パスワード管理の基本
この教材でわかること：パスワードの「使い回し」がなぜ危険か、覚えやすくて安全なパスワードの作り方、複数のパスワードを無理なく管理する方法です。
使い回しが危険な理由
あるサービスから ID とパスワードの組み合わせが漏れてしまうと、攻撃者はその組み合わせを別のサービスでも試します。これを「パスワードリスト攻撃」と呼びます。同じ ID とパスワードを複数のサービスで使い回していると、1か所の漏えいが、関係のない他のサービスへの不正ログインにつながってしまいます。
IPA（情報処理推進機構）も、パスワードはできるだけ長く、複雑にし、使い回さないことを一貫して呼びかけています。管理画面のパスワードが、他のサービスで使っているものと同じになっていないか、まず確認してみましょう。
覚えやすく、かつ安全なパスワードの作り方
サービスごとに完全に無関係なパスワードをすべて覚えるのは、現実的ではありません。IPA が紹介している考え方の一つが「コアパスワード」方式です。
- 自分の趣味や思い出など、他人には推測しにくい短いフレーズを基に、記号や数字への変換ルールを決めて「コアパスワード」を1つ作る
- サービスごとに、サービス名に関連する短い識別子（例：サービス名の頭文字など）を前後に付け加える
- 結果として、サービスごとに見た目の異なるパスワードになるが、覚える本体は「コアパスワード」1つだけで済む
この方法なら、使い回しを避けつつ、すべてを別々に記憶する負担を減らせます。
複数のパスワードを管理する方法
識別子の部分まで完全に覚えておく必要はありません。IPA は、サービスごとの識別子を電子ファイルや紙に記録しておく方法も紹介しています。コアパスワード本体は記憶し、識別子だけを記録しておけば、記録が流出・紛失しても、それだけでは悪用されにくいという考え方です。パスワード管理専用のソフト（パスワードマネージャー）を使う方法もあります。
もう一段安全にする：多要素認証
管理画面や重要なサービスでは、パスワードだけでなく、スマートフォンへの通知やワンタイムコードなど、もう一つの確認手段を組み合わせる「多要素認証（2段階認証）」を使えると、パスワードだけが漏れた場合でも不正ログインを防げる可能性が高まります。設定できる場合は有効にしておきましょう。くわしくは教材「管理画面を守る基本」で紹介しています。
漏えいに気づいたときは
不正ログインに気づいた場合は、すぐにそのサービスのパスワードを変更し、サービス提供会社の窓口に連絡してください。Webサイトの管理画面であれば、制作会社・管理会社にもあわせて連絡しましょう。
参考にした公開情報
この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。