パスワードリスト攻撃を5分で理解！初心者向け完全ガイド

2025年11月04日作成

コラム

「パスワード使い回していませんか？」この質問にドキッとした方は、今すぐこの記事を読んでください。2024年だけで約3,300件の被害が報告されているパスワードリスト攻撃は、あなたの大切なアカウントを狙っています。難しいIT知識は一切不要。マンションの合鍵に例えながら、たった5分で攻撃の仕組みから対策まで完全に理解できます。「自分は大丈夫」と思っている方こそ危険です。なぜなら、攻撃者はすでにあなたの古いパスワードを持っているかもしれないからです。30秒でできる危険度チェックと、今すぐ実践できる3つの対策で、あなたのデジタルライフを守りましょう。

パスワードリスト攻撃って何？身近な例で完全理解

パスワードリスト攻撃を理解するために、まずは身近な「鍵」の話から始めましょう。あなたが住んでいるマンションや、実家の鍵を思い浮かべてください。その鍵で、友人の家のドアも開けられたら、どんなに危険か想像できますよね？パスワードリスト攻撃は、まさにこれと同じ状況がインターネットの世界で起きている現象なのです。

マンションの合鍵で例える攻撃の仕組み

想像してみてください。あなたが住む大型マンションで、管理人室に保管されていた全住民の合鍵リストが盗まれてしまったとします。泥棒は、そのリストを使って各部屋のドアを次々と試していきます。恐ろしいことに、多くの住民が「面倒だから」という理由で、自宅、実家、別荘、すべて同じ鍵を使っていたのです。

これがまさに、インターネット上で起きているパスワードリスト攻撃の実態です。攻撃者は、どこかのサービスから漏れ出たパスワードのリストを手に入れ、それを使って他のサービスへのログインを試みます。同じパスワードを使い回している人は、まるで同じ鍵をすべての場所で使っている住民のように、簡単に被害に遭ってしまうのです。

なぜ同じ鍵（パスワード）を使い回すと危険なのか

ここで、架空の人物「田中さん」の例を見てみましょう。田中さんは会社員で、仕事でもプライベートでも様々なオンラインサービスを利用しています。

田中さんのパスワード事情：

メールアドレス：tanaka1985@example.com
パスワード：Tanaka@1985

このパスワードを、田中さんは以下のすべてのサービスで使っていました：

サービス	用途	リスクレベル
Gmail	メインのメールアドレス	極めて高い
Facebook	友人との交流	高い
楽天市場	オンラインショッピング	極めて高い
ネットバンキング	資産管理	最高レベル
社内システム	業務用	極めて高い

ある日、田中さんが登録していた小さな通販サイトがハッキングされ、ユーザー情報が流出しました。田中さんはそのニュースを見ましたが、「小さなサイトだし、クレジットカード情報は登録していないから大丈夫」と思い、特に何もしませんでした。

しかし、攻撃者は流出した「tanaka1985@example.com」と「Tanaka@1985」の組み合わせを使って、他のサービスへのログインを次々と試みました。結果として：

Gmailに不正ログイン → 全てのメールが読まれ、パスワードリセット機能を悪用
Facebookアカウント乗っ取り → 友人にスパムメッセージを送信
楽天市場で不正購入 → ポイント全額使用、登録カードで高額商品購入
ネットバンキング侵入 → 預金を不正送金
社内システム侵入 → 企業の機密情報漏洩

このように、たった一つのサービスからの情報漏洩が、雪だるま式に被害を拡大させてしまうのです。これがパスワードリスト攻撃の恐ろしさです。

あなたの身の回りで起きている実例

「でも、それは田中さんの話でしょ？私には関係ない」と思われるかもしれません。しかし、2024年だけで日本国内で3,326件のパスワードリスト攻撃による被害が報告されています。これは氷山の一角で、気づいていない被害も含めれば、その数は何倍にもなると言われています。

SNSアカウントから始まる連鎖被害

最も身近な例として、SNSアカウントの乗っ取りから始まる被害パターンを見てみましょう。

ケース1：Instagram経由の被害拡大

20代のOL、佐藤さんはInstagramで日常を投稿することが趣味でした。フォロワーは500人程度で、特に有名人でもありません。しかし、ある朝起きると、友人から「変なDMが来てるよ」という連絡が。

佐藤さんのアカウントから、全フォロワーに怪しい投資話のメッセージが送られていたのです。さらに調べてみると：

プロフィールが書き換えられていた
投稿が全て削除されていた
メールアドレスが変更されていて、ログインできない状態に

佐藤さんは、同じパスワードを使っていたFacebookとメールアカウントも確認しました。案の定、Facebookでも同様の被害が発生し、メールアカウントには大量の迷惑メール送信履歴が残されていました。

被害の連鎖はさらに続きます：

第1段階：SNSアカウント乗っ取り: Instagram、Facebook、X（旧Twitter）などが次々に乗っ取られ、フォロワーへスパム送信
第2段階：メールアカウント侵入: メールアドレスから各種サービスのパスワードリセットを実行。佐藤さんが気づかない間に、多くのサービスのパスワードが変更される
第3段階：金銭的被害の発生: PayPayやLINE Payなどの決済サービスに侵入。少額決済を繰り返され、気づいた時には10万円以上の被害に
第4段階：個人情報の悪用: 流出した個人情報を使って、佐藤さんの名前で勝手に別のサービスに登録。後日、身に覚えのない請求書が届く

オンラインショッピングサイトでの被害

オンラインショッピングは、私たちの生活に欠かせないものになっています。しかし、ここでもパスワードリスト攻撃の被害が多発しています。

ケース2：楽天ポイント30万円分が消えた主婦の話

40代の主婦、山田さんは楽天市場のヘビーユーザーでした。楽天カードも使用し、コツコツと30万円分のポイントを貯めていました。子供の入学準備に使おうと大切に貯めていたポイントです。

ある日、楽天から「ご注文ありがとうございます」というメールが届きました。しかし、山田さんは何も注文していません。慌ててログインすると：

30万ポイント全額で高額家電が購入されていた
配送先は見知らぬ住所
注文のキャンセルはすでに不可能な状態

山田さんの楽天アカウントは、3年前に流出した別サービスのパスワードと同じものを使っていました。攻撃者は、古い情報でも根気よく試し続けることで、ついに山田さんのアカウントにたどり着いたのです。

よくある被害パターン：

被害の種類	具体例	平均被害額
ポイント不正利用	楽天、Amazon、Tポイントなど	5-30万円
不正購入	高額家電、ゲーム機、ブランド品	10-50万円
クレジットカード悪用	登録カードでの購入、情報の転売	20-100万円
アカウント転売	プレミアム会員権の売買	1-5万円

攻撃者はどうやってパスワードを手に入れる？

「でも、私のパスワードなんて、どうやって知るの？」という疑問を持つ方も多いでしょう。実は、攻撃者がパスワードを入手する方法は、想像以上に簡単なのです。

大規模情報漏洩事件の裏側

過去10年間で、世界中の有名企業から数十億件のアカウント情報が流出しています。日本でも、誰もが知っている大手企業から情報漏洩が発生しています。

情報はこうして漏れ出す：

企業のセキュリティ対策の甘さ
- 古いシステムを使い続けている
- セキュリティ更新を怠っている
- 従業員の教育不足
内部犯行
- 不満を持った従業員による持ち出し
- 金銭目的での情報売買
- 退職時のデータ持ち出し
サイバー攻撃
- 組織的なハッキング集団による攻撃
- ランサムウェアによる脅迫
- システムの脆弱性を突いた侵入

ダークウェブという闇市場：

流出した情報は、「ダークウェブ」と呼ばれるインターネットの裏側で売買されています。これは、普通の検索エンジンでは見つからない、特殊なブラウザでしかアクセスできない場所です。

そこでは、あなたの個人情報が商品として扱われています：

メールアドレス + パスワードのセット: 1件あたり0.1〜10ドルで取引。大量購入で割引もある
クレジットカード情報: 有効期限やセキュリティコード付きで10〜100ドル
身分証明書の画像: 運転免許証やパスポートのコピーが50〜500ドル
SNSアカウント: フォロワー数に応じて5〜1000ドル

なぜ古いパスワードでも危険なのか：

「5年前に使っていたパスワードなんて、もう関係ないでしょ？」と思うかもしれません。しかし、それは大きな間違いです。

多くの人は、パスワードを変更する際に少しだけ変える傾向があります：

Password123 → Password124
Tanaka2019 → Tanaka2024
Love@dog → Love@cat

攻撃者は、この人間の心理を熟知しています。古いパスワードを基に、様々なバリエーションを自動的に生成して試すプログラムを使用します。1秒間に数千回もの試行が可能で、わずかな変更では防げません。

あなたも狙われている？30秒セルフチェック

ここまで読んで、「もしかして、私も危ない？」と感じた方も多いはずです。そこで、あなたの現在の危険度を30秒で診断できるチェックリストを用意しました。正直に答えてみてください。

危険度診断10項目チェックリスト

以下の項目に、いくつ当てはまるか数えてください：

□ 3つ以上のサービスで同じパスワードを使っている: 最も危険な状態。今すぐ変更が必要です。攻撃者にとって、あなたは「カモ」リストの最上位に位置しています
□ パスワードに誕生日や名前を含めている: 推測されやすく、リスト攻撃の標的になりやすい。SNSの情報から簡単に特定可能です
□ 5年以上同じパスワードを使い続けている: 過去の漏洩に巻き込まれている可能性大。すでにダークウェブで売買されているかもしれません
□ パスワードを紙やメモ帳に書いている: 物理的な盗難リスクも考慮が必要。デジタルと物理、両方の脅威にさらされています
□ 2段階認証を設定していない: 最後の砦がない危険な状態。パスワードが破られたら、なす術がありません
□ パスワードが8文字以下である: 現代の攻撃ツールなら数分で解読可能。防御力がほぼゼロに等しい状態です
□ 仕事用と個人用で同じパスワードを使用: 個人の被害が会社に、会社の被害が個人に波及する最悪のパターンです
□ パスワード変更の通知を無視したことがある: サービス側が危険を察知して警告しているのに、無防備な状態を続けています
□ 無料Wi-Fiでログイン作業をすることがある: パスワードを盗み見られている可能性があります。カフェや駅での利用は特に危険です
□ ブラウザの「パスワードを保存」を無条件で使用: 便利ですが、パソコンを他人と共有したり、ウイルス感染した場合に全て流出します

チェック結果別の危険度と対策優先順位

あなたはいくつ該当しましたか？結果に応じた危険度と、今すぐ取るべき行動を確認しましょう。

■ 8個以上該当：🔴 緊急事態レベル

あなたは今この瞬間も攻撃を受けている可能性があります。記事を読み終えたら、以下の順番で対策を始めてください：

最重要サービス（銀行、メール）のパスワードを即座に変更
全サービスで2段階認証を有効化
過去3ヶ月のアカウント履歴を確認
パスワード管理ツールの導入

■ 5-7個該当：🟠 高リスクレベル

いつ被害に遭ってもおかしくない状態です。今週中に以下の対策を完了させましょう：

優先度	対策内容	所要時間
最優先	金融系サービスのパスワード変更	30分
優先	メールアカウントの2段階認証設定	15分
重要	SNSアカウントのセキュリティ見直し	20分
推奨	ショッピングサイトのパスワード変更	30分

■ 3-4個該当：🟡 要注意レベル

平均的な危険度ですが、油断は禁物です。1ヶ月以内に計画的な改善を進めましょう：

週末を使って、パスワードの棚卸しを実施
重要度の高いサービスから順次パスワード変更
パスワード管理の新しい習慣を身につける

■ 2個以下：🟢 比較的安全レベル

基本的な対策はできていますが、さらなるセキュリティ向上を目指しましょう：

定期的なパスワード変更のスケジュール化
最新の認証技術の活用
家族や友人への啓発活動

被害に遭っているかもしれない兆候

「チェックリストの結果は悪くなかったけど、最近おかしなことがあった」という方は、すでに被害に遭っている可能性があります。以下の兆候に心当たりはありませんか？

こんな症状があったら要注意

レベル1：初期症状（様子見段階）

攻撃者があなたのアカウントを偵察している段階の兆候です：

ログイン画面で「パスワードが間違っています」と表示される回数が増えた
「○○からログインしました」という通知が時々来る
アプリの設定が勝手に初期化される

レベル2：侵入の兆候（警戒段階）

攻撃者があなたのアカウントに侵入を試みている、または成功した直後の兆候です：

身に覚えのないログイン通知: 特に海外や深夜の時間帯からのアクセス通知は危険信号。すぐにパスワード変更を
パスワードリセットメールの受信: 自分でリセットしていないのにメールが来たら、攻撃者があなたのメールアドレスを把握している証拠
ログイン履歴に見覚えのない記録: 普段使わないデバイスやIPアドレスからのログインは、第三者による不正アクセスの可能性大
友人から「変なメッセージが来た」と連絡: あなたのアカウントから勝手にメッセージが送信されている。すでに乗っ取られています

レベル3：被害発生（緊急対応必要）

実際に金銭的・実質的被害が発生している、または間近に迫っている兆候です：

症状	危険度	必要な対応
アカウントにログインできない	最高	サービスに連絡、全パスワード変更
不正な購入履歴	最高	カード会社に連絡、警察に被害届
ポイントの不正使用	高	サービスに連絡、履歴の保全
個人情報の変更通知	高	即座に修正、2段階認証設定
銀行からの不審な取引通知	緊急	即座に銀行に連絡、口座凍結も検討

今すぐできる！3つの簡単対策

ここまで読んで不安になった方も多いでしょう。でも安心してください。パスワードリスト攻撃から身を守る方法は、実はとてもシンプルです。今から紹介する3つの対策を実践すれば、被害リスクを95%以上削減できます。

対策その1：パスワードを使い回さない

「パスワードを使い回さない」これが最も重要な対策です。でも、「そんなにたくさんのパスワード、覚えられない！」という声が聞こえてきそうですね。大丈夫です。覚えやすくて、かつ安全なパスワードを作る方法があります。

簡単なパスワード作成ルール

パスワード作成を料理のレシピに例えて説明しましょう。美味しい料理を作るように、強固なパスワードを作るのです。

パスワードレシピの材料：

基本の材料（ベースフレーズ）
- 好きな言葉や文章を用意します
- 例：「私は毎朝コーヒーを飲む」→「WatashiAsaCoffee」
調味料（記号と数字）
- 覚えやすい記号と数字を加えます
- 例：生まれ年の下2桁「85」、好きな記号「@」
隠し味（サービス識別子）
- 各サービスの頭文字や特徴を追加
- 例：楽天なら「Ra」、Amazonなら「Am」

完成したパスワードの例：

サービス	パスワード	構成
楽天	WatashiAsaCoffee@85Ra	ベース + 記号 + 数字 + サービス
Amazon	WatashiAsaCoffee@85Am	同じベースで識別子だけ変更
Gmail	WatashiAsaCoffee@85Gm	Gmailの識別子を追加

これなら、基本部分は同じなので覚えやすく、かつサービスごとに異なるので安全です。

さらに強固にするテクニック：

文章の頭文字を使う方法: 「朝起きたら最初に水を飲む習慣がある」→「A0M1WoDr」（朝=A、起きたら=0、最初=M1...）
置き換えルールを決める: 「a」を「@」に、「i」を「!」に、「o」を「0」に置き換える。Coffee → C0ffee
キーボードシフト法: キーボード上で1つ右にずらして入力。「hello」→「jr;;p」
個人的な暗号を作る: 家族の誕生日を組み合わせる、好きな歌の歌詞を使うなど、自分だけの法則を作る

パスワード管理ツールの活用

「それでも覚えるのは大変...」という方には、パスワード管理ツールをおすすめします。これは、あなたのすべてのパスワードを安全に保管してくれる「デジタル金庫」のようなものです。

パスワード管理ツールの仕組みを銀行の貸金庫に例えると：

想像してください。銀行の地下にある巨大な金庫室。その中には、あなた専用の貸金庫があります。この貸金庫を開けるには、マスターキー（マスターパスワード）が1つだけ必要です。

貸金庫の中には、あなたの全ての大切なもの（各サービスのパスワード）が個別の封筒に入って保管されています。必要な時は、マスターキーで貸金庫を開けて、必要な封筒（パスワード）を取り出すだけ。

なぜ安全なのか：

軍事レベルの暗号化
- AES-256という、アメリカ政府も使用する暗号化技術
- 総当たり攻撃でも解読に数億年かかる強度
ゼロ知識証明
- ツールの運営会社も、あなたのパスワードは見られない
- マスターパスワードを忘れたら、誰も復元できない（これが安全の証）
多要素認証対応
- マスターパスワード + 指紋認証などの二重ロック
- 不正アクセスをほぼ不可能に

おすすめの無料パスワード管理ツール：

ツール名	特徴	こんな人におすすめ
Bitwarden	完全無料で全機能使用可	コストを抑えたい人
1Password	使いやすさNo.1（有料）	初心者、家族で共有したい人
LastPass	老舗の安定感（制限付き無料）	実績重視の人
Google パスワードマネージャー	Googleサービスと連携	Android/Chrome使用者

詳しい導入方法は「パスワード管理ツールで攻撃リスクを90%削減する方法」で解説しています。

対策その2：2段階認証を必ず設定

2段階認証（2ファクタ認証とも言います）は、パスワードが破られても、アカウントを守る最後の砦です。これを設定しているだけで、不正アクセスのリスクを99.9%削減できるという統計があります。

2段階認証とは？ATMで例える仕組み

2段階認証の仕組みは、実は皆さんが普段使っている銀行のATMとまったく同じです。

ATMでお金を下ろす時のことを思い出してください：

キャッシュカードを入れる（1つ目の認証）
暗証番号を入力する（2つ目の認証）

どちらか一つだけでは、お金は下ろせませんよね？カードを拾った人が、暗証番号を知らなければ使えない。逆に暗証番号を知られても、カードがなければ意味がない。

オンラインサービスの2段階認証も同じです：

パスワードを入力（1つ目の認証＝キャッシュカード）
スマホに届いた認証コードを入力（2つ目の認証＝暗証番号）

SMS認証（ショートメッセージ）: 最も一般的。スマホに6桁の数字が送られてきて、それを入力する方式。銀行の暗証番号のようなもの
認証アプリ（Google Authenticator等）: 30秒ごとに変わる6桁の数字を生成。駅の改札のように、その瞬間だけ有効なパスコード
生体認証（指紋・顔認証）: あなたの体が鍵になる。偽造がほぼ不可能な最強の認証方法
セキュリティキー（物理デバイス）: USBメモリのような専用機器。車のスマートキーのように、持っている人だけがアクセス可能

主要サービスでの設定方法

それでは、日本で多くの人が使っている主要サービスで、2段階認証を設定する方法を詳しく説明します。スクリーンショットは使えませんが、手順を丁寧に説明するので、スマホやパソコンを見ながら一緒に設定してみましょう。

■ Google/Gmail の設定方法

Googleアカウントの2段階認証は、すべてのGoogleサービス（Gmail、YouTube、Googleドライブなど）を守る重要な設定です。

Googleアカウントにログイン
- パソコンまたはスマホでGoogleにログイン
- 右上の自分のアイコンをクリック
- 「Googleアカウントを管理」を選択
セキュリティ設定を開く
- 左側のメニューから「セキュリティ」を選択
- 「Googleへのログイン」という項目を探す
2段階認証プロセスを有効化
- 「2段階認証プロセス」をクリック
- 「使ってみる」ボタンを押す
- パスワードを再入力（本人確認のため）
電話番号を登録
- スマホの電話番号を入力
- 「テキストメッセージ」か「音声通話」を選択
- 送られてきた6桁のコードを入力
バックアップ方法を設定
- 予備の電話番号を追加（推奨）
- バックアップコードを生成して保存
- 認証アプリも設定すると、さらに安全

■ LINE の設定方法

LINEは日本で最も使われているメッセージアプリ。乗っ取られると、友達全員に迷惑がかかるので、必ず設定しましょう。

LINEアプリを開く
- 「ホーム」タブを選択
- 右上の歯車アイコン（設定）をタップ
アカウント設定へ
- 「アカウント」を選択
- 「ログイン許可」がオンになっているか確認
パスワード設定
- まず強固なパスワードを設定（未設定の場合）
- 英数字と記号を組み合わせた12文字以上推奨
2段階認証を有効化
- 「アカウント」→「2段階認証」を選択
- 「有効にする」をタップ
- 本人確認のため、パスワードを入力
認証方法の選択
- SMS認証を選択（推奨）
- 電話番号を確認して「次へ」
- 届いた認証コードを入力して完了

■ Facebook/Instagram の設定方法

FacebookとInstagramは同じMeta社のサービスなので、設定方法は似ています。

Facebook:

設定メニューを開く
- 右上のメニュー（三本線）をクリック
- 「設定とプライバシー」→「設定」
セキュリティ設定へ
- 左メニューの「セキュリティとログイン」
- 「二段階認証を使用」を探す
認証方法を選択
- 「認証アプリ」または「テキストメッセージ」を選択
- 画面の指示に従って設定

Instagram:

プロフィール画面から設定
- プロフィール画面右上のメニュー
- 「設定」→「セキュリティ」
二段階認証を設定
- 「二段階認証」を選択
- 「スタート」をタップ
- SMS or 認証アプリを選択して設定

■ 楽天・Amazon の設定方法

オンラインショッピングサイトは、クレジットカード情報も登録されているため、特に重要です。

楽天:

楽天会員情報の管理ページへ
「セキュリティ」→「2段階認証の設定」
メールアドレスまたはSMSを選択
認証コードを受け取って設定完了

Amazon:

「アカウント＆リスト」→「アカウントサービス」
「ログインとセキュリティ」を選択
「2段階認証の設定」で「編集」をクリック
SMSまたは認証アプリを選択して設定

対策その3：定期的なパスワード変更と確認

最後の対策は、定期的なメンテナンスです。車も定期点検が必要なように、デジタルアカウントも定期的なケアが必要なのです。

3ヶ月に1度の安全点検

デジタル安全点検チェックリスト：

点検項目	確認内容	推奨頻度
パスワード変更	重要サービス（銀行、メール、SNS）	3ヶ月
ログイン履歴確認	不審なアクセスがないか	1ヶ月
連携アプリの整理	使わないアプリの連携解除	3ヶ月
セキュリティ設定見直し	2段階認証、通知設定の確認	6ヶ月
バックアップコード更新	2段階認証のバックアップ	1年

3ヶ月ごとの点検スケジュール例：

1月・4月・7月・10月の第1土曜日: 「デジタル安全点検の日」として、カレンダーに登録。家族みんなで一緒に実施すると、忘れずに続けられます
点検にかかる時間: 初回：約2時間（全サービスの棚卸しが必要）、2回目以降：約30分（慣れれば15分程度）
点検の優先順位: 1.金融系 → 2.メール → 3.SNS → 4.ショッピング → 5.その他サービス

Have I Been Pwnedでの漏洩確認

「Have I Been Pwned（ハブ・アイ・ビーン・ポウンド）」は、あなたのメールアドレスやパスワードが過去の情報漏洩事件に含まれていないかを無料で確認できるサービスです。

使い方（とても簡単です）：

サイトにアクセス
- haveibeenpwned.comにアクセス
- 英語のサイトですが、操作は簡単
メールアドレスを入力
- トップページの入力欄にメールアドレスを入力
- 「pwned?」ボタンをクリック
結果を確認
- 緑色の表示「Good news」→ 漏洩なし、安全です
- 赤色の表示「Oh no」→ 漏洩あり、対策が必要
漏洩があった場合の対応
- どのサービスから漏洩したか確認
- 漏洩した時期を確認
- そのサービスと、同じパスワードを使っている全サービスのパスワードを即座に変更

定期的なチェックが重要な理由：

新しい漏洩事件は日々発生しています。3ヶ月に1度はチェックして、早期発見・早期対策を心がけましょう。

よくある質問Q&A（初心者の疑問10選）

ここまで読んでいただいた皆さんから、よく寄せられる質問にお答えします。初心者の方が疑問に思うことを、分かりやすく解説していきます。

Q: パスワードリスト攻撃とフィッシング詐欺の違いは？: A: フィッシング詐欺は偽サイトであなたを騙してパスワードを入力させる手口。パスワードリスト攻撃は、すでに漏れたパスワードを使って本物のサイトに不正ログインする手口です。フィッシングは「騙し取る」、リスト攻撃は「使い回す」という違いがあります。どちらも危険なので、フィッシング詐欺対策も併せて確認しましょう。前者は偽物のサイトを見抜く目が必要で、後者はパスワード管理の徹底が必要。両方の対策を組み合わせることで、アカウントの安全性は格段に向上します。
Q: 強いパスワードってどんなもの？: A: 最低12文字以上で、大文字・小文字・数字・記号を組み合わせたものです。例えば「MyDog$Love2024!」のような、意味のある文章を基にして記号や数字を混ぜたものが覚えやすくて強固です。ただし、個人情報（誕生日、ペットの名前）をそのまま使うのは避けましょう。辞書に載っている単語をそのまま使うのも危険です。「P@ssw0rd」のような、よくある置き換えパターンも攻撃者は把握しているので避けてください。理想は、自分だけが知っている思い出や、好きな歌の歌詞などを組み合わせて作ることです。
Q: パスワード管理ツールって本当に安全？: A: 信頼できる大手のツール（1Password、Bitwarden、LastPassなど）は、軍事レベルの暗号化技術を使用しており、紙にメモするよりはるかに安全です。マスターパスワードさえ強固にしておけば、全てのパスワードを安全に管理できます。これらのツールは「ゼロ知識証明」という技術を使っており、運営会社ですらあなたのパスワードを見ることはできません。万が一ツールの会社がハッキングされても、暗号化されたデータは解読不可能です。ただし、マスターパスワードを忘れると誰も復元できないので、これだけは確実に覚えておく必要があります。
Q: 会社のパソコンと個人のスマホで同じパスワードを使ってもいい？: A: 絶対に避けてください。会社のシステムがサイバー攻撃を受けた場合、個人アカウントまで危険にさらされます。逆に個人アカウントから会社システムへの侵入も起こり得ます。仕事用と個人用は必ず分けましょう。実際に、従業員の個人アカウント経由で企業システムに侵入される事例が増えています。これは「サプライチェーン攻撃」の一種で、企業にとって大きな脅威となっています。あなたの不注意が、会社全体を危険にさらす可能性があることを認識しておきましょう。
Q: 生体認証（指紋・顔）なら安全？: A: 生体認証は便利で比較的安全ですが、完璧ではありません。スマートフォンの生体認証は、実際にはパスワードの代替手段であり、最終的にはパスワードでもログイン可能です。生体認証とパスワードの両方をしっかり管理することが重要です。また、生体認証は「変更できない」という弱点があります。パスワードは漏洩したら変更できますが、指紋や顔は変えられません。そのため、生体認証だけに頼らず、必ずパスワードとの併用、できれば2段階認証との組み合わせで使用することをおすすめします。
Q: 古いサービスで使っていたパスワード、もう関係ない？: A: 大きな間違いです。10年前のパスワードでも、攻撃者のリストに残っています。多くの人は似たようなパスワードを使い続ける傾向があるため、古いパスワードから現在のパスワードを推測されることがあります。例えば「Password2015」を使っていた人は、「Password2025」を使っている可能性が高いと攻撃者は考えます。過去に一度でも使ったパスワードは、二度と使わないことが鉄則です。特に、サービスが終了したり、使わなくなったサービスのパスワードほど管理が甘くなりがちなので注意が必要です。
Q: パスワード変更の通知が来たけど、詐欺じゃない？: A: 慎重に確認が必要です。本物の通知と詐欺メールを見分けるポイントは、①送信元メールアドレスが公式のものか、②リンク先URLが正しいか、③個人情報の入力を求めていないか、です。不安な場合は、メールのリンクは使わず、公式サイトに直接アクセスして確認しましょう。多くの正規サービスは、メール内でパスワードの入力を求めることはありません。また、「24時間以内に対応しないとアカウント削除」などの脅迫的な文言は、詐欺の可能性が高いです。
Q: 家族でパスワードを共有するのは危険？: A: 基本的には避けるべきです。ただし、家族で共有が必要なサービス（動画配信など）は、そのサービス専用のパスワードを作り、他では使わないようにしましょう。また、パスワード管理ツールの家族共有機能を使うと、安全に共有できます。子供にパスワードを教える場合は、そのパスワードの重要性と、他人に教えてはいけない理由をしっかり説明することが大切です。定期的にパスワードを変更し、不要になった共有は速やかに解除しましょう。
Q: 2段階認証、スマホを失くしたらどうなる？: A: 事前にバックアップ方法を設定しておけば大丈夫です。①バックアップコードを印刷して保管、②予備の電話番号を登録、③複数の認証方法を設定、などの対策をしておきましょう。多くのサービスでは、アカウント復旧の手順が用意されています。ただし、復旧には時間がかかることがあるので、予防策を講じておくことが最も重要です。特に海外旅行前は、必ずバックアップ方法を確認しておきましょう。
Q: パスワードマネージャーのマスターパスワードを忘れたら？: A: 残念ながら、セキュリティの観点から、誰も（サービス提供者も）復元することはできません。これは安全性の証でもあります。マスターパスワードだけは、絶対に忘れない工夫が必要です。紙に書いて金庫に保管する、信頼できる家族と分割して保管する、などの方法があります。ただし、マスターパスワードを付箋でモニターに貼るようなことは絶対に避けてください。覚えやすく、かつ推測されにくいマスターパスワードを作ることが重要です。

まとめ：今すぐ行動を起こそう

ここまで長い記事を読んでいただき、ありがとうございました。パスワードリスト攻撃について、その仕組みから対策まで、すべてを理解していただけたと思います。

最後に、今すぐ実行すべき3つのアクションをまとめます：

今日中にやること（30分以内）

最重要3サービスのパスワード変更
- メールアカウント（Gmail、Yahoo!メールなど）
- メインバンクのネットバンキング
- よく使うSNS（LINE、Facebook、Instagram）
2段階認証の設定
- 上記3サービスで2段階認証を有効化
- スマートフォンの電話番号を登録
Have I Been Pwnedでチェック
- メインのメールアドレスで漏洩確認
- 漏洩があれば、関連サービスのパスワード変更