強力なパスワードの作り方|安全なパスワード・パスフレーズ設定の完全ガイド

強力なパスワードは、オンライン上のプライバシーを守るための最も基本的かつ重要な手段の一つです。この記事では、自分にとっては覚えやすく、他人には決して推測できない強力なパスワードやパスフレーズの作成方法を、具体例とともにわかりやすく解説します。

強力なパスワードとは?

オンラインアカウントをしっかり守るためには、以下の条件を満たす強力なパスワードが必要です。

• 完全にランダムな文字列であること
• 17文字以上の長さがあること
• アカウントごとに異なるパスワードを使い分けること
• 90日ごとに定期的に変更すること

一方で、以下のような危険な習慣は絶対に避けましょう。

• 「英単語+数字」のような典型的で予測しやすい形式を使わない
• 誕生日など、公開されている個人情報を含めない
• 「a」を「@」に置き換えるといった、よくある記号への置換テクニックを使わない

パスフレーズとは?

一般的なパスワードが数字・英字・記号の組み合わせであるのに対し、パスフレーズは複数の単語をランダムに組み合わせたものです。例えば次のようなものです。

StingrayCobaltLyingStimulusLiquid

パスフレーズは、通常のパスワードよりも覚えやすく、かつ推測されにくいという大きなメリットがあります。各単語の頭文字だけを覚えるようにしたり、頭の中で歌にして暗記したりするのも効果的です。

ただし、辞書攻撃への対策として、必ず5つ以上の単語を使用しましょう。また、単語の並びは本当にランダムなものを選び、文章のように自然につながっていてはいけません。

パスフレーズ・パスワード生成ツールを活用する

選んだ単語が本当にランダムであることを確実にしたい場合は、「Diceware」や「Secure Passphrase Generator」などの無料のパスフレーズ生成ツールを利用しましょう。ランダムな英数字の組み合わせが必要な場合は、「Norton Password Generator」や「Avast Random Password Generator」が便利です。

なお、多くのオンラインサービスでは独自のパスワード要件が設けられているため、数字や特殊文字の追加、大文字・小文字の混在などが必要になる場合があります。

パスワードを覚えるコツ

誕生日や高校の卒業年度など、覚えやすい個人情報をパスワードに使うことは強く非推奨です。どうしてもパスフレーズを覚えるのが苦手な場合は、ある文から頭字語(ニーモニック)を作る方法が有効です。

例えば、「1950年当時、牛乳1ガロンは32セントだった」という文は、次のように変換できます。

Agomutc$.32bi1950

パスワードを紙に書き留めるのは一般的に好ましくありませんが、元になったフレーズだけをメモしておくのは有効な手段です。たとえ誰かにメモを見られても、その意味は分からないでしょう。

パスワードマネージャーを導入する

便利だからといって、すべてのオンラインアカウントで同じユーザー名とパスワードの組み合わせを使うのは絶対にやめましょう。各アカウントには、それぞれ固有の複雑なパスワードを設定すべきです。幸い、すべてを個別に覚える必要はありません。

複数のオンラインアカウントを持っているなら、パスワードマネージャーを利用してログイン情報を一括管理しましょう。そうすれば、マスターパスワードを1つ入力するだけで、どのアカウントにも安全にログインできます。優れたパスワードマネージャーの多くには、強力なパスワードを自動生成する機能も内蔵されています。

ヒント: 自分のパスワードの強度をチェックしたい場合は、「Password Meter」などのパスワードチェッカーを活用してみましょう。

多要素認証(2FA)の設定

パスワードの強度にかかわらず、可能な限り二要素認証(2FA)を有効にしてアカウントを保護するのがおすすめです。Gmailなどのサービスで2FAをオンにすると、ログインのたびにSMSやメールで確認コードが送信されます。ほとんどの銀行サービスやSNSも、何らかの形で2FAに対応しています。

また、オンラインアカウントだけでなく、スマートフォンやノートPCなどのデバイスにも強力なパスワードを設定しましょう。特に公共の場へ持ち出す機会が多いデバイスは重要です。パスワードに加えて、多くのOSは生体認証にも対応しています。例えば、Windows Helloは顔認証技術を、AppleのTouch IDは指紋認証センサーを使用して、アクセス者の本人確認を行います。

強力なパスワードが重要な理由

パスワードは、同じコンピューターを共有する他者からアカウントを守る役割を果たします。それ以上に重要なのは、個人情報を盗み出そうとするハッカーからの防御です。例えば、メールアカウントのパスワードが漏洩すると、あなたの取引銀行、勤務先、住所など、多くの個人情報が暴かれてしまう可能性があります。ハッカーは盗んだパスワードを闇市場で売却し、悪用することも少なくありません。

ハッカーがパスワードを盗むために用いる主な手法は以下の通りです。

• 総当たり攻撃(ブルートフォース攻撃):自動化ソフトウェアを使い、ランダムな文字の組み合わせを片っ端から試してパスワードを推測します。
• 辞書攻撃:総当たり攻撃と似ていますが、辞書にある単語のランダムな組み合わせを使ってパスワードを推測します。
• フィッシング詐欺:フィッシングメール、自動音声電話、偽のリンクなどでユーザーをだまし、パスワードなどの個人情報を直接聞き出します。
• 認証情報の使い回し攻撃:あるアカウントのユーザー名とパスワードを入手したハッカーは、他のアカウントでも同じ組み合わせが使えるか試します。

パスワードが漏洩した場合の対処法

パスワードが漏洩した疑いがある場合は、速やかに以下の対応を行いましょう。

• より強力な新しいパスワードを作成する
• 関連するアカウントのパスワードもすべて変更する
• アカウント復旧用の情報を更新する
• 銀行口座に不正な取引がないか注意深く確認する

パスワードが漏洩していないか確認する方法

自分の過失がなくても、ユーザー名やパスワードが漏洩することはあります。実際、FacebookやSonyといった大手企業も、ユーザーのログイン情報が流出するデータ漏洩事件の被害を受けています。「Avast Hack Check」のサイトにメールアドレスを入力すれば、自分の情報が漏洩していないかを無料で確認できます。もし漏洩していた場合は、そのメールアドレスに関連付けられたすべてのアカウントのパスワードを直ちに変更してください。

ヒント: セキュリティの質問やアカウント復旧情報を事前に設定しておくことで、アカウントをさらに強固に保護できます。