新しいサービスに登録しようとして「8文字以上」「英数字と記号を含めてください」と表示されると、結局どんなパスワードにすればよいのか迷いやすいところです。
結論からいうと、覚える必要がないパスワードはパスワードマネージャーで長くランダムに作り、自分で覚える必要があるものは推測されにくい長いパスフレーズを検討するのが現実的です。どちらの場合も、サービスごとに別のものを使い、多要素認証が利用できるなら有効にすることが重要です。
「大文字・小文字・数字・記号を全部入れれば安全」「数か月ごとに変更すれば安心」といった昔ながらの考え方だけでは不十分です。この記事では、IPA・NCO・NISTの現在の指針をもとに、初心者でも迷いにくい順番で整理します。
まず決めるのは「自分で覚えるか、覚えないか」
パスワードを作るときは、最初に文字を考えるのではなく、どう管理するかを決めると迷いにくくなります。
| 状況 | 向いている方法 | 注意点 |
|---|---|---|
| 多数のサービスを使う | パスワードマネージャーで長くランダムな文字列を生成・保存する | サービスごとに別のパスワードを使う |
| 自分で覚える必要がある | 無関係な複数の言葉を使った長いパスフレーズを検討する | 有名な文章や個人情報をそのまま使わない |
| 8文字など短い上限がある | 許される範囲で推測されにくいランダムな文字列にする | 使い回さず、多要素認証を併用する |
| 勤務先・学校の指定がある | 組織のルールに従う | 自己判断で要件を弱めない |
NCOとIPAの「サイバーセキュリティ対策9か条」でも、パスワードを長く複雑にし、他と使い回さないことと、多要素認証を利用することが基本対策として示されています。詳しくはNCOの「サイバーセキュリティ対策9か条」で確認できます。
安全なパスワードで優先したい4つのポイント
1. 短くしすぎず、使える範囲で長くする
「8文字以上」と表示されても、8文字ちょうどにする必要はありません。サービスがより長い文字列を受け付けるなら、最低文字数で止めずに長くするほうが考えやすいでしょう。
米国国立標準技術研究所（NIST）の最新ガイドライン「SP 800-63B-4」では、サービス提供側に対し、パスワードだけで認証する場合は最低15文字、多要素認証の一部として使う場合でも最低8文字を求めています。
ただし、これは「利用者は15文字にすれば必ず安全」という意味ではありません。サービス提供側の最低要件を定めたものであり、実際の安全性は長さだけでなく、推測されにくさ、使い回しの有無、認証方法などにも左右されます。詳しい要件はNIST SP 800-63B-4で確認できます。
2. サービスごとに別のパスワードを使う
長く複雑なパスワードでも、複数のサービスで同じものを使い回すと、一つのサービスから認証情報が漏れたときに別のサービスまで狙われる可能性があります。
IPAも不正ログイン対策として、パスワードを「できるだけ長く」「複雑に」「使い回さない」ことを案内しています。詳しくはIPAの不正ログイン対策特集を確認してください。
3. 名前・誕生日・定番パターンを避ける
次のような文字列は覚えやすい一方で、他人や自動化された攻撃から推測されやすくなることがあります。
- 自分や家族の名前、生年月日
- 電話番号や住所に関係する数字
- 「123456」「qwerty」のような連続・定番パターン
- 好きな作品名や有名な言葉に数字を付けただけのもの
- 同じ基本パスワードの末尾だけをサービスごとに変える方法
「GoogleならG、AmazonならA」のようにサービス名から規則的に文字を足す方法も、基本となる文字列が知られた場合に別サービスのパスワードを推測されるおそれがあります。
4. 多要素認証があるなら有効にする
どれだけ長いパスワードでも、フィッシングサイトへ自分で入力してしまえば盗まれる可能性があります。NISTも、パスワードはフィッシング耐性を持つ認証方法ではないと説明しています。
そのため、メール、SNS、通販、クラウドなど重要なアカウントでは、利用できる多要素認証を有効にしておくと安心材料が増えます。
大文字・小文字・数字・記号は全部入れるべき？
サービスの登録画面で「英大文字・小文字・数字・記号を含める」と指定されている場合は、その条件に従う必要があります。
ただし、記号を1文字入れただけで急に安全になるわけではありません。NISTはサービス提供側に対して、大文字・小文字・数字・記号を必ず組み合わせるといった一律の文字種ルールを課さないよう求めています。
理由の一つは、厳しい文字種ルールがあると「Password1!」のような予測可能な変更に集中しやすいためです。文字種だけを見るのではなく、十分な長さ、推測されにくさ、使い回さないことを優先しましょう。
自分で覚えるなら「長いパスフレーズ」という考え方
ランダムな長い文字列を暗記するのが難しい場合は、複数の無関係な言葉を組み合わせたパスフレーズを検討できます。
作り方のイメージは次のようなものです。
［無関係な言葉A］＋［無関係な言葉B］＋［無関係な言葉C］＋［無関係な言葉D］＋必要に応じた区切り
ここで大切なのは、上の形だけを参考にして、ネット上に公開された完成例をそのまま使わないことです。また、有名な歌詞、ことわざ、映画のせりふ、SNSプロフィールから推測できる情報も避けます。
NISTも、長いパスワードを作る方法として複数の単語からなるパスフレーズを挙げています。
覚えきれないならパスワードマネージャーを使う
サービスごとに長く異なるパスワードを人間が全部覚えるのは現実的ではありません。その場合は、端末やブラウザに備わる管理機能、または信頼できるパスワードマネージャーの利用を検討できます。
NIST SP 800-63B-4では、サービス側にパスワードマネージャーや自動入力、貼り付けを利用できるようにすることを求めており、パスワード生成機能を備えた管理ツールは、より強いパスワードを選びやすくすると説明しています。
パスワードマネージャーを使う場合も、その管理ツール自体の認証は重要です。マスターパスワードや端末ロックを適切に管理し、多要素認証を利用できる場合は有効にしておきましょう。
「8文字しか設定できない」場合はどうする？
古いサービスなどでは、パスワードの最大文字数が短く制限されていることがあります。その場合は、長さで補強できないため、次の点を優先します。
- 名前・誕生日・辞書にある定番語を避ける
- 可能ならランダムに生成する
- 他サービスでは絶対に使い回さない
- 多要素認証があるなら有効にする
- 重要な情報を扱うサービスなら、より安全な認証方法が提供されていないか確認する
「8桁の面白いパスワード」を探している場合は、具体例をコピーする前に面白いパスワードを8桁で作りたい人向けの記事も参考にしてください。
パスワードは定期的に変更したほうがいい？
理由のない定期変更を一律に行う必要はありません。NIST SP 800-63B-4では、サービス提供側に対して定期的なパスワード変更を要求しないよう定め、認証情報が侵害された証拠がある場合には変更を求めるとしています。
ただし、勤務先や学校などで変更ルールが決められている場合は、その規則に従ってください。
一般的には、次のような状況では速やかな変更を検討します。
- サービスから情報漏えいや不正アクセスの通知があった
- 身に覚えのないログイン通知が届いた
- フィッシングサイトへ入力してしまった
- 他人に見られた、または送信してしまった可能性がある
- 同じパスワードを使っていた別サービスで漏えいが発生した
すでに同じパスワードを使い回している場合の直し方
全部を一度に変更しようとすると途中で管理できなくなることがあります。優先順位をつけるなら、まず他のアカウントのパスワード再設定に使うメールアカウント、次に金融・決済・通販など影響が大きいサービスから見直すと整理しやすくなります。
- 重要なアカウントから固有のパスワードへ変更する
- 同じパスワードを使っているサービスを順番に洗い出す
- パスワードマネージャーで保存・生成する
- 利用できる多要素認証を有効にする
- 不審なログイン履歴や通知がないか確認する
スマホのPINや画面ロックも15文字必要？
必ずしも同じ考え方ではありません。Webサービスへ送信して照合するパスワードと、端末内で使うPIN・画面ロック用の秘密情報は仕組みが異なります。
NISTでも、端末内で認証器を解除するPINなどは「activation secret」として、通常のWebサービスのパスワードとは分けて扱っています。端末メーカーやサービスが指定する要件に従い、推測されやすい番号を避けて設定してください。
よくある質問
12文字なら安全ですか？
文字数だけで安全を保証することはできません。長さは重要ですが、名前や有名な文章など推測しやすい内容、他サービスとの使い回し、フィッシングなど別のリスクもあります。サービスが許す範囲で十分な長さを確保し、固有のパスワードと多要素認証を組み合わせることが大切です。
メモ帳や紙に書くのは絶対にダメですか？
保管方法によってリスクが変わります。誰でも見られる付箋をPCに貼る、共有フォルダへ平文で保存するなどは避けるべきです。多数のアカウントを管理するなら、適切に保護されたパスワードマネージャーのほうが運用しやすい場合があります。
ブラウザの自動生成パスワードを使ってもいいですか？
サービスごとに長く固有のパスワードを作る方法として利用できます。生成した文字列を自分で暗記しようとせず、同期先のアカウントや端末自体も強い認証で保護してください。
パスワードを強くすれば多要素認証は不要ですか？
不要にはなりません。強いパスワードでもフィッシングなどで盗まれる可能性があります。利用できるサービスでは多要素認証を併用するほうが安全性を高めやすくなります。
まとめ｜「作り方」より先に「管理方法」を決めよう
パスワードの作り方がわからないときは、無理に複雑な文字列を自分で考える必要はありません。
- 覚えなくてよいものはパスワードマネージャーで生成・管理する
- 自分で覚えるなら、推測されにくい長いパスフレーズを検討する
- 最低文字数だけで止めず、利用できる範囲で長くする
- サービスごとに違うパスワードを使う
- 大文字・数字・記号を入れただけで安全と考えない
- 理由のない定期変更より、漏えい時の速やかな変更を重視する
- 多要素認証があるなら有効にする
「覚えやすさ」と「安全性」を一つの短いパスワードだけで両立させようとすると無理が出やすくなります。自分で覚えるものを減らし、サービスごとに固有のパスワードを使える仕組みを作ることから始めてください。