2026年のパスワードセキュリティ：本当に効果があること
基本の先へ — 現代のパスワード攻撃の仕組み、複雑さのルールが機能しない理由、そして今日実際にアカウントを守る方法。
「強いパスワードを使え」というアドバイスは20年間変わっていません。しかし、脅威の状況は大きく変化しました。2026年に本当に効果があることと、なぜ古いルールがしばしば機能しないのかを解説します。
パスワードが漏洩する仕組み
攻撃の手口を理解することが、防御の第一歩です。
クレデンシャルスタッフィング — 攻撃者は、あるサービスの侵害で流出したユーザー名とパスワードのペア（数十億件が公開データベースに存在する）を別のサイトで試します。パスワードを使い回していると、1件の侵害ですべてが危険にさらされます。
ブルートフォース — あらゆる組み合わせを体系的に試す手法です。長くランダムなパスワードには非現実的ですが、短いものやパターンに基づくものには壊滅的な効果を発揮します。
辞書攻撃 — よく使われるパスワードとそのバリエーションのリストを使う手法です（password、P@ssw0rd、password123など）。このようなパターンを生み出す複雑さのルールは、偽りのセキュリティをもたらします。
フィッシング — 偽サイトにパスワードを入力させる手口です。パスワードの強度はここでは何の役にも立ちません。
クレデンシャルの漏洩 — 侵害されたサービスのデータベースです。haveibeenpwned.com で自分のメールアドレスが既知の侵害に含まれているか確認しましょう。
複雑さのルールが機能しない理由
「大文字・小文字・数字・記号をすべて含めること」という古典的なルールは、予測可能なパターンを生み出します。
Summer2024!— すべてのルールを満たしているが、辞書攻撃で数秒で解読されるCorrect!Horse2#— 同じ問題
これらのルールは、人間が記憶できるパスワードを前提に設計されていました。人間が同じパターンをたどるため、機能しないのです。ルールそのものが攻撃の入り口になってしまっています。
パスワードの長さが実際に意味すること
2024年のパスワード解読速度（GPUベース、bcryptハッシュ）：
| 長さ | 文字セット | 解読にかかる時間 |
|---|---|---|
| 8文字 | 小文字のみ | 数秒 |
| 8文字 | 混在＋記号 | 数分〜数時間 |
| 12文字 | 混在＋記号 | 数ヶ月 |
| 16文字 | 混在＋記号 | 数百年 |
| 20文字 | 小文字のみ | それでも数百年 |
長さは複雑さに勝ります。 20文字の小文字パスワードは、8文字の「複雑な」パスワードより強固です。1文字追加するごとに、探索空間が倍増していきます。
Diceware：記憶しやすく、かつ強固
Dicewareはランダムに選ばれた単語からパスフレーズを生成します。
correct-horse-battery-staple
この4語のフレーズは：
- 記憶しやすい — 実際に覚えられる
- 強固 — EFFワードリストから選んだ4語の一般的な単語で、約51ビットのエントロピーを持つ
- 入力しやすい — 探し回るような特殊文字が不要
5語目を追加すると約64ビットに上がり、ほとんどの「複雑な」12文字パスワードより強く、はるかに覚えやすくなります。
ぜひ Diceware Password Generator をお試しください — 暗号論的乱数とEFFワードリストを使用しています。
その他すべてにはランダムパスワードを
パスワードを入力する必要がないアカウント（サイトの90%）では、パスワードマネージャーが完全にランダムなパスワードを生成・保存します。
K7#mP2xQnL9vR4tY
これを見たり入力したりする必要はありません。マネージャーが自動入力します。Password Generator では、長さと文字セットを自由に設定して生成できます。
必須のルール： サイトごとに固有のパスワードを使う、これだけです。使い回しは、パスワードセキュリティにおける最大のミスです。
パスワードの強度を確認する
強度チェッカーには質の差があります。優れたものは以下を評価します：
- エントロピー（実質的なランダム性）— ルールへの準拠だけでなく
- パターン検出 —
P@ssw0rdは複雑さのルールを満たしていても低評価になる - 辞書への登録 — 既知の弱いパスワードかどうか
Password Strength Checker では、Dropboxが開発したライブラリであるzxcvbnを使用しています — チェックボックスをこなすのではなく、現実的な攻撃をモデル化しています。
二要素認証（2FA）
実施できるセキュリティ対策の中で最もインパクトが大きいのは、重要なアカウントで2FAを有効にすることです。パスワードが漏洩しても、第二の要素がなければログインできません。
TOTP（時間ベースのワンタイムパスワード） — Google Authenticatorなどのアプリが、30秒ごとに変わる6桁のコードを生成します。TOTP Generator では、シークレットキーを使ってTOTPの動作をテストできます。
2FAを優先すべきアカウント：
- メール（他のすべてのアカウント回復を制御する）
- パスワードマネージャー
- 銀行・金融口座
- 仕事用アカウント
SSHキーとRSAキー：マシン向けのパスワード
サーバーアクセスやAPI認証には、パスワードの代わりにキーペアを使用しましょう。
- SSHキー — Ed25519キーは、サーバーアクセスの現代的な標準です。SSH Key Generator で生成できます。
- RSAキー — 暗号化、署名、レガシーシステムに使用されます。RSA Key Generator で2048ビットまたは4096ビットのペアを生成できます。
キーはパスワードより根本的に強固です。入力するには長すぎ、推測するには十分にランダムで、ネットワーク上を流れることもありません。
まとめ
影響度の高い順に並べたセキュリティの優先順位：
- サイトごとに固有のパスワード — パスワードマネージャーを使う
- 長くランダムに — 入力するパスワードは16文字以上、または記憶しやすいものにはdicewareを
- 重要なアカウントに2FA — 特にメール
- 侵害状況を確認する — 漏洩したパスワードはすぐに変更する
複雑さのルール、定期的な強制変更、秘密の質問は時代遅れのセキュリティの見せかけに過ぎません。長さ、固有性、そして2FAこそが、あなたを本当に守るものです。