パスワードの管理方法
全部を同じ強さで守ろうとすると、続きません

守る順番を決める

ネットショップの会員登録と、ネットバンキングを同じ強さで守ろうとすると、どちらも中途半端になります。まず分けます。

メールが最優先なのには理由があります。ほとんどのサービスは、パスワードを忘れたときにメールで再設定します。つまりメールを取られると、そこから他のサービスへ次々に入られます。順番を間違えて銀行だけ強くしても、入り口が開いたままになります。

使い回しをやめる

総務省は「複数のサービスで使い回さないようにしましょう」と明記しています。理由は、どこか1社から流出した「メールアドレスとパスワードの組み合わせ」が、そのまま別のサービスで順に試されるからです。

ここで起きているのは、パスワードを推測されることではありません。すでに正解として流出したものを、別の扉で使われているだけです。だからパスワードをいくら複雑にしても、使い回していれば防げません。複雑さより、使い回さないことのほうが効きます。

全部を今日変える必要はありません。手順1で挙げた最優先の3種類から順に変えてください。

パスワードの作り方

総務省は、理想は「ある程度長いランダムな英数字」としています。そのうえで、自分で覚える必要がある場合の作り方として、無関係な複数の単語をつなげたり、その間に数字列を挟んだりしたものを挙げています。

つまり、記号を無理に混ぜた短いものより、意味のつながらない言葉を並べた長いもののほうが実用的だということです。覚えるのは、手順1の最優先の3つだけで足ります。

やめたほうがよいのは次のような作り方です。

• 名前、生年月日、電話番号、会社名、ペットの名前
• サービス名を後ろに足すだけのもの（同じ規則だと1つ漏れれば全部読めます）
• キーボードの並び順

残りのサービスは、ブラウザやスマートフォンのパスワード生成機能に作らせて、覚えないほうが安全です。総務省も生成機能の活用を勧めています。

定期変更はしなくてよい

ここは、以前に習った内容と変わっている部分です。総務省は現在、パスワードの定期的な変更を不要としています。サービスを提供する側も定期的な変更を要求すべきではない、という米国NISTの2017年のガイドラインを参照したうえで、流出したときに速やかに変更するという考え方を示しています。

理由は、定期的に変えさせると、人は覚えられる範囲で少しずつずらした似たパスワードを作るからです。結果として推測しやすくなり、かえって弱くなります。

したがって、いま決めることは次の2つです。

1. 変えるきっかけを決めておく：利用しているサービスから流出の連絡が来たとき、見覚えのないログイン通知が届いたとき、パスワードを人に教えたとき
2. 変えるときは、ずらさずに作り直す：末尾の数字を1つ増やすのは変更したことになりません

なお、会社で「90日ごとの変更」が規定になっている場合は、社内の規定が優先です。その場合でも、使い回しをやめることの効果のほうが大きい点は変わりません。

どこに保管するかを選ぶ

方法はいくつもあり、どれが正解ということはありません。自分が続けられて、家族が困らないものを選びます。

紙は、頭ごなしに否定される方法ではありません。総務省もメモについて「鍵のかかる机や金庫など安全な方法で保管」と書いています。つまり、机の上や画面に貼らず、持ち歩かず、鍵のかかるところにしまうのであれば選択肢です。ネット越しに盗まれないという点では、むしろ強い方法です。

一方で絶対にやってはいけないのは、パスワードを電子メールで送ることです。これも総務省が明確に禁止しています。家族や社内で共有したいときも、メールは使わないでください。

Excel などのファイルにまとめる方法もありますが、そのファイル自体が漏れたときに全部が一度に漏れます。使うならファイルにパスワードを掛け、置き場所を限定してください。

2段階認証を入れる

総務省は、パスワードに加えてショートメッセージのパスコードや、指紋・顔認証を組み合わせることで、セキュリティレベルを高められるとしています。

効果は大きいです。パスワードが流出しても、それだけでは入られません。手順1の最優先の3種類には必ず入れてください。

入れるときに、あわせて決めておくことが2つあります。

1. 登録する電話番号とメールアドレスが、いま使えるものになっているか。機種変更前の番号や、解約したプロバイダーのメールが登録されたままだと、いざというときに本人確認が通りません
2. 回復用のコード（バックアップコード）を控えてあるか。スマートフォンを失くした場合、これが唯一の入り口になります。印刷して手順5の「紙」の置き場所にしまうのが確実です

Microsoftアカウントのパスワードが分からなくなったときの手順はMicrosoftアカウントのパスワードを忘れたときの手順に、WindowsへサインインできないときはPIN・パスワードでWindowsにログインできないときにまとめています。

パスキーに置き換えていく

ここ数年で、パスワードそのものを使わない方式が広がっています。パスキーです。

Microsoft の説明では、パスキーは覚えておく必要がなく、Windows Hello の PIN・顔認証・指紋認証でサインインできます。サイトやアプリごとに異なるため、1つのパスキーが他のサービスで使われることはありません。そしてフィッシングの試みに耐性があるとされています。偽サイトに入力させる、という手口がそもそも成立しないためです。

実際の使い勝手としては、対応しているサービスでパスキーを作ると、次回から画面の指示に従って指紋や顔、PINを入れるだけでログインできます。パスワードは、対応していないサービスのために残ります。

いますぐ全部を移す必要はありません。手順1の最優先の3種類が対応していれば、そこから作っておくのが、いちばん効きます。

店頭で見ていること

編集部が受けている相談は10の型に分かれますが、その6番目が「変な広告・警告／ウイルスが心配」です。主な原因は、不正広告、迷惑通知、アドウェア、偽のセキュリティ警告、マルウェアで、5つのうち4つはウイルスそのものではありません。

パスワードの話とつながるのはここです。いま多い被害は、パスワードを破られることではなく、本人に入力させることです。偽の警告や偽のログイン画面を出し、自分から打たせます。パスワードを長くしても、自分で打ってしまえば意味がありません。

だからこの記事では、複雑さの話より先に使い回しをやめることと2段階認証、そしてパスキーを置いています。どれも「本人が打っても突破されにくくする」ための備えだからです。

Q. ブラウザにパスワードを保存するのは危険ではありませんか。

使い回すよりは安全です。危ないのは、端末そのものにロックが掛かっていない場合です。Windows のサインイン、スマートフォンの画面ロックを必ず設定してください。共有のパソコンでは保存しないでください。

Q. 管理アプリの親パスワードを忘れたらどうなりますか。

原則として、中身は取り出せません。提供元も復旧できない設計になっているものが多いです。親パスワードだけは紙に書いて、鍵のかかるところに保管してください。

Q. パスワードは何文字あれば安心ですか。

文字数だけで安心とは言い切れません。総務省は「ある程度長いランダムな英数字」を理想とし、覚える場合は無関係な単語をつなぐ方法を挙げています。短くて複雑なものより、長くて意味のつながらないもののほうが実用的です。

Q. スマートフォンを機種変更すると、2段階認証はどうなりますか。

方式によって変わります。ショートメッセージなら番号が同じであれば引き継げます。認証アプリの場合は、古い端末を手放す前に移行の設定が必要です。ここを飛ばして初期化すると、ログインできなくなります。

Q. 家族に、もしものときのために残しておけますか。

残せます。ただしメールやチャットで送るのは避けてください。紙に書いて封をし、保険証券などと同じ場所に保管するのが現実的です。どのサービスを使っているかの一覧だけでも、残しておくと家族が助かります。