パスワード管理でいちばん大切なのは、サービスごとに違うパスワードを使うことです。総務省も、定期的に変更するよりも、機器やサービスの間で使い回さない固有のパスワードを設定するよう求めています。覚えきれない分はパスワード管理アプリに任せ、対応しているサービスでは多要素認証やパスキーを使うのが現実的な答えです。
パスワードが破られる原因
令和8年3月に国家公安委員会・総務大臣・経済産業大臣が公表した資料によると、令和7年に検挙された不正アクセス行為のうち、他人のID・パスワードを使う「識別符号窃用型」は399件でした。手口の内訳を見ると、パスワードの扱いの甘さが大きな原因になっていることがわかります。
識別符号窃用型の不正アクセスの手口（令和7年の検挙件数）
同じ資料は、利用者が気をつける点として、氏名・電話番号・生年月日など推測されやすいパスワードを使わないこと、複数のサイトやアプリで同じIDとパスワードの組み合わせを使わないことを挙げています。インターネット上に情報を保存するメモアプリが不正アクセスされ、保存していたパスワードが盗まれたと思われるケースも確認されているとして、保存場所にも注意を促しています。
使い回しが危険なのは、どこか1つのサービスから漏れたID・パスワードが、ほかのサービスへのログインに試されるためです。自分のパスワードが漏れていないか調べる方法は、個人情報の流出を確認する方法で紹介しています。
定期変更はもう不要
以前は、パスワードを定期的に変えることや、大文字・小文字・数字・記号を必ず混ぜることを求めるルールがよく見られました。いまの考え方は違います。
総務省の「国民のためのサイバーセキュリティサイト」は、NISTのガイドラインや内閣サイバーセキュリティセンターのハンドブックを引きながら、定期的な変更は不要で、サービスが侵害されたときに変更すれば十分だとしています。定期変更を強制すると、規則的で推測されやすいパスワードになったり、使い回しが増えたりするためです。
米国のNIST SP 800-63B-4は、サービス側（検証者）に向けてさらに具体的な基準を示しています。
NIST SP 800-63B-4のパスワード要件（抜粋）
| 項目 | 要件 |
|---|---|
| 最小文字数 | 単体で使うパスワードは15文字以上。多要素認証の一部として使う場合は8文字以上 |
| 最大文字数 | 少なくとも64文字まで受け付けるべき |
| 文字種のルール | 大文字・記号の混在などの構成ルールを課してはならない |
| 定期変更 | 定期的な変更を求めてはならない。侵害がわかった場合は変更させる |
| ブロックリスト | よく使われるもの、推測されやすいもの、流出済みのものは拒否する |
| ヒント・秘密の質問 | ヒントの保存や、秘密の質問の利用を求めてはならない |
| 管理アプリ | パスワード管理アプリや自動入力の利用を許可しなければならない。貼り付けも許可すべき |
自社でログイン機能を作る開発者は、この表をそのまま要件の見直しに使えます。
安全なパスワードの作り方
総務省のサイトは、理想的なパスワードを「ある程度長いランダムな英数字の並び」としています。覚える必要があるパスワードについては、関係のない複数の単語をつなげ、必要に応じて間に数字をはさむ方法を紹介しています。
避けたいパスワードと、よいパスワード
| 避けたいもの | よいもの |
|---|---|
| IDと同じ文字列 | パスワード管理アプリやブラウザの生成機能で作ったランダムな文字列 |
| 自分や家族の名前、電話番号、生年月日 | 関係のない複数の単語をつなげた長い文字列（覚える必要があるもの） |
| 辞書にある単語1つだけ | サービスごとに異なるもの |
| 同じ文字の繰り返しやキーボードの並び | 他人に教えず、メールでも送らないもの |
| 短い文字列 | 長いもの |
スマートフォンやブラウザにパスワードの生成機能があれば、それを使うのが手軽で確実です。
パスワード管理アプリを使う
サービスごとに違う長いパスワードを覚えるのは無理があります。総務省のサイトも、パスワードを覚えなくてよいパスワード管理ツールの利用を勧めています。ブラウザやスマートフォンに保存する方法でも、専用アプリを使う方法でもかまいません。
管理アプリを決める
ブラウザやOSに組み込まれた機能か、専用のパスワード管理アプリを選びます。仕事で使う場合は、会社のルールで認められているかを先に確認します。
管理アプリそのものを強く守る
マスターパスワードは長く推測されにくいものにし、多要素認証や端末の生体認証を設定します。
重要なアカウントから順に変更する
メール、ネットバンキング、勤務先のアカウント、よく使う通販サイトから、生成機能で作った固有のパスワードに置き換えていきます。
チェック機能で弱いものを洗い出す
Googleパスワードマネージャーの「パスワード チェックアップ」のように、漏洩・使い回し・脆弱なパスワードを検出する機能があれば定期的に実行します。
管理アプリにはフィッシング対策としての効果もあります。フィッシング対策協議会は、パスワード管理アプリが登録したサイトでしか自動入力しない点を挙げ、利用を勧めています。見た目がそっくりな偽サイトで自動入力が働かなければ、それ自体が警告のサインになります。
多要素認証とパスキーで守りを重ねる
パスワードだけに頼らないことも重要です。総務省は、知っているもの、持っているもの、本人の特徴の2つ以上を組み合わせる多要素認証を、システムが対応していれば使うよう勧めています。
ただし、NIST SP 800-63B-4は、手入力するワンタイムパスワードやSMSなどの方式はフィッシング耐性があるとはみなさないとしています。偽サイトに入力させて突破する手口があるためです。対応しているサービスでは、偽サイトでは使えないパスキーに切り替えると、さらに安全になります。
企業のアカウント管理で見直したい点
| 項目 | 内容 |
|---|---|
| 推測されやすいパスワードを禁止 | 必要な文字数を増やし、流出済みのパスワードを拒否する |
| 使い回しをしないよう周知 | 業務用と私用で同じパスワードを使わない |
| 退職者・委託先のID | 利用しなくなったら速やかに削除またはパスワードを変更する |
| 共有を禁止 | 同僚と共有しない、メールで送らない、人目につく場所に貼らない |
この表のうち、文字数を増やすことや退職者のID削除は、不正アクセス行為の発生状況の資料でアクセス管理者が講ずべき措置として挙げられている項目です。
よくある質問
パスワードは何文字以上にすればよいですか？
NIST SP 800-63B-4は、パスワードだけで認証する場合は15文字以上、多要素認証の一部として使う場合は8文字以上を求めています。総務省は具体的な文字数は示していませんが、ある程度長いランダムな文字列を理想としています。管理アプリの生成機能を使えば、長さを気にせず作れます。
パスワードを紙に書いておくのはだめですか？
総務省は、どうしても書き留める場合は、鍵のかかる机や金庫など安全な場所に保管するよう案内しています。人目につく場所に貼ったり、メールで送ったりするのは避けてください。
ブラウザにパスワードを保存しても大丈夫ですか？
総務省は、ブラウザやスマートフォンに保存する方法もパスワード管理ツールの一つとして挙げています。その場合は、端末のロックやアカウントの多要素認証をしっかり設定しておくことが前提です。
パスワードが漏れたかもしれないときはどうすればよいですか？
そのサービスのパスワードをすぐに変更し、同じパスワードを使っていたほかのサービスも変更します。サービスから流出の連絡があった場合は、その指示に従ってください。
出典: 総務省「国民のためのサイバーセキュリティサイト」パスワードの設定・管理、NIST SP 800-63B-4、総務省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（PDF）、Google アカウント ヘルプ「パスワード チェックアップ」、フィッシング対策協議会「月次報告書 2026/09」
