。

ブラウザにパスワードを保存しても大丈夫ですか？

使い回しを続けるよりは、はるかに安全です。ただしPCやスマホ本体にロックをかけていることが前提です。ロックなしの端末に保存すると、物理的に触られた時点で全部見られます。

スマホのメモ帳にパスワードを書いておくのは？

おすすめしません。バックアップ経由でクラウドに平文で保存されたり、他のアプリから読み取られたりする可能性があります。暗号化されるパスワード管理ツールを使ってください。

家族とパスワードを共有したいのですが

メールやチャットで送るのは避けてください。履歴に平文で残り続けます。パスワード管理ツールの共有機能を使うのが安全です。共有を解除したときに相手側からも消せる点も重要です。

パスキーに移行したら、パスワードは削除すべき？

まだ残しておいてください。パスキーに対応していない機器からログインする必要が出ることがあります。パスワードは強いものに変えたうえで、管理ツールに保管しておくのが現実的です。

あわせて読みたい

• パスワード強度チェッカー｜突破までの時間を計算
• 二段階認証とは？設定方法と仕組み
• フィッシング詐欺の見分け方｜怪しいメールの5つのチェックポイント
• スマートフォンのセキュリティ対策