安全なパスワード管理の基本｜使い回しの危険・強い作り方・パスワードマネージャ・2段階認証

ネットショッピング、SNS、ネットバンキング、仕事のクラウドサービス——私たちは毎日いくつものアカウントにログインしています。その入口を守っているのがパスワードです。ところが「同じパスワードを使い回している」「誕生日や名前を入れている」という人は今も少なくありません。本記事では、安全なパスワード管理の基本を、なぜ危険なのかという理屈とともに、初心者にもわかりやすく解説します。

使い回しがなぜ危険なのか

パスワード管理でもっとも避けたいのが使い回しです。複数のサービスで同じパスワードを使っていると、どこか1か所から情報が漏れただけで、芋づる式に他のアカウントまで乗っ取られる危険があります。

その代表的な手口がパスワードリスト攻撃（クレデンシャルスタッフィング）です。攻撃者は、どこかのサービスから流出した「メールアドレスとパスワードの組み合わせ」の一覧を入手し、それを別のサービスのログイン画面に次々と自動で入力します。あなたが同じ組み合わせを使い回していれば、流出元とは無関係なサービスにもログインされてしまうのです。

1か所の流出が、すべてのアカウントの流出になりうる——これが使い回しの最大のリスクです。

「自分の使っているサービスは大丈夫」と思っていても、漏洩は利用者側の落ち度とは関係なく、サービス事業者側の事故で起きることもあります。だからこそ、サービスごとに異なるパスワードを使うことが、被害を1か所に封じ込めるための最初の一歩になります。

• 同じパスワードの使い回しは避け、サービスごとに別々にする。
• 名前・誕生日・電話番号・「password」「123456」など推測されやすい文字列は使わない。
• 古いパスワードや、過去に流出した可能性のあるパスワードは再利用しない。

強いパスワードの条件：長さと複雑さ

では「強いパスワード」とは何でしょうか。ポイントは大きく分けて長さと複雑さの2つです。

攻撃者は、考えられる文字の組み合わせを片端から試す総当たり攻撃（ブルートフォース）を使うことがあります。このとき、パスワードが1文字長くなるだけで、試すべき組み合わせの数は爆発的に増えます。つまり、長さは複雑さよりも効いてくることが多いのです。一般には、最低でも12文字、できれば16文字以上が推奨されます。

複雑さとは、大文字・小文字・数字・記号といった文字種の多さのことです。使う文字の種類が増えるほど、1文字あたりの組み合わせが増え、推測も総当たりも難しくなります。逆に、辞書に載っている単語そのものや、それを少しもじっただけのものは、専用の辞書攻撃で簡単に破られてしまいます。

とはいえ、ランダムで長い文字列を自分で考えるのは大変です。そこで役立つのがパスワード生成ツールです。長さや文字種を指定するだけで、規則性のない強いパスワードを瞬時に作れます。作ったパスワードがどれくらい強いかは、パスワード強度チェッカーで確認しておくと安心です。

覚えやすいパスフレーズという考え方

「長くて複雑なパスワードは覚えられない」——これは当然の悩みです。そこで近年すすめられているのがパスフレーズという考え方です。これは、無関係な単語を複数つなげて長い合言葉にする方法です。

たとえば「電池・キリン・台所・もくようび」のように、互いに関連のない単語を組み合わせると、人間には覚えやすく、コンピュータには破りにくい文字列になります。意味のつながらない単語ほど推測されにくく、長さも自然に稼げるのが利点です。

• 関連性のない単語を4語以上つなげる。
• ことわざや有名な歌詞など、ありがちなフレーズは避ける。
• 区切りに数字や記号を混ぜると、さらに強くなる。

ただし、パスフレーズであっても使い回しは禁物です。覚えやすい合言葉は「自分が忘れないための最重要パスワード」（後述のパスワードマネージャのマスターパスワードなど）に限って使い、一般のサービスにはランダムなパスワードを使い分けるのが理想です。

パスワードマネージャを活用する

サービスごとに長くてランダムなパスワードを設定すると、当然すべてを覚えるのは不可能です。この問題を根本から解決してくれるのがパスワードマネージャです。

パスワードマネージャは、各サービスのIDとパスワードを暗号化して安全に保管し、必要なときに自動入力してくれるソフトやアプリです。利用者が覚えるのは、その金庫を開けるためのマスターパスワード（マスターキー）1つだけで済みます。

• サービスごとに異なる強いパスワードを、覚えずに使える。
• 強力なパスワードの自動生成機能を備えるものが多い。
• 偽サイトでは自動入力が働かないため、フィッシングに気づきやすい。

マスターパスワードだけは絶対に忘れず、かつ十分に強くする必要があります。ここでこそ、前述の覚えやすく長いパスフレーズが活きてきます。マスターパスワード自体の強さはパスワード強度チェッカーで点検し、各サービス用の個別パスワードはパスワード生成ツールで作って登録していくとよいでしょう。

2段階認証とフィッシング対策

どれだけ強いパスワードを使っても、それが盗まれてしまえば意味がありません。そこで「パスワードに加えてもう一つの鍵」を求めるのが2段階認証（2要素認証、MFA）です。

2段階認証では、パスワードの入力に加えて、スマートフォンの認証アプリが表示するワンタイムコードや、SMSで届く確認コードなどの入力を求められます。万一パスワードが漏れても、攻撃者は手元の端末を持っていないためログインできず、被害を大きく防げます。重要なアカウントでは必ず有効にしておきましょう。

もう一つ警戒したいのがフィッシングです。これは、本物そっくりの偽サイトやメールでパスワードを入力させ、盗み取る手口です。次の点に注意してください。

• メールやSMSのリンクから安易にログインせず、公式アプリや自分のブックマークから開く。
• 「至急」「アカウント停止」などと急かす文面は、いったん落ち着いて疑う。
• ログイン前にURL（ドメイン）が正規のものか必ず確認する。

前述のとおり、パスワードマネージャは登録したサイト以外では自動入力をしないため、「いつもは自動で入るのに、今日は入らない」という違和感が、偽サイトに気づくヒントにもなります。

漏洩していないかを確認する

自分のメールアドレスやパスワードが、過去のデータ流出に含まれていないかを確認することも大切です。世界中で起きた大規模な流出データを集めて、自分の情報が含まれていないかをチェックできるサービスが存在します。

もし自分の情報が流出リストに見つかった場合は、そのパスワードを今すぐ変更し、同じパスワードを使い回している他のサービスもすべて変更してください。あわせて2段階認証を有効にしておけば、被害をさらに抑えられます。

安全なパスワード管理は、「使い回さない」「長く複雑にする」「マネージャで管理する」「2段階認証を足す」という基本の積み重ねです。まずはパスワード生成ツールで強いパスワードを作り、パスワード強度チェッカーで今使っているパスワードの強さを点検することから始めてみてください。小さな習慣の積み重ねが、あなたのアカウントを守ります。

なお本記事は一般的な情報提供を目的としたものであり、セキュリティ対策の有効性は状況や時期により変わります。最新の公式情報や信頼できる提供元の案内を確認のうえ、ご自身の判断で対策を行ってください。