安全なパスワードの作り方 — 「複雑さ」より「長さ」、そして使い回さない

公開日: 2026年8月25日 / 筆者: Kento

「大文字と記号を混ぜて8文字以上」。長年そう教わってきましたが、いま専門機関が口をそろえて言うのは少し違うことです——短くて複雑なパスワードより、長いパスワード。そして何より、使い回さないこと。この記事では、その理由をやさしく整理します。

なぜ「長さ」が効くのか

パスワードを機械的に総当たりする攻撃では、候補の数がそのまま突破の難しさになります。候補の数は「使う文字の種類 × 長さ」の掛け算で増えますが、効き方がまったく違います。

• 小文字だけ8文字: 約26の8乗 ≒ 2,000億通り
• 4種混在の8文字: 約70の8乗 ≒ 576京通り
• 小文字だけ16文字: 約26の16乗 ≒ 4,360京の1万倍通り

記号を頑張って混ぜた8文字より、小文字だけでも16文字のほうがはるかに強い——長さは掛け算の「回数」を増やすので、複雑さより桁違いに効くのです。覚えやすさまで考えると、「単語をいくつかつなげた長いフレーズ(パスフレーズ)」が現実的な最適解になります。

それでも使い回しだけはダメな理由

どんなに強いパスワードでも、使い回していれば強さは意味を失います。攻撃者は今、あなたのパスワードを推測するより、どこかのサイトから漏れたIDとパスワードのリストを、他のサイトで機械的に試すほうを好みます(リスト型攻撃)。小さな通販サイトから漏れた1組が、メールやSNS、決済サービスまで芋づる式に破られる——被害のパターンはほぼこれです。

対策はシンプルで、「サイトごとに違うパスワードにする」だけ。人間の記憶では無理なので、ブラウザやスマホのパスワード保存機能、またはパスワード管理アプリに覚えさせるのが前提です。

「定期変更」はもう推奨されていない

かつて常識だった「90日ごとに変更」は、現在は主要なガイドラインで推奨されていません。定期変更を強制すると、人は「password1→password2」のような予測しやすい変え方をしてしまい、かえって弱くなるからです。変えるべきなのは「漏えいの疑いがあるとき」。それ以外は、強いパスワードを腰を据えて使い続けるほうが安全とされています。

今日からできる3ステップ

• 1. 重要なアカウントから順に、1つずつ固有のパスワードに変える。 メール・銀行・スマホのID(Apple/Google)の3つが最優先です。メールが破られると他の全部がパスワード再設定で乗っ取れてしまうため。
• 2. 生成はツールに任せる。 人間が考えるパスワードには癖が出ます。当サイトのパスワード生成は暗号用乱数で作り、入力内容を一切送信しません。
• 3. 二段階認証をオンにする。 パスワードが漏れても、もう一段の確認(認証アプリやSMS)があれば侵入はほぼ防げます。

まとめ

合言葉は「長く、固有に、二段階」。記号の数を数えるより、この3つのほうがずっと効きます。まずはメールアドレスのパスワードを、パスワード生成ツールで作った16文字に替えるところから始めてみてください。