強いパスワードの作り方｜長さ・パスフレーズ・使い回し回避と管理術

オンラインサービスを使う上で、パスワードは家の鍵に相当する存在です。ところが多くの人が「誕生日」「名前＋123」「同じパスワードの使い回し」といった、攻撃者にとって都合のよい設定を続けています。この記事では、強いパスワードとは何か、どう作り、どう管理すればよいのかを、仕組みから順を追って解説します。

なぜパスワードが破られるのか

パスワードが破られる経路を知ると、対策の優先順位が見えてきます。攻撃には主に次のパターンがあります。

• 総当たり攻撃（ブルートフォース）：考えられる文字の組み合わせを片端から試す方法。短いパスワードほど一瞬で突破されます。
• 辞書攻撃：「password」「qwerty」「123456」など、よく使われる単語やパターンを優先的に試す方法。意味のある単語は弱点になります。
• 漏洩リストの使い回し（クレデンシャルスタッフィング）：どこかのサービスから流出したメールアドレスとパスワードの組を、別のサービスでそのまま試す方法。使い回している人が標的です。
• フィッシング：本物そっくりの偽サイトに入力させて盗む方法。これはパスワードの強さとは無関係に成立します。

つまり「複雑さ」だけでは守れない攻撃も存在します。複雑さは総当たり・辞書対策、使い回し回避は漏洩リスト対策、2段階認証はフィッシングや漏洩後の最後の砦として効きます。これらを組み合わせることが重要です。

強さの本質は「長さ」

かつての常識は「記号を混ぜた8文字」でした。しかし計算能力の向上により、8文字程度では文字種を増やしても短時間で破られる可能性があります。現在の指針では、複雑さよりも長さが重視されています。

理由は単純です。パスワードの強さは「使える文字の種類」を「文字数」乗した組み合わせ数で決まります。文字数が1つ増えると、組み合わせ数は文字種の倍率で一気に膨らみます。たとえば英小文字（26種）だけでも、8文字なら約2,000億通りですが、12文字なら約9京通りと、桁違いに増えます。

実用的な目安は次の通りです。

「長く、かつ予測されにくい」文字列を自分で考えるのは意外と難しいものです。完全にランダムな文字列が必要なら、パスワード生成ツールを使えば、長さや文字種を指定して安全な候補をその場で作れます。生成はすべてブラウザ内で完結するため、入力内容が外部に送られる心配はありません。

強度の指標「エントロピー」

パスワードの強さを客観的に測るものさしがエントロピー（情報量）で、単位はビット（bit）です。エントロピーは「総当たりで破るのにどれだけの試行が必要か」を表し、1ビット増えるごとに必要な試行回数が2倍になります。

計算式は エントロピー（bit）＝ 文字数 × log2(文字種の数) です。たとえば英大小文字＋数字（62種）で12文字なら、12 × log2(62) ≒ 71ビットになります。一般的な目安として、次のように考えると分かりやすいでしょう。

• 50ビット未満：弱い。短時間で破られる可能性がある。
• 60〜80ビット：実用上、十分に強い水準。
• 100ビット以上：きわめて強固。重要アカウントに推奨。

注意したいのは、エントロピーは「文字が完全にランダムに選ばれている」ことを前提とする点です。「Password1!」のように規則的な並びは、計算上のエントロピーが高く見えても、辞書攻撃では一瞬で破られます。自分のパスワードが実際にどの程度の強さかは、パスワード強度チェッカーで確認できます。よくあるパターンや辞書的な単語を含んでいないかも踏まえて判定するので、思い込みのない評価ができます。

「複雑そうに見える」と「実際に強い」は別物です。規則性や意味のある単語は、見た目以上に弱点になります。

使い回しが最大のリスク

どれだけ強いパスワードを作っても、複数のサービスで使い回していると意味が半減します。あるサービスから漏洩した瞬間に、同じ組み合わせを使っている全サービスが芋づる式に危険にさらされるからです。これがクレデンシャルスタッフィングの怖さです。

実際、大規模な漏洩事件は毎年のように起きており、自分のメールアドレスとパスワードの組がすでに流出している可能性は誰にでもあります。だからこそ、サービスごとに異なるパスワードを設定することが、複雑さ以上に重要な原則になります。

「サービスの数だけ覚えられない」と感じるのは当然です。そこで後述するパスワード管理ツールが役立ちます。すべてを記憶する必要はなく、管理ツールに任せ、自分は1つの強力なマスターパスワードだけを覚える、という運用が現実的です。

覚えやすいパスフレーズの作り方

管理ツールに登録しきれない「マスターパスワード」や、紙に控えておきたい重要なものは、人間が覚えられる必要があります。そこで有効なのがパスフレーズ、つまり複数の単語をつないだ長い合言葉です。

たとえば無関係な単語を4〜5個ランダムに選んでつなげる方法があります。「correct horse battery staple」のように、意味のつながらない単語の羅列は、長さによって非常に高いエントロピーを持ちながら、イメージとして覚えやすいという利点があります。日本語話者なら、ローマ字の単語を組み合わせてもよいでしょう。

パスフレーズを作るときのコツは次の通りです。

1. 4語以上をつなぐ：単語数が多いほど強くなります。区切りに記号や数字を挟むとさらに強化されます。
2. 意味のつながらない単語を選ぶ：「赤い りんご 甘い」のような連想できる組み合わせは避けます。
3. 有名な歌詞・ことわざは使わない：そのまま辞書攻撃の対象になります。
4. サービス名をそのまま混ぜない：規則性が読まれると一気に弱くなります。

なお、単語の選択をランダムに行いたい場合も、パスワード生成ツールでランダム文字列のヒントを得たり、桁数の感覚をつかんだりするのに役立ちます。

管理ツールと2段階認証

強く・使い回さず・長いパスワードを、人間の記憶だけで運用するのは不可能です。現実的な解は次の2つを組み合わせることです。

パスワード管理ツール（パスワードマネージャー）

サービスごとのパスワードを暗号化して保管し、ログイン時に自動入力してくれるソフトです。あなたが覚えるのは1つのマスターパスワードだけ。長くランダムなパスワードをサービスごとに使い分ける、という理想がこれで一気に実現します。マスターパスワードには、前述のパスフレーズで20文字以上の強固なものを設定しましょう。

2段階認証（多要素認証・MFA）

パスワードに加えて、スマートフォンのアプリやSMSで届くコードなど「もう一つの要素」を要求する仕組みです。仮にパスワードが漏洩しても、2つ目の要素がなければログインできないため、被害を大きく防げます。重要なアカウント（メール、SNS、ネット銀行など）では必ず有効化することを強くおすすめします。SMSより認証アプリやセキュリティキーの方が安全性は高めです。

ハッシュ化という考え方

サービス提供者側は、預かったパスワードを平文のまま保存せず、ハッシュ化して保存するのが原則です。ハッシュとは元の文字列を不可逆な固定長の文字列に変換する処理で、万一データが流出しても元のパスワードを直接は復元できません。仕組みを体感したい開発者の方は、ハッシュ生成ツールで同じ文字列が常に同じハッシュ値になることや、1文字変えるだけで結果が大きく変わる様子を確認できます。なお、実際のパスワード保存にはソルトやストレッチを伴う専用方式が用いられます。

今日からできるチェックリスト

最後に、すぐ実践できる優先順位の高い対策をまとめます。

1. 重要アカウントで2段階認証を有効化：効果が大きく、すぐできます。
2. 使い回しをやめる：特にメールアカウントは最優先。漏洩すると他サービスの再設定に悪用されます。
3. パスワードを12文字以上に：可能なら16文字以上に伸ばします。
4. 管理ツールを導入：覚える負担を減らし、強い運用を仕組み化します。
5. 強度を確認：パスワード強度チェッカーで弱いものを洗い出し、必要ならパスワード生成ツールで作り直します。

本記事は2026年6月時点の一般的なセキュリティ情報をまとめたものです。最新の脅威動向や各サービスの推奨設定は変化します。重要な口座やシステムの運用にあたっては、各サービスの公式案内や信頼できるセキュリティ機関の情報も併せてご確認ください。