パスワードを「記号も入れて複雑にしたから安全」と思ってるアンタ。本当の穴は使い回しだよ
複雑なパスワードでも、複数のサービスで同じものを使っていれば1か所の漏えいで全部が開きます。使い回しが危ない仕組みと、優先して変えるべきアカウントの選び方を解説します。
記号と数字を混ぜて、長さも確保した。これで安全だと思っている。それ、頑丈な鍵を作って、同じ合鍵を10軒の家に配っているのと同じだよ。1軒で盗まれたら、全部開く。
複雑さと使い回しは、別の問題
パスワードの強さには2つの軸がある。
- 推測されにくさ — 長さと文字種。総当たりに耐えるかの話
- 流用されないこと — 他のサービスと同じでないかの話
複雑にすると1つ目は上がる。だが2つ目には何の効果も無い。漏れた文字列は、複雑だろうと単純だろうとそのまま使われる。
使い回しが突破される仕組み
攻撃の手順は単純だ。
- どこかのサービスから、利用者名とパスワードの組が漏れる
- その組を、別のサービスのログイン画面に順番に入れる
- 同じ組を使っている人のところで、ログインが通る
2つ目は自動化されている。攻撃側はパスワードを推測していない。すでに持っている正解を試しているだけだ。複雑さは関係ない。
優先して変えるアカウント
全部変えるのは大変なので、順番をつける。
- メール — ここが取られると、他のパスワード再設定が全部通る
- 決済が紐づいているもの — カード情報が入っているサービス
- 他のサービスのログインに使っているもの — ソーシャルログインの元になっているアカウント
- 仕事で使っているもの — 自分以外にも影響が出る
1つ目が最優先だ。メールは他のアカウントの親になっている。ここを守らずに他を固めても、意味が薄い。
覚えられない問題をどうするか
全部違うパスワードにすると、覚えられない。だから使い回しが起きる。解き方は3つある。
- 管理ソフトを使う — 1つの鍵で全部を管理する。鍵の管理が要になる
- ブラウザやOSの保存機能を使う — 端末の保護が前提になる
- 紙に書いて、人に見られない場所に置く — 古典的だが、ネット経由では盗まれない
どれにも弱点がある。弱点を理解して選ぶのが要点で、完璧な方法を探すことではない。
管理ソフトを使う場合
選ぶときに見る点を挙げる。
- 元になるパスワードを忘れたときの救済があるか
- データを取り出せるか。移るときに必要になる
- 複数の端末で使うなら、同期の仕組みを確認する
2つ目を確認しておく。取り出せないと、その仕組みから移れなくなる。
2段階認証を併せて入れる
パスワードだけで守るのをやめるほうが効く。
- パスワードが漏れても、もう1つの要素が必要になる
- 優先度の高いアカウントから入れる
- SMSよりアプリや物理的な鍵のほうが強い
3つ目は10月分の記事でも触れた。電話番号を乗っ取られる手口があるので、SMSは万全ではない。選べるなら別の方式にする。
漏れたかどうかを確認する
自分のアカウントが漏えいに含まれているか調べる手段がある。
- サービス側から通知が来ることがある。来ないこともある
- 漏えい情報を照合できる仕組みを使う方法もある
- 該当したら、そのパスワードを使っている全てを変える
3つ目が肝心だ。漏れたサービスだけ変えても、同じパスワードを使った他が残る。
変えた後にやること
パスワードを変えただけでは終わらない。
- ログイン中の端末を確認し、知らないものがあれば切断する
- 連携しているアプリの一覧を見て、使っていないものを外す
- 再設定用のメールアドレスと電話番号が、いまのものか確認する
3つ目を忘れている人が多い。古いアドレスが登録されたままだと、乗っ取られたときに取り戻せない。
まとめ
- 複雑さは推測対策。使い回し対策には効かない
- 攻撃は推測ではなく、漏れた正解を別のサービスで試す形で来る
- メール、決済、ソーシャルログインの元、仕事用から変える
- 管理の方法はどれも弱点がある。理解して選ぶ
- 変えた後は、ログイン中の端末と再設定用の連絡先も確認する
鍵を頑丈にするのは正しい。だがその前に、同じ鍵を何軒に配ったか数えたほうが早いよ。
参考・出典
※制度・統計・ガイドラインは改定されることがあります。実際の手続きや判断にあたっては、各機関の公式サイトで最新の内容をご確認ください。（リンク最終確認: 2026年10月3日）
