「パスワードを使い回しているけれど、サービスごとに変えるのは面倒……」という人は多いはずです。しかし同じパスワードの使い回しは、1つのサービスで情報が漏れると他のアカウントまで連鎖的に乗っ取られる典型的な原因になっています。この記事では、使い回しがなぜ危険なのか、不正ログインの実態、そして今日から無理なく続けられる管理方法を順番に説明します。
パスワードを使い回すと何が起きるのか
「パスワードリスト攻撃」の仕組み
攻撃者は、どこかのサービスから流出したID・パスワードの組み合わせをリスト化し、別のサービスのログイン画面に次々と入力して試します。これを「パスワードリスト攻撃」と呼びます。1つのパスワードを複数のサービスで使い回していると、1か所の漏洩がきっかけで、メール・ネット銀行・ECサイトなど他のアカウントまで連鎖的に乗っ取られます。IPA（情報処理推進機構）の「情報セキュリティ10大脅威2026」個人編でも、「インターネット上のサービスへの不正ログイン」は2016年から11年連続で選出されており、パスワードの使い回しが主な原因として挙げられています。
警察庁のデータで見る不正ログインの実態
警察庁の発表によると、令和7年の不正アクセス行為の認知件数は7,190件で、前年から約34.2%増加しました。検挙件数は431件で、その手口の9割以上が他人のID・パスワードを悪用する「識別符号窃用型」です。入手方法としては「パスワードの設定・管理の甘さ」と「フィッシングサイト」が目立つと報告されています。被害の多くは「ネットバンキングでの不正送金」で、全体の約66%を占めています（出典: 警察庁 令和7年の不正アクセス行為の発生状況等）。
危険なパスワードの管理方法
こんな作り方・使い方は危険
- 誕生日、電話番号、名前など本人から推測されやすい文字列
- 短い文字列や、辞書に載っている単語そのまま
- 複数のサービスで同じパスワードを使い回す
- パスワードを書いた付箋をパソコンのモニター周りに貼る
- パスワード一覧をメールやメモアプリに平文で保存する
総務省「国民のためのサイバーセキュリティサイト」は、覚えやすくするための工夫として「関連性のない複数の単語を数字でつなぐ」方法や、可能であればランダムな英数字の文字列を使うことを案内しています。いずれの場合も、サービスごとに別のパスワードを設定することが前提です。
パスワード管理で防げること・防げないこと
防げること
サービスごとに異なる十分な長さのパスワードを設定すれば、パスワードリスト攻撃や、辞書に載っている単語・既知の漏洩パスワードを試す攻撃は大幅に防げます。1か所が漏れても他のアカウントへの連鎖を止められるのが最大の効果です。
防げないこと
一方で、パスワードの強さだけでは防げないケースもあります。フィッシングサイトに誘導されて自分からID・パスワードを入力してしまった場合や、利用しているサービス側のシステムから情報が流出した場合は、どれだけ複雑なパスワードでも意味を持ちません。フィッシングの見分け方は迷惑メール・フィッシングメールの見分け方と対処法で詳しく解説しています。こうしたケースに備えるには、パスワード以外の認証手段を重ねる「多要素認証」が欠かせません。
今日からできるパスワード管理の具体的な方法
1. サービスごとに異なるパスワードを設定する
特に、メールアドレス・ネット銀行・クレジットカード会社・ECサイトなど、お金や個人情報に直結するサービスは必ず専用のパスワードにします。SNSやポイントサイトなど影響が小さいサービスから始めて、優先度の高いものだけでも先に変更すると負担が減ります。
2. パスワード管理ツールを使う
すべてのパスワードを記憶するのは現実的ではありません。スマートフォンやWebブラウザに標準搭載されているパスワード保存機能（Google パスワードマネージャー、iCloudキーチェーンなど）や、専用のパスワード管理アプリを使えば、サービスごとに異なる複雑なパスワードを自動生成・自動入力できます。フィッシング対策協議会の「フィッシングレポート2025」では、パスワードマネージャーが自動入力の際にサイトのドメインやTLS証明書を検証するため、偽サイトへの入力を防げる利点があると説明されています。手書きのメモで管理する場合は、パソコンから離れた場所に保管し、画面やキーボード周りに貼らないようにします。また、家族と共有のパソコンや職場の共有端末、ネットカフェなどでパスワード管理ツールにログインしたままにすると、次に使う人に閲覧されるおそれがあります。使い終わったら必ずログアウトし、「次回から自動的にログインする」設定は共有端末では避けてください。
3. 多要素認証・パスキーを設定する
パスワードに加えて、SMSで送られる確認コードや、指紋・顔認証などの生体認証を組み合わせる「多要素認証」を設定すると、パスワードだけが漏れても不正ログインされにくくなります。対応しているサービスでは、パスワードの入力自体を不要にする「パスキー（FIDO2）」への切り替えも有効です。設定できるサービスから順に有効化します。
4. 物理セキュリティキーでより強固にする
重要なアカウントはログイン時にUSBやNFCで接続するセキュリティキーを要求する設定にすると、パスワードとSMSコードだけの認証より不正ログインの難易度が上がります。Amazonでセキュリティキーを見る 対応しているサービスは年々増えていますが、対応状況は各サービスの設定画面で確認してください。
パスワードは定期的に変更したほうがいい?
「パスワードは定期的に変更すべき」という考え方は、今はそのまま当てはまりません。総務省は2018年に、十分な長さ・複雑さのパスワードであれば定期的な変更は不要という見解を示しています。理由は、変更を強制すると「末尾の数字を1つ増やすだけ」のような単純な変更や、使い回しにつながりやすくなるためです。一方で、数字4桁だけのような極端に短いパスワードは、長期間使い続けるリスクが残るため、見直しが必要とされています。つまり「定期的に変えること」より「サービスごとに違う、十分な長さのパスワードを最初から設定すること」のほうが重要です。漏洩が疑われるときや、使い回しに気づいたときは、その時点で変更します。
よくある質問
Q. パスワードは何文字以上にすればいいですか?
サービスが設定できる上限に近い長さを基本にします。総務省は、覚えやすくする工夫として「関連性のない複数の単語を数字でつなぐ」方法や、ランダムな英数字の文字列を案内しています。短い文字列や辞書に載っている単語そのままは避けます。
Q. パスワード管理ツールにすべてのパスワードを預けるのは不安です
紙のメモで管理する場合も、パソコンやスマートフォンから離れた場所に保管すれば一定のリスク低減になりますが、火災・紛失・盗難には弱くなります。ブラウザやOS標準のパスワード管理機能は、ログインしている端末自体のロック（指紋・顔認証・PIN）で保護されているため、まずはそこから使い始めると導入の負担が小さくなります。
Q. 家族や職場でパスワードを共有する必要がある場合は?
共有が必要なサービスだけ専用のパスワードを決め、個人のメール・ネット銀行・SNSなどとは別にします。同じパスワードを個人用のサービスにも使い回さないことが重要です。
パスワードが漏洩したかもと思ったら
- 該当サービスのパスワードを直ちに変更する
- 同じパスワードを使っている他のサービスも、使い回している分だけすべて変更する
- ネット銀行・クレジットカード会社など、お金に関わるサービスのログイン履歴・取引履歴を優先して確認する
- 身に覚えのない取引やログインがあれば、各サービスの窓口とカード会社に連絡する
- 対応に迷う場合は警察相談専用電話「#9110」、消費者ホットライン「188」に相談する
パソコン自体がウイルスに感染してパスワードを盗み取られているケースもあります。あわせてPCのセキュリティソフトの選び方を確認し、端末側の対策も見直しておくと安心です。公共Wi-Fiなど安全性が低い回線からログインする機会が多い人は、VPNで防げること・防げないことも合わせて確認してください。
まとめ：こんな人は今すぐパスワード管理を見直そう
同じパスワードを複数のサービスで使っている人、誕生日や短い文字列をそのまま使っている人は、1か所の漏洩が他のアカウントにまで広がる状態にあります。すべてを一度に変える必要はありません。お金に関わるサービスから優先してパスワードを分け、パスワード管理ツールと多要素認証を組み合わせることから始めてください。
