パスワードの使い回しをやめる方法｜管理アプリの選び方と多要素認証

パスワードの使い回しをやめるには、大事なサービスから順に、サービスごとに違う長いパスワードへ変え、多要素認証を設定します。覚えきれない分は、スマートフォンやブラウザに標準で入っているパスワード管理機能か、専用のパスワード管理アプリに任せます。

悩見有造

どのサイトも同じパスワードを使っています。危ないとは聞くけれど、全部違うパスワードなんて覚えられません。

編集長

覚えなくて大丈夫です。総務省も、パスワード管理ツールやスマホ・ブラウザの標準機能を使うよう勧めているので、危ない理由と、やめ方、アプリの選び方を順番に説明しますね。

パスワードの使い回しはなぜ危ない？リスト型攻撃のしくみ

編集長

使い回しが危ない理由は、攻撃のやり方を知るとすぐ分かります。IPAと総務省の説明で確認します。

1か所で漏れると、他のサービスにも入られる

IPAは、不正ログインの主な原因の1つとして「リスト型攻撃」を挙げています。別のサービスから流出したIDとパスワードのリストを、そのまま他のサービスに入力して試す手口です。

総務省も、他のサービスからパスワードが漏れれば、同じパスワードの重要なサービスにも第三者がアクセスできてしまうと説明しています。使い回しをやめれば、どこかで漏れても被害をそのサービスだけで止められます。

推測されやすいパスワードも破られる

使い回しのほかに、短いパスワードや単純なパスワードは推測で破られます。IPAは、全ての文字の組み合わせを試す総当たり攻撃や、よく使われる語句を集めた辞書を使う辞書攻撃を挙げています。

IPAの「チョコっとプラスパスワード」は、IDと同じもの、名前・電話番号・誕生日をそのまま使ったもの、「1234」「abcd」のような並び、辞書にある単語そのままのパスワードを危険としています。1つでも当てはまるパスワードは、使い回しとあわせて見直します。

漏えいのお知らせが届いたときの確かめ方は、情報漏えいのお知らせが届いたら｜偽メールの見分け方と流出後にやることにまとめています。

使い回しをやめる4つの手順

編集長

いきなり全部を変えなくて大丈夫です。被害が大きいサービスから順に変えていきます。

1. 使っているサービスを書き出し、変える順番を決める

最初に、ログインして使っているサービスを書き出し、メール、ネットバンキングや証券、クレジットカード、ネット通販、SNSの順に並べます。お金や他のアカウントに関わるサービスから変えると、被害の大きいところから守れます。

メールのアカウントは、他のサービスのパスワード再設定の連絡を受け取る場所でもあります。メールのパスワードは最初に変えておきます。

2. サービスごとに長く複雑なパスワードを作る

IPAは、数字・英大文字・英小文字を組み合わせた15桁程度を、安全なパスワードの目安にしています。さらに安全にしたい場合は、記号を加えます。

総務省は、ある程度長いランダムな英数字の並びが理想としたうえで、覚える必要があるときは関係のない英単語をいくつかつなげ、間に数字を挟む方法を紹介しています。自分で考えるより、管理アプリのパスワード生成機能に作らせると手間がかかりません。

3. 管理アプリに保存して、覚えるのは1つだけにする

総務省は、覚える必要のないパスワード管理ツールの利用を勧めています。スマートフォンやWebブラウザの標準機能、専用アプリの保存機能を使うよう案内しています。

警察庁も、IDとパスワードはサイトごとに変え、覚えきれない場合はパスワード管理アプリを使うよう呼びかけています。管理アプリを守るマスターパスワードだけは、どこにも使っていない長いものにします。

4. 定期的な変更はいらない。漏れたときにすぐ変える

総務省は、流出や乗っ取りの事実がなければ、パスワードを定期的に変更する必要はないとしています。その代わり、機器やサービスごとに違うパスワードを設定するよう求めています。

サービスから漏えいの連絡があったときや、乗っ取りに気づいたときは、すぐに変更します。漏れたパスワードを他でも使っていたら、そちらもあわせて変えます。

パスワード管理アプリの選び方

編集長

管理アプリは「どの端末で使うか」と「家族と共有するか」で選ぶと迷いません。

スマホとパソコンが同じ系列なら、標準の機能で始められる

GoogleのパスワードマネージャーはChromeとAndroidに組み込まれていて、パスワードの自動生成・保存・自動入力ができます。Googleアカウントでログインすれば、どの端末でも同じパスワードを使えます。

iPhoneやMacには、Appleの「パスワード」アプリがあります（iOS 18・macOS Sequoia以降）。どちらも端末やブラウザに最初から入っているため、新しく契約せずに始められます。

使い回し・漏えいを知らせてくれる機能があるか

選ぶときは、使い回しているパスワードや漏えいしたパスワードを見つけて知らせる機能があるかを確認します。Googleの「パスワードチェックアップ」は、パスワードの強度や、使い回し・不正使用されたパスワードがないかを確認できます。

Appleの「パスワード」アプリも、推測されやすいパスワード、使い回しているパスワード、データ漏えいで流出したパスワードを検出して警告します。警告が出たものから順に変えていけば、どこから手を付けるかで迷いません。

端末の種類が混ざる・家族と共有するなら専用アプリも候補

iPhoneとWindowsパソコンのように端末の種類が混ざる場合は、両方で使えるかを先に確認します。Appleは、Windows用iCloudを入れればChromeやEdgeからiCloudのパスワードを使えると案内しています。

1PasswordやBitwardenのような専用アプリは、ブラウザ・スマートフォン・パソコン向けのアプリをそろえています。家族とパスワードを分け合いたい場合は、家族向けプランがある専用アプリも選択肢になります。

管理アプリそのものの守りを確認する

管理アプリは全てのパスワードを預ける場所なので、マスターパスワードや端末のロック（生体認証など）で守る必要があります。総務省も、パスワード管理ツールはこの2つで守るよう案内しています。

GoogleアカウントやApple Account、専用アプリのアカウントにも2段階認証を設定しておきます。マスターパスワードが漏れても、2つめの鍵があればそれだけでは入られません。

主なパスワード管理アプリを比較

編集長

公式サイトで確認できた料金と主な機能だけを並べました。料金は2026年11月7日時点です。

標準機能2つと専用アプリ2つの違い

GoogleとAppleは端末やブラウザに組み込まれた標準機能で、1PasswordとBitwardenは別に入れる専用アプリです。専用アプリの料金は、公式サイトに米ドルで表示されています。

出典：Google・Apple・1Password・Bitwardenの各公式サイト（2026年11月7日時点）。料金やキャンペーンは変わるため、最新は公式でご確認ください。

有料アプリは、無料体験・無料プランで試してから

1Passwordは個人向け・家族向けとも14日間の無料体験があり、クレジットカードの登録なしで始められます。年払いの割引は、公式サイトから直接申し込む新規の初年度だけです。

Bitwardenは無料プランでも、端末の数とパスワードの保存数に上限がありません。自分の端末で自動入力がうまく動くかを試してから、有料プランを決めると失敗が少なくなります。

ウイルスバスターの「パスワードマネージャー」は提供終了

トレンドマイクロの「パスワードマネージャー」は、2025年11月16日でサービスの提供を終了しました。後継の製品は「トレンドマイクロ ID プロテクション」です。

保存していたデータは、CSVで書き出して他のアプリへ移せます。古い紹介記事で見かけても、今は新しく使い始めることはできません。

過去の事故と、その公表のしかたも確かめる

LastPassは2022年12月22日、クラウド上のバックアップ保存領域に不正アクセスがあり、顧客の保管庫データのバックアップがコピーされたと公表しました。パスワードなどの項目は暗号化されたままだったと説明しています。

2023年3月1日の更新では、利用者のマスターパスワードはLastPassが保存しておらず、持ち出されたデータにも含まれていないとしています。どのアプリでも、マスターパスワードを長く使い回しのないものにし、多要素認証を設定しておきます。

多要素認証とパスキーで、漏れても入られない状態にする

編集長

最後に、パスワードが漏れても入られないための「2つめの鍵」を付けます。

多要素認証は「パスワード＋スマホ」などの組み合わせ

多要素認証は、知識（パスワード）・所持（スマートフォンなど）・生体（指紋・顔）のうち2つ以上を組み合わせてログインする仕組みです。総務省は、利用するサービスで設定できる場合は積極的に使うよう勧めています。

IPAは、IDとパスワードが漏れても、それだけではログインできないため、不正ログインの防止に効果があると説明しています。使い回しをやめるのと同時に、メール・金融・SNSから設定していきます。

SMSの確認コードは誰にも教えない

IPAが紹介したInstagramの不正ログインの事例では、知人を装ったDMのやり取りの中で、SMSに届いた認証コードを相手に教えてしまっていました。攻撃者はそのコードでログインし、パスワードや登録した電話番号・メールアドレスを変えて、本人が入れない状態にしました。

多要素認証を設定していても、コードを渡してしまえば入られます。SMSに届いた確認コードは、知人や運営を名乗る相手から求められても教えません。

対応しているサービスはパスキーに切り替える

パスキーは、指紋や顔、端末のPINコードなどでログインする方式で、パスワードを入力しません。IPAは、パスワードに代わる認証方式としてパスキーの利用を勧めています。

Googleは、パスキーは公開鍵暗号を使うため、フィッシングやリスト型攻撃のような遠隔からの攻撃を防ぐのに効果的だと説明しています。Googleパスワードマネージャー、Appleの「パスワード」アプリ、Bitwardenはパスキーも保存できるので、パスワードと同じ場所で管理できます。