パスワードの使い回しはなぜ危ない？覚えられない人の解決法（管理アプリ・パスキー・紙）と、どこから直すかの順番

01この記事でわかること（3行まとめ）

• 危ない理由は「1か所漏れると全部試される」からです。漏れたIDとパスワードの一覧を、別のサービスで次々に試す攻撃があります。
• 覚えなくて構いません。パスワード管理アプリ、ブラウザーの保存機能、パスキー、紙のノートのどれかに任せます。総務省もパスワード管理ツールを勧めています。
• 全部を一度に直さなくて大丈夫です。メール、お金に関わるもの、通販の順に、今日1つから始めます。

02使い回しはなぜ危ない？被害のしくみ

総務省は、サービスから流出したアカウント情報を使って、ほかのサービスへの不正ログインを試す攻撃の手口が知られていると説明しています。これがリスト型攻撃です。国家サイバー統括室のハンドブックでも、流出した名簿やIDとパスワードのリストを入力して試す攻撃として紹介されています。

流れは単純です。

1. どこか1つのサービスから、IDとパスワードの組み合わせが漏れる。
2. 攻撃者が、その組み合わせを別のサービスのログイン画面で試す。
3. 同じ組み合わせを使っていたサービスに、そのまま入られる。

大事なのは、自分に落ち度がなくても1の段階は起きることです。国家サイバー統括室のコラムは「パスワードは必ず漏洩すると想定して対処すべし」という前提で書かれています。例えば20のサービスで同じ組み合わせを使っていれば、1回の流出で20サービス分が一度に漏れるのと同じことになると説明しています。「攻撃者はパスワードを使いまわしている人を狙っています」とも述べています。

強いパスワードでも、この攻撃は防げません。どんなに長く複雑でも、同じものを使っていれば、漏れた1か所からそのまま使われてしまうからです。使い回さないことは、パスワードの強さとは別の話として考えてください。

03公的な統計で見る不正ログイン

警察庁などの公表（令和8年3月12日）によると、令和7年の不正アクセス行為の認知件数は7,190件で、前年より1,832件増えました。不正アクセスのあとに何をされたかの内訳は次のとおりです。

検挙された事件の手口も見てみましょう。他人のIDとパスワードを使った不正アクセス399件のうち、「パスワードの設定・管理の甘さにつけ込んで入手」が84件（21.1%）で最も多くなっています。「フィッシングサイトから入手」は77件（19.3%）、「インターネット上に流出・公開されていた識別符号を入手」は9件（2.3%）でした。

ただし、読み方には注意が必要です。これは検挙された事件の内訳で、被害全体の割合ではありません。「パスワードの使い回しが原因の被害は何件」という数字そのものは、確かめた統計には出ていません。それでも、警察庁は同じ資料の中で、複数のウェブサイトやアプリで同じIDとパスワードの組み合わせを使わないよう注意を呼びかけています。

使い回している人はどれくらいいる？

IPAの案内によると、2022年度の意識調査で使い回しをしていない人は、パソコン利用者で平均58.1%、スマートフォン利用者で46.6%でした。国家サイバー統括室のコラムも、セキュリティ企業が2022年10月に国内700名を対象に行った調査として、87.6%が使い回している、約44.1%は5つ以上のサイトで同じものを使っているという結果を紹介しています。調査によって聞き方が違うので単純には比べられませんが、珍しいことではありません。自分を責める必要はありません。ここから直していけば十分です。

04覚えられない人のための4つの解決法

総務省は、サービスごとに異なる十分に安全なパスワードを覚えておくのは大変なので、覚える必要のないパスワード管理ツールを使うことも推奨されるとしています。つまり、公的機関も「全部覚えなさい」とは言っていません。次の4つから、自分に合うものを選んでください。組み合わせても構いません。

ブラウザーやスマホの保存機能

総務省も、スマートフォンやウェブブラウザーの標準機能のパスワード生成と保存を活用するよう案内しています。

Googleの場合、Androidの端末やChromeにログインすると、パスワードとパスキーをGoogle パスワード マネージャーに保存できます。保存したものは Android、Chrome、ウェブ（passwords.google.com）で確認と管理ができます。Chromeの場合は、右上のその他アイコンから[パスワードと自動入力]→[Google パスワード マネージャー]を開きます。

Appleの場合、iOS 18、iPadOS 18、macOS Sequoia、visionOS 2以降の「パスワード」アプリで、パスワード、パスキー、確認コードを管理できます。Appleは「多くの場合、最も安全なパスワードは、自分で作成していないパスワードです」と説明しています。対応するサイトやアプリに新しいアカウント名を入れると、端末が複雑なパスワードを提案してくれます。iCloudキーチェーンを有効にすると、承認済みのデバイス間で同期されます。

パスワード管理アプリ

専用のアプリは、長いパスワードの自動生成や、ログイン時の自動入力ができます。国家サイバー統括室のハンドブックも、パスワードをアプリや紙で管理することが有効だとしています。使うときの注意は3つです。

• 親玉を守る：総務省は、マスターパスワード（覚えられる十分に安全なもの）や、端末のロック（生体認証など）で守る必要があるとしています。
• 多要素認証と組み合わせる：国家サイバー統括室のコラムは、マルウェアや管理サービスへの攻撃でパスワードのデータがまとめて盗まれるリスクに触れ、理解したうえで多要素認証と組み合わせるよう勧めています。
• クラウド連携を理解して選ぶ：同じハンドブックは、重要な情報が複数箇所にあれば流出の可能性が増えるとして、クラウド連携を無条件には勧めず、まずスマホ内だけで管理できるものを優先するよう案内しています。一方で端末を替えたときの手間は増えるので、自分の使い方と照らして決めてください。

どのアプリがあるかは、図鑑のパスワード管理の分類ページで見比べられます。言葉の意味はパスワード管理ツールの用語ページにまとめています。Googleは、レビューや評判を参考に、信頼できるパスワード マネージャーを選ぶよう案内しています。

メモアプリに書くのは、管理アプリとは違います。警察庁は、インターネット上に情報を保存するメモアプリなどが不正アクセスされ、保存していたパスワードなどが盗まれたと思われるケースも確認されているとして、保存場所に十分注意するよう呼びかけています。

パスキー

パスキーは、パスワードの代わりに、スマホの指紋認証、顔認証、画面ロックなどでログインする方法です。Googleは、パスキーはパスワードと違って共有やコピー、書き留めができず、誤って他人に渡す心配もないと説明しています。生体認証のデータは端末に保存され、Googleと共有されません。Appleも、フィッシング詐欺対策に優れ、シークレットを共有しない設計だと説明しています。Yahoo! JAPANでもパスキーでのログインが使えます。

対応しているサービスから順に切り替えていくのが現実的です。国家サイバー統括室のハンドブックによると、国内でも携帯電話会社やゲーム会社などで採用が進んでいます。対応していないサービスには、ほかの方法を使ってください。パスキーを作っても、Googleの場合は既存の認証要素や復元要素が変更または削除されるわけではありません。古いパスワードが弱いままなら、それも変えておきましょう。

紙に書く場合の考え方

「紙に書くのはダメ」と思っている人もいるかもしれません。公的機関の説明は、もう少し現実に即しています。

• 総務省：メモをディスプレイなど他人の目に触れる場所に貼らない。やむを得ずメモに書いた場合は、鍵のかかる机や金庫など安全な方法で保管する。
• 国家サイバー統括室のコラム：1つのパスワードを使い回すより、サービスごとに別々のパスワードを書き留めて安全な場所に保管するほうがよいと考えている。機器やアプリの操作が難しい人には紙が最適な方法だとしている。
• ハンドブック：ネットにつながらない紙のノートでの管理も、紛失や盗難に備えたうえなら安全性は高いとしている。
• Google：書き留めたものは、秘密の場所や鍵のかかった場所に保管する。

つまり、紙に書くこと自体より、どこに置くかと、見られたときの備えが大切です。国家サイバー統括室のコラムは、メモを見られる前提で、自分にしか分からない工夫をするよう勧めています。Yahoo! JAPANのセキュリティガイドにも、自分にしか分からないように工夫してメモする方法の例が載っています。例えば、パスワードが「AMAI」なら「さとう」とだけ書く、「生まれた都市」を使うなら「生まれ」とだけ書く、といった方法が紹介されています。例をそのまま使わず、自分だけのルールを決めてください。財布に入れて持ち歩いたり、モニターに貼ったりしないでください。

めったに使わないサービスは覚えない

Yahoo! JAPANのガイドは、年に数回しか使わないサービスでは、使うたびに「パスワードを忘れた」から設定し直すのもひとつのテクニックだと紹介しています。IDだけメモして、パスワードは覚えません。これも覚える数を減らすひとつの方法です。ただしこの方法は、再設定の通知を受けるメールが守られていることが前提です。

05よくある思い込みと、公式の説明

最後の2段階認証についてもう1つ。ハンドブックは、SMS方式は海外で破られた例があり、電子メールも経路上で奪われる可能性があるとして、自分で選べるならトークン、USBセキュリティキー、生体認証方式を推奨しています。パスキーが使えるなら、そちらを優先するのも1つの方法です。詳しくは二段階認証が突破される手口をご覧ください。

06どこから直すか：メール→金融→通販の順の考え方

1. メール：ほかのサービスのパスワード再設定の受け口になっていることが多いからです。
2. お金に直結するもの：銀行、証券、クレジットカード、スマホ決済です。
3. カードを登録している通販など：カード情報や住所を登録しているものです。
4. SNSやメッセージアプリ：知人へのなりすましに使われるものです。
5. それ以外：ログインするついでに、見つけたものから直します。

この順番は、公的機関が定めたものではなく、次の材料から図鑑が考えた目安です。Googleは、メールやオンライン バンキングなどの重要なアカウントには別々のパスワードを使うよう案内しており、1か所でパスワードを入手されると、メールや連絡先だけでなくお金まで他人の手に渡る可能性があると説明しています。Googleアカウントが乗っ取られたときの案内では、そのメールアドレスを連絡先やログインに使っているサービスのパスワードも変えるよう挙げています。Yahoo! JAPANのガイドも、クレジットカード情報や個人情報を登録しているよく使うサービスは特に強い設定にするなど、大切さに応じて分ける考え方を示しています。警察庁の統計で不正送金等が最も多いことも、金融を早めに直す理由になります。

メールのパスワードは、ほかのどのサービスとも同じにしないでください。乗っ取られたときの手順はメールが乗っ取られたら？にまとめています。

サービスの性質で分ける

Yahoo! JAPANのガイドは、利用頻度と登録している情報の大切さで、設定を分ける例を示しています。

使い回しを見つける道具

どこで使い回しているか思い出せなくても、道具が教えてくれます。

• Google パスワード チェックアップ：Chromeの[Google パスワード マネージャー]→[チェックアップ]、または passwords.google.com の[パスワード チェックアップに移動]から使えます。不正使用されたもの、使い回し、脆弱なものが分かります。
• Appleの「パスワード」アプリ：容易に推測できるパスワード、別のアカウントで複数回使われたパスワード、既知のデータ漏洩で流出したパスワードについて警告します。

ただ、保存していないパスワードは調べられません。自分の情報がどこかで漏れたかを確かめたいときは、メールアドレスの漏洩を確認する方法をご覧ください。

07強いパスワードの作り方：公的な基準

基準はいくつかありますが、言っていることは似ています。

長さの数字は機関によって違うので、迷ったら長いほうに合わせるのが簡単です。管理アプリや端末に作らせれば、長さと複雑さを同時に満たせます。

使ってはいけないパスワード

総務省は、危険なパスワードとして次のものを挙げています。

• IDと同じ文字列
• 自分や家族の名前、電話番号、生年月日
• 辞書に載っているような一般的な英単語ひとつだけ
• 同じ文字の繰り返しや、わかりやすい並びの文字列（キーボードの配列を含む）
• 短すぎる文字列
• 郵便番号や社員コード、他人に一度でも教えたことがあるパスワードなど

自分で作って覚えるなら

1つか2つは覚える必要があります。管理アプリのマスターパスワードや、スマホのアカウントなどです。総務省は、無関係な（文章にならない）複数の英単語をつなげ、その間に数字列を挟むと、推測されにくく覚えやすいパスワードになると説明しています。IPAは、短いフレーズをローマ字にして大文字や数字、記号を足した「コアパスワード」に、サービスごとの短い文字列を付ける方法を紹介しています。公式の例をそのまま使わず、自分で作ってください。

定期的に変える必要はありません

総務省は、パスワードを破られたり、サービス側から流出したりした事実がなければ、変更する必要はないとしています。むしろ、定期的な変更で作り方がパターン化して簡単になることや、使い回しをするようになることのほうが問題だと説明しています。総務省によると、内閣サイバーセキュリティセンター（NISC）も、定期変更の必要はなく、流出時に速やかに変更する旨を示しています。流出の連絡を受けたら、すぐに変えてください。ただし、その連絡を装う偽メールにも注意し、公式サイトから手続きします。

08変更のときに気をつけること

パスワードを直している途中で、新しい危険に出会うことがあります。次の3つを覚えておいてください。

• 流出の通知を装う偽メール：ハンドブックは、サービス側からパスワード再設定の通知が来たら、本当にサービスから送られたものかをサイトなどで確かめるよう案内しています。流出事故に便乗したフィッシングはよくある攻撃です。リセットは公式サイトやアプリから直接行います。
• 入力の場所：警察庁は、実在する企業を装ったSMSや電子メールでフィッシングサイトへ誘導し、IDやパスワードを入力させる手口が多数確認されているとしています。保存機能の自動入力に頼る前に、開いているページが公式かどうか見てください。
• 他人に教えない：総務省は、第三者に教えない、電子メールでやりとりしないことを挙げています。家族に設定を手伝ってもらったら、終わったあとに変えておくと安心です。

09今日からの対策：30分でできる手順

1. 使う道具を1つ決める（端末の標準機能、管理アプリ、紙のノートのどれか）。
2. スマホとパソコンの画面ロックを確かめる。
3. メールのパスワードを、ほかと違う長いものに変える。
4. メールに2段階認証かパスキーを設定する。
5. 銀行とカードの会員サイトを同じように直す。
6. 残りは、次にログインしたときに順に直す。

全部一度にやろうとすると、続きません。ログインのついでに1つ直す、と決めてしまうのが一番楽です。多要素認証は、パスワードが漏れても入られにくくするものなので、対応するサービスでは使ってください。国家サイバー統括室のコラムも、漏れたIDとパスワードだけではログインできないようにするために利用を勧めています。乗っ取りが心配な人は、乗っ取り・不正ログインの悩み別ページもあわせてご覧ください。

なお、会員サイトを運営する側の話は別です。お店やサービスの担当者の方は、不正ログイン対策（運営者向け）をご覧ください。

10困ったときの相談先

11よくある質問