セキュリティを学ぶ — はじめに

パスワードの使い回しをやめる — 最初の一歩

公開： 2026年11月7日 · 更新： 2026年11月7日

「どのサービスも同じパスワード」という状態は、最も直しやすく、効果の大きい弱点の一つです。このガイドでは、なぜ使い回しが危ないのか、そして今日から無理なくやめる手順を、IPAとJPCERT/CCの公式情報に基づいて説明します。

なぜ使い回しが危ないのか — リスト型攻撃

どこかのサービスで情報漏えいが起きると、メールアドレスとパスワードの組み合わせがリスト化され、攻撃者の手に渡ることがあります。攻撃者はそのリストを使い、自動プログラムで他の多くのサービスへのログインを次々に試します。これが「リスト型攻撃（パスワードリスト攻撃）」です。

使い回しをしていると、1か所の漏えいが、買い物・SNS・メール・仕事のアカウントへ連鎖します。逆に言えば、サービスごとに違うパスワードにしておけば、1か所で漏れても他のサービスは守れます。IPAとJPCERT/CCは共同で「STOP!! パスワード使い回し!!」と呼びかけを続けています。

ステップ1：最優先の3つから変える

全部を一度に変える必要はありません。まず被害が大きくなりやすい順に、この3種類から変えてください。

メールアカウント（多くのサービスのパスワード再設定の届け先＝玄関の鍵です）
お金に関わるもの（銀行、決済、ショッピング、ポイント）
SNS・仕事のアカウント（なりすましや情報漏えいの入口になります）

変えるときは、使い回しでない、そのサービス専用のパスワードにしてください。

ステップ2：強いパスワードの作り方

IPAは、パスワードを「できるだけ長く」「複雑で」「使い回さない」ものにすることを推奨しています。JPCERT/CCは12文字以上を推奨しています。覚えやすさと強さを両立するには、好きな言葉をいくつか組み合わせた長いフレーズ（パスフレーズ）が向いています。米国の国立標準技術研究所（NIST）のガイドライン SP 800-63B も、長く覚えやすいパスフレーズの利用を勧めています。

長くする（12文字以上が目安）
大小英字・数字・記号を組み合わせる
名前・生年月日・「123456」「password」のような推測されやすい並びは避ける
サービスごとに必ず変える

ステップ3：覚えきれない問題を解決する

「サービスごとに違う長いパスワード」は、覚えるものではありません。IPA・JPCERT/CCが挙げる管理方法は次の3つです。

パスワード管理ツールを使う（マスターパスワード1つだけを覚えます）
パスワード付きの電子ファイルに保存する
紙のメモに書く場合は、IDとパスワードを別々の紙に分け、第三者に分からない書き方で保管する

ブラウザに保存する機能も、使い回しを避ける助けにはなります。どの方法でも、「全部同じ」よりはるかに安全です。

ステップ4：多要素認証とパスキーを併用する

パスワードが漏れてもログインされにくくするために、多要素認証（二段階認証）を有効にしてください。対応しているサービスでは、パスキーも有効な選択肢です。特にステップ1の3種類のアカウントでは、必ず設定してください。

もし不正ログインに気づいたら

自分でログインできる場合は、すぐにパスワードを変更する
登録情報（メールアドレス・電話番号）が自分のものか確認し、知らない情報は削除する
同じパスワードを使っていた他のサービスも、すべて変更する
ログイン履歴・ログイン通知の機能で、身に覚えのないアクセスがないか確認する
多要素認証をまだ設定していなければ、この機会に設定する

まとめ：今日のチェックリスト

メール・お金・SNS/仕事のアカウントのパスワードを、それぞれ別のものに変えた
新しいパスワードは12文字以上で、推測されにくい
管理方法（管理ツール／パスワード付きファイル／紙メモの分離保管）を決めた
重要なアカウントで多要素認証またはパスキーを有効にした

個人の対策が進んだら、職場や家族の分も同じ考え方で見直してみてください。職場のアカウント防御をまとめて整える支援も行っています（アカウント防御セットアップ）。まずは無料の自己診断で現状を確認することもできます。

公式情報・出典

無料ツール：セキュリティ自己診断

25の質問で自社の現状を確認できます。ブラウザ内だけで処理します。

ツールを使う →

← ガイド一覧へ戻る