ネット

パスワードの使い回しはなぜ危ない？見直しが必要な5つの基準と、覚えられる作り方

※この記事にはアフィリエイト広告（PR）を含みます。リンク先のショップで購入・申し込みをされると、紹介料が入ることがあります。

盗まれたパスワードは「リスト」にして試される

使い回しを狙う手口は「リスト型攻撃」と呼ばれます。総務省の説明では、不正に手に入れた他人のIDとパスワードを一覧表（リスト）のように使い、いろいろなサイトでログインを試す攻撃です。

たとえば、ある通販サイトから「メールアドレスとパスワードの組み合わせ」が漏れたとします。攻撃する側はその組み合わせを、SNSや別の通販サイト、メールのサービスに次々と入れてみます。同じ組み合わせを使っていれば、そこでログインが通ってしまいます。

IPA（情報処理推進機構）は、不正ログインの原因を3つに分けています。

• 単純なパスワードを推測される（意味のある単語や個人に関わる語句）
• パスワードを使い回していて、別のサービスから漏れた組み合わせで入られる
• 偽のメールやSMSから偽サイトに誘われ、自分で入力してしまう

このうち使い回しは、本人がどれだけ用心しても防げない漏えいの影響を、ほかのサービスにまで広げてしまう点がやっかいです。総務省がサイトの管理者に向けた対策集（2013年）でも、予防策の最初に「サービスごとに違うID・パスワードを設定するよう利用者に呼びかける」ことを挙げています。

どのくらい起きているか

警察庁の発表では、2025年に警察が把握した不正アクセスは7,190件でした。前の年より1,832件、約34%の増加です。

同じ年に検挙した事件のうち、他人のIDとパスワードを使ったものは399件ありました。IDやパスワードを手に入れた方法は、「パスワードの設定・管理の甘さにつけ込んだ」が84件、「フィッシングサイトから入手」が77件です。ただし、これは検挙した事件の内訳です。被害全体の割合を表す数字ではありません。

相談の現場でも増えています。IPAの相談窓口に寄せられた不正ログインの相談は、2025年7月に144件と、それまでで最も多くなりました。InstagramやFacebookに入られ、自分がログインできなくなった、という相談が目立ちます。IPAの「情報セキュリティ10大脅威 2026」でも、個人向けの脅威に「インターネット上のサービスへの不正ログイン」が11年続けて入っています。

入られた後の被害は、IPAの資料によると次のようなものです。

• パスワードを変えられ、本人がログインできなくなる
• 登録したクレジットカードで勝手に買い物をされる
• 本人になりすましてSNSに投稿されたり、知り合いに偽メールを送られたりする

使い回していれば、これが複数のサービスで同時に起こります。

見直しが必要なパスワードの5つの基準

今のパスワードを変えるべきかは、次の5つで判断できます。1つでも当てはまれば、そのパスワードは見直しの対象です。IPAの「チョコっとプラスパスワード」と10大脅威のハンドブック、警察庁の呼びかけをもとに作りました。

やりがちなのが、末尾の数字だけ変えて「サービスごとに違うつもり」になっている例です。パスワード1とパスワード2のように規則が見えると、ほとんど同じものを使っているのと変わりません。

警察庁は、ネット上に保存するメモアプリが不正アクセスされ、そこに書いていたパスワードが盗まれたとみられる例もあると注意しています。書き留めるなら、置き場所も含めて考える必要があります。

覚えられる強いパスワードの作り方

強さを決めるのは、まず長さです。IPAは、数字と英字の大文字・小文字を組み合わせ、目安として15桁程度にすることを勧めています。記号を加えればさらに安全になります。そのうえでサービスごとに変えます。

長いパスワードをいくつも暗記するのは無理があります。公的機関が紹介している方法は、大きく3つです。

IPAのコアパスワード方式では、暗記するのはコアの部分だけです。サービスごとに付ける識別子は、紙や電子ファイルに書き、コアとは別に管理します。英国のNCSC（国家サイバーセキュリティセンター）は、oを0に変えるような置き換えは効き目が小さく、覚えにくくなるだけだとしています。家族やペットの名前、好きなチームのような、SNSから分かる言葉も避けます。

選ぶ決め手は、自分が続けられるかどうかです。登録しているサービスが10を超えるなら、管理ソフトに任せるほうが現実的です。

管理の方法を選ぶ基準

パスワードの管理は、無料の標準機能から始められます。Googleパスワードマネージャーには「パスワード チェックアップ」があります。保存したパスワードについて、漏えい・推測されやすさ・複数アカウントでの使い回しの3点を調べられます。Chromeなら「パスワードと自動入力」から開けます。ほかのブラウザでは passwords.google.com から使えます。

まずはこれで、今の状態を確かめてみてください。使い回しが見つかったら、大事なサービスから順に変えていきます。

• 標準機能で足りる人：ふだんChromeやスマホの標準機能でログインしている人
• 専用の管理ソフトが向く人：WindowsとiPhoneのように、メーカーの違う端末を行き来する人
• セキュリティソフト付属の管理機能が向く人：ウイルス対策も一緒に入れたい人

パスワードを強くしても、フィッシングで自分から入力してしまえば意味がありません。IPAは、パスキーや二段階の認証が使えるサービスでは積極的に使うこと、よく使うサイトはブックマークから開くことも勧めています。どこかのサービスから漏えいの知らせが来たら、そのサービスだけでなく、同じパスワードを使っていたほかのサービスも変えます。

パスワード管理つきのソフト

ここまでの見直しは、ソフトがなくてもできます。管理を1か所にまとめたい人向けに、パスワード管理の機能を持つ製品を3つ選びました。ソフトは対策の1つで、入れれば安全になるわけではありません。Windowsには標準でMicrosoft Defenderが入っているので、ウイルス対策だけが目的なら、まずそれが有効かを確かめてください。価格は台数・年数や時期で変わるので、リンク先の公式ストアで確かめてください。

ノートン 360 デラックス（ノートン公式ストア）。Windows・Mac・iPhone・Androidに対応し、3台まで使えます。ウイルス対策に加えて、パスワード管理・ダークウェブモニタリング・VPNが入っています。
向いている人：パソコンとスマホのウイルス対策とパスワード管理をまとめたい人。向かない人：パスワード管理だけが欲しい人（機能が多すぎます）。
注意：自動更新の有無は購入前に公式ストアで確認してください。自動更新の場合、更新時に自動で課金されます。止め方はメーカーの案内を確認してください。
公式ストア：定番のセキュリティソフト　ノートン 360

ZERO スーパーセキュリティ（ソースネクスト）　Windows・Mac・iPhone・Androidに対応し、3台まで使えます。パスワード管理の機能があり、ソースネクストの説明では毎年の更新料はかかりません。
向いている人：更新料を払い続けたくない人。向かない人：パスワード管理の細かい機能（対応ブラウザなど）を先に確かめたい人（商品ページに詳しい説明がありません）。

1Password 3年版（ソースネクスト）　パスワード管理の専用サービスで、Windows・Mac・Android・iPhoneで使えます。1つのマスターパスワードで全体を守るしくみです。ブラウザはChrome・Edge・Firefox・Operaが必要で、サポートは開発元のAgileBits社が行います。
向いている人：メーカーの違う端末をまたいで、パスワード管理を専用ソフトで固めたい人。向かない人：ウイルス対策も欲しい人（別に用意が必要）。
注意：3年たった後の扱いと価格は、購入前にソースネクストの商品ページで確認してください。

よくある疑問

パスワードは定期的に変更すべきですか？

米国標準技術研究所（NIST）のサービス提供者向けの基準は、定期的な変更を求めないとしています。漏えいの知らせが届いた時点で変えれば十分です。それより、長くしてサービスごとに変えるほうが効きます。

紙のメモに書いても大丈夫ですか？

英国のNCSCは、安全な場所に書き留めるのは構わないとしています。IPAのコアパスワード方式でも、識別子は紙などに記録し、コアとは別に保管します。家の外に持ち歩く手帳やネット上のメモは避けます。

使い回しに気づいたら、全部を一度に変えるべきですか？

一度に変える必要はありません。IPAの資料にあるとおり、入られるとカードの不正利用やなりすましにつながります。クレジットカードを登録した通販サイトや、よく使うSNS・メールから先に変えていきます。

まとめ

パスワードの使い回しが危ないのは、どこか1つから漏れた組み合わせが、リストにして別のサービスで試されるからです。2025年の不正アクセスは7,190件で、前の年より約34%増えました。

今日のうちに、Googleのパスワード チェックアップなどで使い回しがないかを調べてみてください。見つかったら、通販サイトやメールから順に、15桁程度のサービスごとに違うパスワードへ変えていきます。

← 記事一覧へ戻る