強力なパスワードを作成する10のヒント

「強いパスワードを作れ」と言われても、具体的にどうすれば良いのか戸惑った経験はありませんか？この記事では、セキュリティ専門家が実際に使っている10のテクニックを、初心者にもわかるように具体例とともに解説します。読み終えたあとには、あなたも自信を持って解読困難なパスワードを生成できるようになります。

この記事で得られること

• 数秒で破られるパスワードと、数億年かかるパスワードの決定的な違い
• 「覚えやすくて強い」パスワードを作るパスフレーズ法
• 攻撃者の手口を逆手に取る上級テクニック
• 各ヒントを今すぐ実践するための具体的なツール

パスワード強度の最重要因子は、複雑さよりも「長さ」です。文字種を増やすよりも、長くするほうが指数関数的に強くなります。

数値で見る長さの威力

• 8文字（混合）：約2時間で総当たり可能
• 12文字（混合）：数百年
• 16文字（混合）：数兆年
• 20文字（混合）：宇宙の年齢を超える時間

オンラインバンキングや主要メールには、最低16文字、できれば20文字を目安にしましょう。

「ランダムな文字列は覚えられない」という人にとって、パスフレーズは救世主です。EFF（電子フロンティア財団）の単語リストから4〜6個の無関係な単語を選びます。

例：`correct-horse-battery-staple`（38文字、77ビットエントロピー）

このような4語の組み合わせは：

• 強力（解読不可能レベル）
• 覚えやすい（視覚的イメージで記憶）
• タイピングしやすい

Basiccalculatoronlineproのパスワードジェネレーターには、パスフレーズモードが用意されています。日本語ユーザーには、英単語ベースの方が打ちやすく、強度も国際標準に準拠します。

大文字・小文字・数字・記号を全て含めることで、組み合わせ数が爆発的に増えます。

キーストロークで見る効果

12文字のパスワードで比較：

• 小文字のみ：26^12 = 9.5×10^16
• 大小文字+数字：62^12 = 3.2×10^21（約3万倍）
• 4種混合：95^12 = 5.4×10^23（約570万倍）

記号の選び方

避けるべき：!@（最も多用される）

推奨：~`#$%^&*()-_=+[]{};':",.<>?/|

（攻撃辞書で出現頻度が低い記号を意識的に選ぶ）

攻撃者は対象者のSNS、ブログ、公開情報を徹底的に調べ上げて辞書に加えます。

絶対に避けるべき情報

• 誕生日（自分・家族・配偶者）
• 名前・ニックネーム
• ペットの名前
• 学校・会社名
• 住所・郵便番号
• 電話番号
• お気に入りのスポーツチーム・アーティスト
• 結婚記念日

これらは「ソーシャルエンジニアリング辞書」に必ず登録されており、攻撃の最初に試行されます。

これは「強いパスワード」以前の絶対原則です。1つのサイトで漏洩したパスワードは、攻撃者によって自動的に他の数百サイトで試されます（クレデンシャル・スタッフィング）。

使い回しの実害例

2022年のNorthon発表によると、データ漏洩被害の62%は、漏洩した認証情報の他サイトでの再使用が原因でした。たった1つの弱い趣味サイトのパスワードが、銀行口座を陥落させる引き金になり得ます。

解決策

各サイトに固有のパスワードを設定し、パスワードマネージャーで一元管理します。記憶すべきはマスターパスワード1つだけ。

「全部別のパスワード」を実現する唯一の現実的方法は、パスワードマネージャーの利用です。

主要オプション

Bitwarden（無料・OSS）：透明性が高く、無料プランで個人需要をほぼカバー。第三者監査済み。

1Password（有料）：UI/UXが洗練され、家族プラン・トラベルモードなどの先進機能。

KeePassXC（無料・OSS）：ローカルストレージのみ。最もプライバシー志向。

iCloudキーチェーン / Googleパスワードマネージャー：エコシステムに統合された選択肢。基本機能は十分。

マスターパスワードの作り方

マスターパスワードだけは記憶する必要があります。パスフレーズ方式で20文字以上を推奨。

かつては「90日ごとに変更」が定説でしたが、最新のNIST（米国国立標準技術研究所）ガイドラインでは、強制的な定期変更は推奨されていません。

更新すべきタイミング

• データ漏洩通知を受けた時：即座に変更
• デバイス紛失時：関連アカウントすべて
• 共有していた相手との関係終了時：例：元同僚、元パートナー
• 公共Wi-Fiで使用した可能性がある時

逆に「90日定期変更」を強制すると、ユーザーは「Password1」「Password2」のような連番化を生じやすく、かえって安全性が低下します。

辞書攻撃は、一般的な単語と簡単な変形（leet speak: a→@, e→3など）を組み合わせて試行します。

効果的な防御

• 辞書単語をそのまま使わない
• 複数の無関係な単語を組み合わせる（パスフレーズ）
• leetは過信しない：「P@ssw0rd」は辞書攻撃で即座に破られます
• 真にランダムな文字列を生成器で作る

どれほど強いパスワードでも、フィッシングで盗まれる可能性は残ります。2FAはその最後の砦です。

2FAの強度ランキング

1. ハードウェアキー（YubiKey等）：最強。フィッシング耐性

2. 認証アプリ（Authy、Google Authenticator）：非常に強い

3. プッシュ通知：強い（要・端末ロック）

4. SMS：最弱だがゼロより遥かに良い

必ず2FAすべきアカウント

• メイン Email（他のすべてのリセット起点）
• パスワードマネージャー
• 銀行・証券・仮想通貨
• 主要 SNS
• クラウドストレージ

人間の脳は「ランダム」が苦手です。「思いつき」のパスワードは必ず偏ります。

ジェネレーターの利点

• 暗号学的に安全な乱数（CSPRNG）を使用
• 人間のバイアスがゼロ
• 設定で文字種・長さを完全制御
• 数秒で生成

Basiccalculatoronlineproパスワードジェネレーターの特徴

[無料パスワードジェネレーター](/password-generator)は完全にブラウザ内で動作します：

• サーバーに何も送信されない
• 文字種・長さ・除外文字を細かく設定可能
• パスフレーズモード搭載
• 強度メーター付き
• 一括生成も対応

1. メインメールのパスワードを20文字に変更

2. パスワードマネージャーをインストール

3. マスターパスワードを設定（パスフレーズ方式）

4. 過去に使い回していたパスワードをリストアップ

5. 重要アカウント10個を順次強化

6. 各アカウントで2FAを有効化

7. Have I Been Pwnedで漏洩チェック

8. ブラウザに保存していたパスワードを削除（マネージャーへ移行）

9. 古いアカウントの解約検討

10. 家族にも安全なパスワード作法を共有

強いパスワードは「魔法の呪文」ではなく、いくつかのシンプルな原則の組み合わせです。長さ、ランダム性、ユニーク性、そして適切なツールの活用——これだけで攻撃成功率を99%以上低下させられます。

セキュリティは難しくありません。むしろ、現代のパスワードマネージャーとジェネレーターを使えば、以前より遥かに簡単になっています。今日、最初の1アカウントから始めてみてください。

関連記事

• [パスワードセキュリティの基礎](/blog/password-security-basics)
• [パスワードマネージャー完全ガイド](/blog/password-manager-guide)
• [2要素認証の設定方法](/blog/two-factor-authentication)
• [サイバーセキュリティ基礎](/blog/cybersecurity-basics)