安全なパスワードの作り方：長さ・パスフレーズ・多要素認証（MFA）のポイント
強いパスワードの作り方を、NISTやCISAの最新の推奨に沿って解説。長く・使い回さず・ランダムにすること、パスフレーズの作り方、パスワード管理アプリの活用、多要素認証（MFA）の設定方法を紹介します。
このガイドは一般的な情報提供を目的としており、金融・法律・技術に関する専門的な助言ではありません。メニューやルールは端末や国によって異なる場合があります。
強いパスワードとは、長くてランダムで、1つのアカウントだけに使うパスワードのことです。現在の米国政府の指針では、複雑さよりも長さが重視されています。CISAは、パスワード管理アプリが生成するランダムな文字列や、互いに関係のない5〜7個の単語を並べたパスフレーズなど、少なくとも16文字のパスワードを推奨しています。
文字を記号に置き換えるよりも、長さと使い回さないことのほうがはるかに重要です。大切なアカウントに多要素認証（MFA）を追加すれば、万一パスワードが漏れても守られます。
要点まとめ
- 長くする： 少なくとも16文字を目指しましょう。長いほど強くなります。
- 使い回さない： アカウントごとに別のパスワードを使います。
- ランダムにする： パスワード管理アプリに生成させるか、互いに関係のない5〜7個の単語をパスフレーズにします。
- 古いルールは不要： 記号を必ず入れたり、定期的にパスワードを変更したりする必要はありません。漏えいした可能性があるときに変更しましょう。
- パスワード管理アプリを使って、パスワードの作成・保存・入力を任せます。
- 多要素認証（MFA）をオンにする： メール、銀行、医療など大切なアカウントで設定しましょう。
強いパスワードの条件とは？
攻撃者が手作業でパスワードを推測することはほとんどありません。よく使われるパスワード、過去に漏えいしたパスワード、予測しやすいパターンなどの膨大なリストを試すソフトウェアを使います。強いパスワードは、次の3つの点でこうしたツールに対抗できます。
- 長さ。 1文字増えるごとに、考えられる組み合わせの数が何倍にも増えます。だからこそ、NISTもCISAも長さを重視しています。
- ランダムさ。 単語、名前、日付、「qwerty」のようなキーボードの並びは、攻撃者が真っ先に試すものです。本当にランダムに選んだものは、はるかに破られにくくなります。
- 使い回さないこと。 あるWebサイトから情報が漏えいすると、犯罪者は盗んだメールアドレスとパスワードをほかのサイトでも試します。パスワードを使い回していると、1回の漏えいで多くのアカウントに入られてしまいます。
現在の指針の内容
米国国立標準技術研究所（NIST）は、多くの組織が従うパスワードのルールを定めています。NISTのデジタルアイデンティティガイドラインでは、サービス側に次のことを求めています。
- パスワードだけでサインインする場合は 15文字以上、MFAと組み合わせる場合は8文字以上のパスワードを必須にする。
- 64文字以上 のパスワードを使えるようにする。
- 「大文字・数字・記号をそれぞれ1つ以上」のような文字の種類の組み合わせを 強制しない。
- 定期的なパスワード変更を 強制しない。ただし、パスワードが漏えいした形跡がある場合は変更を求める。
- 新しいパスワードを、よく使われるパスワードや過去に漏えいしたパスワードのリストと照合する。
- パスワード管理アプリ、自動入力、貼り付けを使えるようにする。
米国サイバーセキュリティ・社会基盤安全保障庁（CISA）も、一般の人向けに同様のアドバイスをしています。少なくとも16文字にすること、アカウントごとに別のパスワードを使うこと、そしてパスワード管理アプリに任せることです。
強いパスワードの作り方（手順）
方法1：パスワード管理アプリに生成させる（最適）
- 信頼できるパスワード管理アプリを選びます。多くのブラウザやスマホに標準で搭載されているほか、単体のアプリもあります。
- 管理アプリは、長くて使い回していないマスターパスワードまたはパスフレーズで保護し、MFAもオンにします。
- アカウントを作成・更新するときに、管理アプリの パスワードを生成 機能を使います。
- 長さは少なくとも16文字に設定します。サイトが許可していれば、さらに長くしましょう。
- 管理アプリに保存します。次回からは自動で入力されるので、覚える必要はありません。
方法2：覚えられるパスフレーズを作る
パソコンのログインやパスワード管理アプリのマスターパスワードなど、記憶して入力しなければならない少数のパスワードには、この方法を使います。
- 互いに関係のない単語を5〜7個 選びます。ランダムであるほど良いです。歌詞、名言、自分に関することは避けましょう。
- 「ランダムっぽく感じる」単語を自分で選ぶよりも、偶然に任せて選ぶ（たとえば単語リストを使ってサイコロを振る、辞書を適当なページで開くなど）ほうが強くなります。
- サイトが許可していれば、スペースや区切り記号を入れても入れなくてもかまわないので、単語をつなげます。例：lantern-gravel-oyster-tundra-pickle（この例は公開されてしまったので使わないでください）。
- 16文字以上あることを確認します。5つの単語のパスフレーズなら、ほとんどの場合これを簡単に満たします。
- 1つのアカウントだけに使います。
方法3：今の弱いパスワードを見直す
- メール、銀行、ほかのアカウントのパスワードをリセットできるアカウントなど、最も大切なアカウントから始めます。
- 短いパスワードや使い回しているパスワードを、生成したパスワードか新しいパスフレーズに置き換えます。
- アカウントのセキュリティ設定を開いたついでに、MFAをオンにします。
- パスワード管理アプリが表示する「使い回し」や「弱い」パスワードの一覧をやることリストにして、残りも少しずつ見直していきます。
弱いパスワードと強いパスワードの比較
| パスワードの種類 | パターンの例 | 強さ | 理由 |
|---|---|---|---|
| よくある単語を記号に置き換えたもの | P@ssw0rd1 | 弱い | 短く、どの攻撃者のリストにも載っている |
| 名前や日付 | 名前 + 生まれた年 | 弱い | SNSで簡単に調べられる |
| 短いランダムな文字列 | ランダムな8文字 | 普通 | 推測しにくいが、現在の指針では短すぎる |
| パスフレーズ | 互いに関係のないランダムな5〜7単語 | 強い | 長くて覚えやすい |
| 生成されたランダムな文字列 | ランダムな16文字以上 | 最も強い | 長くてランダムで、保存も任せられる |
この表はパターンを示したもので、実際のパスワードではありません。どのWebサイトに載っている例のパスワードも、絶対に使わないでください。
多要素認証（MFA）をオンにする
MFAはサインイン時に2つ目の確認手順を追加するため、パスワードが盗まれただけではサインインできません。CISAは、メール、銀行、医療など大切なアカウントでオンにするよう勧めています。メールを乗っ取られるとほかのパスワードをリセットされてしまうため、まずはメールから設定しましょう。
主なMFAの方法は次のとおりです。
- 認証アプリ：30秒ごとに新しいコードを表示します。
- SMSやメールで届くコード：MFAがないよりは良いですが、CISAによると、SMSや音声のコードはフィッシングやSIMスワップ攻撃に弱いため、最後の手段と考えましょう。
- 生体認証：指紋や顔認証など。
- FIDOベースのサインイン：物理的なセキュリティキーなど。CISAは、FIDO/WebAuthnを広く利用できる唯一のフィッシング耐性のある方法としています。
設定するには、アカウントの セキュリティ や サインイン の設定で、「2段階認証」や「多要素認証」などの項目を探します。バックアップコードは安全な場所に保管しておきましょう。
避けるべきよくある失敗
- パスワードを使い回す。 これが最大のリスクです。1回の漏えいで、同じパスワードを使っているすべてのアカウントが危険にさらされます。
- 文字の置き換えに頼る。 「a」を「@」にしたり、末尾に「1!」を付けたりするのは予測しやすく、解読ツールが自動的に試します。
- 個人情報を使う。 ペットの名前、誕生日、好きなチームなどはネットで簡単に調べられます。
- 保護されていないメモや表計算ソフトにパスワードを書く。 代わりに、暗号化されたパスワード管理アプリを使いましょう。
- パスワードやMFAのコードを人に教える。 本物の企業が、電話、SMS、メールでパスワードやサインインコードを聞くことはありません。ネット詐欺の見分け方とフィッシングの手口を確認しておきましょう。
- 理由もなく定期的にパスワードを変える。 NISTは、定期的な変更の強制をもう推奨していません。定期変更は、少し変えただけの予測しやすいパスワードにつながりがちだからです。漏えいした兆候があるときに変更しましょう。
よくある質問
強いパスワードは何文字くらいにすべきですか？
CISAは少なくとも16文字を推奨しており、長いほど良いとしています。NISTは、パスワードだけでサインインする場合、サービス側は15文字以上を必須にすべきとしています。パスワード管理アプリを使えば、長いパスワードも簡単に扱えます。
パスフレーズは複雑なパスワードより本当に安全ですか？
本当にランダムな単語で作った長いパスフレーズは、記号だらけの短いパスワードより強いことが多く、しかもずっと覚えやすいです。複雑さのルールよりも、長さのほうが強さを高めます。
パスワードは定期的に変えるべきですか？
現在のNISTの指針では、決まったスケジュールでパスワードを変える必要はないとしています。サービスから漏えいの報告があったとき、不審な動きに気づいたとき、誤って人に教えてしまったときは、すぐに変更しましょう。
パスワード管理アプリは安全ですか？
強いマスターパスワードとMFAで保護された信頼できるパスワード管理アプリは、パスワードを使い回したり紙に書いたりするよりはるかに安全です。また、すべてのサイトで別々のパスワードを使うことが現実的にできるようになります。
パスワードがデータ漏えいに含まれていたらどうすればいいですか？
そのパスワードと、同じパスワードを使っていたすべてのアカウントのパスワードをすぐに変更しましょう。MFAをオンにし、最近のアカウントの利用履歴を確認します。お金に関わるアカウントなら、明細も確認しましょう。
ブラウザにパスワードを保存させても安全ですか？
主要なブラウザやスマホに搭載されているパスワード管理機能は、特に端末のロックとMFAをオンにしていれば、多くの人にとって妥当な選択です。ブラウザのキャッシュを削除する前に、頼りにしている保存済みパスワードまで消してしまわないよう確認しましょう。