パスワードを「複雑に・定期的に変える」は、もう古い --- 攻撃者の損得勘定から考えた、本当に効く対策
「パスワードは複雑にして、定期的に変えること」
何年も言われてきた、セキュリティの常識です。会社のシステムに強制されて、仕方なく末尾の数字を1つずらして「変えたことにする」。そんな経験、ありませんか。
ところが2024年、アメリカの標準化機関NIST（国立標準技術研究所）が出した最新ガイドラインSP 800-63B-4は、この常識を正面から覆しました。
定期変更は不要。複雑性ルールも禁止。大事なのは文字数だ。
なぜ、長年信じてきたルールが変わったのか。その答えは、攻撃者の"損得勘定"を知るとよくわかります。相手がどんな計算でパスワードを狙いに来るのかがわかれば、何が本当に効く対策なのかが見えてきます。
この記事では、攻撃者がどう動くか、という視点からパスワード対策を考えます。
攻撃者は「あなた」を狙っていない
パスワードの話をすると、多くの人がこんなイメージを持ちます。どこかのハッカーが、自分のアカウントの前にしゃがみ込んで、「この人のパスワードは何だろう」と一文字ずつ考えている。だから複雑にしておけば、その人を困らせて諦めさせられる、と。
実際の景色は、まるで違います。
攻撃者が向き合っているのは、何百万件という「IDとパスワードの組み合わせ」のリストです。それを機械にどんどん流し込んで、開いたアカウントだけ刈り取っていく。あなたのアカウントは、その大量リストの中の「1行」にすぎません。
2019年1月、セキュリティ研究者のTroy Huntが公開した「Collection #1」という漏洩データには、重複を除いたメールアドレスだけで約7億7,290万件が含まれていました。あちこちのサービスから流出したIDとパスワードが、一つの巨大な束として出回っていたのです。
攻撃者は、この束を機械に流し込みます。一人ひとりの名前すら知らない。やっているのは、漏洩リストを自動で回して、引っかかった人を拾うだけ。
「あなたを憎んでいる天才」ではなく、「割に合う仕事をこなしている効率屋」。それが攻撃者の実像です。
IPAの「情報セキュリティ10大脅威2026」では、「インターネット上のサービスへの不正ログイン」が11年連続でランクインしています。11年も選ばれ続けている理由は単純で、それが攻撃者にとって「割に合うから」です。
3つの攻撃手口 --- 攻撃者の「コスパ表」
攻撃者がパスワードを破る方法は、大きく3つあります。ただし、どれも同じくらい使われているわけではありません。攻撃者の損得勘定で並べると、優先順位がはっきり見えてきます。
総当たり（ブルートフォース）
考えられる文字の組み合わせを、片端から全部試す力業です。4桁の暗証番号なら1万通りなので機械を回せばすぐ終わりますが、8文字のランダムなパスワードになると、試すべきパターンが天文学的に膨らみます。
攻撃者の本音は「割に合わない」。短くて単純なパスワードにしか効かないので、手口としての優先度は低い。ほかに手がないときの最後の手段、という位置づけです。
推測攻撃（辞書攻撃）
人間が選びやすいパスワードのリストを試す方法です。誕生日、名前、「password」、キーボード配列の「qwerty」。人間は驚くほど同じものを選びます。
2019年のNCSC（英国国家サイバーセキュリティセンター）の報告によると、世界中の漏洩データを調べたところ、最も多く使われていたパスワードは「123456」で、約2,300万件に存在していました。世界中の、まったく面識のない何千万人もの人が、申し合わせたように同じ文字列を選んでいる。攻撃者にとっては、定番を数パターン試すだけで一定数の扉が開く、ありがたい状況です。
ランダムなパスワードにすれば防げますが、問題はここで終わりません。
リスト型攻撃（クレデンシャルスタッフィング）
攻撃者にとって最もコスパが高い手口です。過去の漏洩データから手に入れたIDとパスワードの組み合わせを、別のサービスのログイン画面にそのまま流し込む。
なぜこれが「最もラク」なのか。漏れたパスワードは、少なくともどこかのサービスでは「正解の鍵」だったもの。そして、人はその正解の鍵を使い回す。
2019年時点のGoogle/Harris Poll調査では、複数のサービスで同じパスワードを使っている人が66%以上いました。100件試せば66件は「当たり」の可能性がある計算です。
攻撃者は漏洩リストを機械に流し込んで、コーヒーでも飲みながら結果を待てばいい。手間はほとんどかからないのに、当たる確率はそこそこ高い。
ここに「常識転覆」の根拠があります。パスワードをどれだけ複雑にしても、使い回している限り、リスト型攻撃の前では無力です。
「複雑さより長さ」--- 専門家が出した意外な答え
攻撃者の損得勘定がわかると、なぜNISTがルールを変えたのかが腑に落ちます。
NIST SP 800-63B-4（最終版）のポイントを整理すると、こうなります。
単要素認証のパスワードは最低15文字以上
定期変更は不要（漏洩が確認された場合のみ変更）
大文字・記号・数字の混在要求（複雑性ルール）は禁止
よく使われるパスワードや漏洩済みパスワードとの照合は義務
日本でも、総務省「国民のためのサイバーセキュリティサイト」が2024年の改訂で「定期変更は漏洩がなければ不要」という方針を明記しています。
なぜ「定期変更」が見直されたか。答えはシンプルです。頻繁に変えることを強制すると、人間は「Password1」を「Password2」に変える、という予測可能なパターンに逃げる。攻撃者もその逃げ方を知っている。ルールが、かえって人間を弱いほうへ追い込んでいたわけです。
では、なぜ「複雑さ」より「長さ」なのか。総当たりにかかる時間は、文字数が増えるごとに指数的に膨らみます。記号を1つ混ぜるよりも、3文字長くするほうが、試すべきパターンの数はケタ違いに増える。
NCSCは「3つのランダムな単語を並べる」方法を推奨しています。たとえば「犬」「バス」「東京」をつなげた文字列。覚えやすくて、自然と長くなる。無理に記号を足して「Tr0ub4dor&3」と格闘するより、よほど現実的です。
ここまで読んで、「長いパスワードを全サービスで使えばいいのか?」と思った方に、一つ確認しておきたいことがあります。
使い回しは、すでに漏れているかもしれない
先ほどのCollection #1は2019年時点の話ですが、漏洩データは日々増え続けています。自分のメールアドレスが過去の漏洩データベースに含まれているかどうかは、実は今すぐ調べられます。
セキュリティ研究者のTroy Huntが運営するHaveIBeenPwnedというサイトで、メールアドレスを入力するだけで確認できます。
「漏れている=即アウト」ではありません。すでにパスワードを変えていれば問題ない。ただ、使い回している状態で漏れていたら、一度整理が必要です。
漏れてたら終わり、じゃない。使い回しのまま放置していることが問題なんだ。
あの7億7,290万件のリストの中に自分がいるかもしれない。そう思うと落ち着かないかもしれませんが、だからこそ「確認して、変えるべきところだけ変える」ことに意味があります。
じゃあ、どこから手をつければいいか。
MFAを入れるだけで、攻撃のほとんどは通らなくなる
長いパスワードにして、使い回しをやめる。これだけでもリスト型攻撃にはかなり強くなります。でも、それに加えてもう一つ「鍵」を足すと、状況は劇的に変わります。
それがMFA（多要素認証）です。ログイン時にパスワードに加えて、スマホに届く確認コードや指紋認証など、もう一段の本人確認を挟む仕組みです。
Microsoftの公式セキュリティブログ（2019年）によると、MFAを有効にしておくだけで、アカウント乗っ取り攻撃の99.9%以上をブロックできたとされています。パスワードが漏れていたとしても、です。
攻撃者の立場で考えてみてください。パスワードを手に入れたのに、もう一つ壁がある。突破するにはひと手間もふた手間もかかる。それなら壁のない、もっとラクな相手を探したほうが早い。効率屋の彼らは、たいていそう判断します。
パスキーという新しい仕組みも広がり始めています。スマートフォンの顔認証や指紋でログインする方式で、Apple、Google、Microsoftが対応済み。パスワードそのものを使わないので、使い回しも漏洩もありません。まだ対応サービスは増えている途中ですが、頭の隅に置いておくといい流れです。
整理すると、やるべきことは3つ。
使い回しをやめる（リスト型攻撃を根っこから無効にする）
パスワードを長くする（総当たりを非現実にする）
MFAを有効にする（漏れても止まる仕組みを入れる）
全部を一気にやる必要はありません。まずは、よく使うサービスを2つ3つ、パスワードを別々にするところから始める。攻撃者は効率主義者です。ほんの少し面倒にするだけで、彼らはもっとラクな相手へ流れていきます。
関連記事
パスワードの強化やMFAの導入は、「やったほうがいいとわかっている」けれど、自社でどう進めるかとなると、なかなか手が動かないものです。
ツールの選び方、社員への周知の仕方、どの優先順位でやればいいか。そのあたりの整理に使える資料を、まとめています。
「パスワード管理のルールを社員に浸透させたい」という方には、実践型のセキュリティ研修もあります。
