2026.08.21
脱・パスワード地獄！情報セキュリティのプロに聞く、パスワードとの上手な付き合い方
- Kindai Picks編集部
80 View
SNS、アプリ、オンラインショップ、仕事で使ういくつものシステム……あらゆるところでログイン時に求められる「パスワード」。「あれ？これのパスワードって何だっけ？」 ログインに何度も失敗して「パスワードをお忘れの場合はこちら」の案内に頼った経験は、もう数えきれない。最近は、指紋や顔を利用する生体認証も普及してきて便利になったけれど、例えば、スマートフォンを生体認証でロック解除できないときには、やっぱりパスワード（パスコード）が必要です。増え続けるパスワードの記憶や管理に疲弊してしまう“パスワード地獄”から抜け出すには、どうすればいいのでしょうか？ 人間と機械（情報システム）のより良い関係性を研究している近畿大学 情報学部 情報学科 准教授 柏崎礼生に聞きました。
この記事をシェア
リンクをコピーしました
柏崎 礼生（かしわざき ひろき）
近畿大学 情報学部 情報学科 准教授
専門：情報セキュリティ
いま、僕たちが住む世界では機械 (情報システム) と人間の関係性が問われつつあります。人間と機械の相互関係を統一的に扱う「サイバネティクス」という学問領域で、この問題の解決を目指しています。
≫教員情報詳細
パスワードを覚えるのを諦める、という逆転の発想
――まず、先生が考える“良いパスワード”“ダメなパスワード”を教えてください。
情報学部・柏崎
教科書的に答えるなら、“良いパスワード”は、サービスごとに異なる、長くて、複雑で、十分にランダムな文字列です。
反対に“ダメなパスワード”は、複数のサービスで使い回しているものや、覚えやすくするために自分なりの法則を持たせたものですね。
例えば、共通の文字列の前後にサービス名の一部を付ける、アルファベットの「a」を「@」に置き換えるといった方法です。人間にとっては覚えやすいのですが、作り方に規則があると、情報学でいうエントロピー、つまり予測しにくさが下がります。攻撃する側も、よく使われる作り方を知っていますから、その規則に沿った候補をコンピューターで大量に生成して試すことができてしまうんですよ。
反対に“ダメなパスワード”は、複数のサービスで使い回しているものや、覚えやすくするために自分なりの法則を持たせたものですね。
例えば、共通の文字列の前後にサービス名の一部を付ける、アルファベットの「a」を「@」に置き換えるといった方法です。人間にとっては覚えやすいのですが、作り方に規則があると、情報学でいうエントロピー、つまり予測しにくさが下がります。攻撃する側も、よく使われる作り方を知っていますから、その規則に沿った候補をコンピューターで大量に生成して試すことができてしまうんですよ。
――“良いパスワード”は覚えることが難しいと思うのですが、先生はどう対応されていますか？
情報学部・柏崎
僕はもう、“良いパスワード”を自分で覚えることは諦めています。現在は300ほどのWebサイトでそれぞれ異なるパスワードを使っていますが、生成も保存もパスワードマネージャーに任せています。
パスワードマネージャーとは、複数のID・パスワードを安全に保存し、必要なときに自動入力してくれる仕組みです。覚えにくいランダムなパスワードの生成もできるため、サービスごとに異なるパスワードを設定しやすくなり、使い回しによる被害の拡大を防げます。
“良いパスワード”とは、頑張れば覚えられるパスワードではありません。人間には覚えられないほどランダムで、サービスごとに異なり、信頼できる道具に管理を任せられるパスワードです。まずは「全部自分で覚えなければならない」という考えを諦めるところから始めるといいと思います。
パスワードマネージャーとは、複数のID・パスワードを安全に保存し、必要なときに自動入力してくれる仕組みです。覚えにくいランダムなパスワードの生成もできるため、サービスごとに異なるパスワードを設定しやすくなり、使い回しによる被害の拡大を防げます。
“良いパスワード”とは、頑張れば覚えられるパスワードではありません。人間には覚えられないほどランダムで、サービスごとに異なり、信頼できる道具に管理を任せられるパスワードです。まずは「全部自分で覚えなければならない」という考えを諦めるところから始めるといいと思います。
――なるほど、自分の記憶力に頼らないと。
情報学部・柏崎
僕が自分の頭で覚えているのは、パスワードマネージャー自体のパスワード（マスターパスワード）や、パソコンのログインパスワードなど、ごく限られたものだけです。僕の記憶力では、そのくらいが限界ですね。
――それらは、長くて、複雑で、十分にランダムな文字列で設定して、記憶されているということですね。
情報学部・柏崎
ランダムといっても、まったく意味を持たない文字列を記憶する力が僕にはないので、多少似通ってはいます。覚える必要がある少数のパスワードは、互いに無関係な単語や数字・記号をいくつか組み合わせた、長いパスフレーズにしています。家族の誕生日を使えば記念日を忘れずに済む、という誘惑はありますが、そこはぐっと我慢です（笑）。
――パスワードマネージャーを使っていても、パスワードを定期的に変更した方がいいですか？
情報学部・柏崎
かつては多くの組織でパスワードの定期変更が推奨されていましたが、現在の「NIST SP 800-63B」（※）では、漏洩などの兆候がない限り定期変更を求めないこととされています。ただし、サービスからパスワード漏洩の通知が届いたり、不審なログインが確認されたりした場合には、すぐに変更してくださいね。
※NIST SP 800-63B・・・米国国立標準技術研究所（NIST）が策定したデジタル認証・パスワード管理に関するガイドライン。世界中の企業や行政機関等で広く参考にされている。
自分で頑張って管理しても、漏れるときは漏れてしまうのが、パスワード
――“良いパスワード”にしていても、パスワード漏洩からは逃れきれないんですね。
情報学部・柏崎
そうなんです。パスワードが漏れるのは、文字列が単純で推測されたときだけではありません。利用しているサービスや、サービスの裏側で動いているシステムから漏れることもあります。利用者がどれだけ慎重に管理していても、サービス側の不備によってパスワードが漏れることがあります。つまり、利用者の努力だけですべての漏洩を防ぐことはできません。
僕自身も10年ほど前に経験があります。当時から、大文字・小文字、数字、記号を組み合わせた、かなり“良いパスワード”を使っているつもりでした。総当たり攻撃（想定されるあらゆるパスワードパターンを自動生成して不正アクセスを試みること）や辞書攻撃（パスワードとしてよく使われる単語や人物名などのリストを組み合わせて不正アクセスを試みること）では簡単に破られない自信もあったんです。それなのに、ある日、「あなたのパスワードが漏れています」と指摘されました。慌ててこれまでとはまったく違う文字列に変更したのですが、翌日にはその新しいパスワードもあっさり漏れていて、また「あなたのパスワードが漏れています」の通知が届くんです。
僕自身も10年ほど前に経験があります。当時から、大文字・小文字、数字、記号を組み合わせた、かなり“良いパスワード”を使っているつもりでした。総当たり攻撃（想定されるあらゆるパスワードパターンを自動生成して不正アクセスを試みること）や辞書攻撃（パスワードとしてよく使われる単語や人物名などのリストを組み合わせて不正アクセスを試みること）では簡単に破られない自信もあったんです。それなのに、ある日、「あなたのパスワードが漏れています」と指摘されました。慌ててこれまでとはまったく違う文字列に変更したのですが、翌日にはその新しいパスワードもあっさり漏れていて、また「あなたのパスワードが漏れています」の通知が届くんです。
——なんと、そんなことがあったのですか。
情報学部・柏崎
最初の指摘を受ける前日に、フィッシングサイトでユーザー名とパスワードを抜かれた人がいて、その人のログイン情報を使って同じシステムに不正アクセスがありました。でも、僕がパスワード漏洩に遭ったのは、別のシステムです。
調べてみると、システム同士で認証を連携させるプログラムが、処理の途中でパスワードの文字列を一時的にファイルに書き出し、そのファイルが第三者から見える状態にあったんです。つまり、僕がどれだけ慎重にパスワードを考えて設定しても、変更した瞬間に、悪意ある第三者に漏れる仕組みだった。“良いパスワード”は推測されにくくするために必要ですが、それだけですべての漏洩を防げるわけではないんですよ。
調べてみると、システム同士で認証を連携させるプログラムが、処理の途中でパスワードの文字列を一時的にファイルに書き出し、そのファイルが第三者から見える状態にあったんです。つまり、僕がどれだけ慎重にパスワードを考えて設定しても、変更した瞬間に、悪意ある第三者に漏れる仕組みだった。“良いパスワード”は推測されにくくするために必要ですが、それだけですべての漏洩を防げるわけではないんですよ。
――いくら自分でパスワード管理を徹底していても、漏れるときは漏れてしまうんですね。
情報学部・柏崎
漏洩そのものを完全に防ぐのは難しいので、大切なのは、漏れたときの影響を最小限にとどめることです。そのためにまず徹底してほしいのが、パスワードを使い回さないこと。一つのサービスからパスワードが漏れても、ほかのサービスで異なるパスワードを使っていれば、被害は基本的にその範囲で止まります。
反対に、同じパスワードや似通ったパスワードをメールやSNS、ネット通販など複数のサービスで使っていると、漏れたIDとパスワードの組み合わせを別のサービスでも試す「パスワードリスト攻撃」を受けます。どれだけ“良いパスワード”でも、使い回していれば、ひとつの漏洩が複数の被害につながりかねません。「絶対に漏らさない」だけでなく、「漏れても被害を広げない」と考えることが重要です。 そして、万が一使いまわしているパスワードが漏れた場合は、即座にすべて変更する対応をとる必要があります。
反対に、同じパスワードや似通ったパスワードをメールやSNS、ネット通販など複数のサービスで使っていると、漏れたIDとパスワードの組み合わせを別のサービスでも試す「パスワードリスト攻撃」を受けます。どれだけ“良いパスワード”でも、使い回していれば、ひとつの漏洩が複数の被害につながりかねません。「絶対に漏らさない」だけでなく、「漏れても被害を広げない」と考えることが重要です。 そして、万が一使いまわしているパスワードが漏れた場合は、即座にすべて変更する対応をとる必要があります。
パスワードマネージャーやパスキー。信頼できる仕組みに任せる方が安全
――もしかして、パスワードマネージャーのパスワード（マスターパスワード）が漏洩したら、ひとたまりもないのではないでしょうか。
情報学部・柏崎
もちろん、マスターパスワードが第三者に知られたり、利用している端末から認証情報を盗まれたりする可能性はゼロではありません。そこで考えたいことは、「起こり得るかどうか」だけではなく、どの程度起こりやすいかと、起きたときの影響です。パスワードマネージャーにもリスクはありますが、多数のパスワードを人間が自力で管理しようとして使い回すリスクと比べれば、信頼できる仕組みに任せる方が、全体として安全性を高めやすいと考えます。リスクをゼロにはできません。だから、ゼロか100かではなく、どの選択が全体としてより安全なのかを考えることが大切です。
――自分で管理していたものを仕組みに委ねるには勇気が必要ですが、今こそ、その勇気をもつときなんですね。
情報学部・柏崎
そうですね。自分の情報は自分で覚えて管理しないといけないと思いがちですが、100個、200個の異なるパスワードを覚えるなんて、記憶力コンテストでもない限り無理ですよね。覚えられないものを無理に人間が抱え込むと、結局は使い回したり、分かりやすい法則をつけたりしてしまう。だったら、そこは信頼できる仕組みに任せた方がいい。頼れるものには頼る。人間が頑張るべきなのは、マスターパスワードを長く、複雑で、使い回しのない“良いパスワード”にして、正しく管理することです。
――パスワードマネージャーの選び方に、ポイントはありますか？
情報学部・柏崎
僕なら、特別な理由がなければ、まずAppleやGoogle、Microsoftのように、OSやブラウザを提供している企業のものを選びます。Appleの「パスワード」、Googleの「パスワード マネージャー」、Microsoft Edgeの「Microsoft パスワードマネージャー」などですね。
情報学部・柏崎
サードパーティー製がすべて危険という話ではありません。ただ、運営実績やアップデートが継続されるかまで、自分で見極める必要があります。普段使っている端末に標準で入っていて、継続的に更新されるものを一定信頼する方が、多くの人にとっては現実的だと思います。
――最近は、生体認証などを利用する「パスキー」も頼れる存在として出てきました。
情報学部・柏崎
パスキーは、いわゆるパスワードレスの仕組みです。パスワードの代わりに、スマートフォンやパソコンの顔認証・指紋認証・端末の暗証番号などで本人確認する。文字列を覚えたり入力したりする必要がなく、偽サイトによる盗み取りにも強いのが特徴です。僕は、パスキーにかなり期待しています。銀行やクレジットカード会社でも対応が進んでいます。
パスキーでは、サービスごとに公開鍵と秘密鍵のペアが作られ、秘密鍵は端末や認証情報を管理する仕組みに安全に保管されます。パスワードマネージャーとまったく同じものではありませんが、自分で秘密の文字列を覚えるのではなく、信頼できる仕組みに管理を任せるという点は共通しています。結局は、自分で全部覚えるのではなく、信頼できる仕組みに任せる。あとはサービス側の対応次第なので、本当にどんどん普及してほしいです。
パスキーでは、サービスごとに公開鍵と秘密鍵のペアが作られ、秘密鍵は端末や認証情報を管理する仕組みに安全に保管されます。パスワードマネージャーとまったく同じものではありませんが、自分で秘密の文字列を覚えるのではなく、信頼できる仕組みに管理を任せるという点は共通しています。結局は、自分で全部覚えるのではなく、信頼できる仕組みに任せる。あとはサービス側の対応次第なので、本当にどんどん普及してほしいです。
パスワードとの付き合い方は、つまり、自分との、家族との、他人との付き合い方
――パスワード対策を「一人ひとりが気をつけよう」で済ませてはいけない気がしてきました。
情報学部・柏崎
人間は忘れるし、間違えるし、疲れていると判断も鈍ります。そこに対して「正しい方法を守れなかったあなたが悪い」と責めても、セキュリティは良くならないんですよ。僕はよく“正しさの棍棒”と言うんですが、自分が正しいからといって、それで人を叩いていいわけではない。
組織なら、信頼できるパスワードマネージャーを使えるようにして、使い方を短く分かりやすいドキュメントにして、必要なときにすぐ見つけられるようにする。暗記が得意な人にも、道具に任せたい人にも、それぞれ選べる方法がある。できる人、できない人のどちらかに合わせるのではなく、どちらでもうまくいく仕組みにすることが大切です。
組織なら、信頼できるパスワードマネージャーを使えるようにして、使い方を短く分かりやすいドキュメントにして、必要なときにすぐ見つけられるようにする。暗記が得意な人にも、道具に任せたい人にも、それぞれ選べる方法がある。できる人、できない人のどちらかに合わせるのではなく、どちらでもうまくいく仕組みにすることが大切です。
――もしパスワードが漏れてしまったら、つい“正しさの棍棒”を持ち出してしまいそうです。
情報学部・柏崎
失敗の裏には、必ず背景があります。
僕自身、以前、自分で書いたプログラムをGitHub（世界中のエンジニアがプログラムのソースコードを保存・共有するプラットフォーム）に公開した際、ソースコードの中にあるシステムへのユーザー名とパスワードを残したままアップロードしてしまったことがあります。気づいてすぐに削除しましたが、GitHubには変更履歴が残るため、公開から30分後には不正利用が始まっており、後日、不正利用されたシステムから何百万円にものぼる利用料の請求を受けました。幸い、請求は取り下げられて事なきを得ましたが、トラブルが収束するまでの数カ月間、生きた心地がしませんでしたよ。
もちろん、直接の間違いはパスワードを公開したことです。でも、「次から気をつけよう」だけで終わらせてはいけないと思ったんです。僕は当時、自分が書いたプログラムを、なんでもかんでもGitHubにアップロードしていました。それは本当に必要だったのか。公開したくなる気持ちはどこから来ていたのか。この大トラブルは、操作ミスへの対策だけでなく、自分の考え方や行動のクセを見つめ直すきっかけにもなりました。
僕自身、以前、自分で書いたプログラムをGitHub（世界中のエンジニアがプログラムのソースコードを保存・共有するプラットフォーム）に公開した際、ソースコードの中にあるシステムへのユーザー名とパスワードを残したままアップロードしてしまったことがあります。気づいてすぐに削除しましたが、GitHubには変更履歴が残るため、公開から30分後には不正利用が始まっており、後日、不正利用されたシステムから何百万円にものぼる利用料の請求を受けました。幸い、請求は取り下げられて事なきを得ましたが、トラブルが収束するまでの数カ月間、生きた心地がしませんでしたよ。
もちろん、直接の間違いはパスワードを公開したことです。でも、「次から気をつけよう」だけで終わらせてはいけないと思ったんです。僕は当時、自分が書いたプログラムを、なんでもかんでもGitHubにアップロードしていました。それは本当に必要だったのか。公開したくなる気持ちはどこから来ていたのか。この大トラブルは、操作ミスへの対策だけでなく、自分の考え方や行動のクセを見つめ直すきっかけにもなりました。
――パスワードは、自分に「もしも」があったときには家族にも関わってきます。
情報学部・柏崎
亡くなった人のパスワード、いわゆるデジタル遺品については、まだ決定的な解決策がなく、今後の研究に期待が集まっている分野です。例えば、前述のとおり、僕が利用しているWebサービスは約300あります。仮にIDとパスワードの一覧を遺族へ残しても、遺族は、どのサービスで何をしていたのか、解約が必要なのか、それをどう手続きするのかまでは分からないでしょう。ログインさえできれば何とかなる、というのはおごりなんです。
一方で、人間の生き死ににまで、情報リテラシー的な“正しさ”を持ち込みすぎなくてもいいとも思います。必要な情報を家族と共有したり、エンディングノートに残したりしてもいい。もちろん、見られたくないものを秘密にしておく自由もあります。デジタル遺品を整理することが、残された人にとって、その人が何を考え、どう生きていたのかを知る時間になることもあります。
一方で、人間の生き死ににまで、情報リテラシー的な“正しさ”を持ち込みすぎなくてもいいとも思います。必要な情報を家族と共有したり、エンディングノートに残したりしてもいい。もちろん、見られたくないものを秘密にしておく自由もあります。デジタル遺品を整理することが、残された人にとって、その人が何を考え、どう生きていたのかを知る時間になることもあります。
――パスワードとの付き合い方って、なんだか人生にまで及びますね。
情報学部・柏崎
認証とは、結局「その人が本人であること」を確かめる行為です。普段はログインするための鍵として使っていますが、アカウントの向こうには、その人の仕事や買い物、会話、趣味、人とのつながりが残っています。それを誰に託すのか、何を公開し、何を秘密にするのか。パスワードとの付き合い方は、自分の限界をどう受け入れるか、家族と何を共有するか、失敗した他人とどう向き合うかという話でもある。完璧に管理することよりも、頼れる仕組みと人をつくりながら、一緒に生きていくことの方が大切なんだと思います。
この記事を書いた人
大森ちはる
元・保険会社のシステムエンジニア、現・フリーランスの編集者。今の仕事に就いたきっかけは、SE時代に開発者とユーザー部門の橋渡しをするなかで、目線も思考回路も異なる両者が共有できる「文脈」の発掘と組み立てがおもしろかったから。
取材・執筆：大森ちはる
編集：アール・プランニング
この記事をシェア
- リンクをコピーしました
