日本の銀行パスワード要件まとめ｜主要7行をNIST基準と徹底比較

NIST SP 800-63Bとは？パスワードポリシーの世界標準

比較の前に、評価基準となるNIST SP 800-63Bについて説明します。NIST（米国国立標準技術研究所）が2017年に発行し2024年に改訂した、デジタル認証に関する包括的なガイドラインです。日本の金融庁をはじめ、世界中のセキュリティ専門家に参照されています。

NISTが推奨するパスワード要件の主要ポイント：

• 最小文字数：8文字以上（ユーザーが選択する場合）
• 最大文字数：少なくとも64文字まで許容する
• 複雑性強制は非推奨：大文字・小文字・数字・記号の混在強制はかえって逆効果
• 定期変更は非推奨：漏洩の証拠がある場合にのみ変更を求める
• ペースト禁止はNG：パスワードマネージャーからの貼り付けを許可する
• 辞書チェックを推奨：推測しやすい文字列・漏洩済みパスワードを拒否する

特に「複雑性強制が逆効果」という点は多くの人が誤解しています。「英大文字・小文字・数字・記号を混在させること」を義務付けると、ユーザーはAbc1!のような予測しやすいパターンを選ぶようになり、かえってセキュリティが低下するとNISTは指摘しています。

調査方法

2026年7月26日、各銀行の公式サイト・FAQページへ直接アクセスし、インターネットバンキングのログインパスワードについて以下の情報を収集しました。

• 最小・最大文字数
• 許可文字種（英大文字・英小文字・数字・記号）
• 組み合わせ要件（複雑性強制の有無）
• 禁止文字列・禁止パターン
• 大文字小文字の区別の有無

対象：三井住友銀行、みずほ銀行、楽天銀行、住信SBIネット銀行、三菱UFJ銀行、りそな銀行、PayPay銀行の7行。すべてのデータは各行の公式FAQまたは手続きガイドから直接引用しており、推測や二次情報は含みません。

主要7行のパスワード要件を徹底比較

三井住友銀行（SMBCダイレクト）

出典：SMBC公式FAQ #783（2026年7月確認）

SMBCダイレクトでは認証方式が2種類存在します：

• ログイン暗証番号：数字4桁のみ（取り得るパターン：10,000通り）
• インターネット用ログインパスワード：英数字4〜8桁

ログイン暗証番号の「数字4桁」はNIST最小要件（8文字）から最も大きく乖離しています。現代のコンピューターなら10,000通りは瞬時に試行できますが、実際のインターネットバンキングではログイン試行回数に制限があるため、ブルートフォース攻撃そのものはほぼ不可能です。ただしフィッシング詐欺や情報漏洩への耐性は低くなります。

みずほ銀行（みずほダイレクト）

出典：みずほ銀行公式FAQ #250, #9533（2026年7月確認）

• ログインパスワード：アルファベットと数字を組み合わせた6〜32桁（英字1文字以上必須）
• 大文字小文字を区別する

上限32桁は7行中最大水準で、パスワードマネージャーで生成した長いパスワードを使用できます。一方、最小6桁はNIST基準（8文字）に不足。英数字混在の強制はNIST非推奨の複雑性要件ですが、実害は軽微です。

楽天銀行

出典：楽天銀行公式パスワード一覧ページ（2026年7月確認）

• ログインパスワード（2020年9月14日以降）：英大文字・英小文字・数字・記号、4種類すべてを1文字以上含む8〜12桁
• 使用可能な記号：$ - . / : @ [ ] _ # & ? |
• 禁止パターン：生年月日・電話番号・単純繰り返し（1111、1234等）・辞書語

最小8桁はNIST基準を満たします。ただし「4種類全文字種必須」はNIST非推奨の複雑性強制の典型例で、上限12桁はパスワードマネージャーが推奨する16〜20文字のランダムパスワードを登録できません。禁止パターンの設定はNIST推奨の辞書チェックに沿った良い取り組みです。

住信SBIネット銀行

出典：住信SBIネット銀行公式FAQ #1120, #5399（2026年7月確認）

• WEBログインパスワード：半角英数記号6〜32桁
• 大文字小文字の区別なし
• 禁止：ユーザーネームと同一、同一文字の繰り返し、生年月日から推測しやすいもの

上限32桁はパスワードマネージャーとの相性が良く、記号使用も可能な点は評価できます。ただし「大文字小文字の区別なし」という仕様は有効なエントロピーを低下させ、最小6桁はNIST基準未達です。

三菱UFJ銀行（三菱UFJダイレクト）

出典：三菱UFJ銀行公式FAQ #819（2026年7月確認）

• IBログインパスワード：半角英字・数字・記号のうち2種類以上の組み合わせ、8〜16桁
• 使用可能な記号：# $ + - . / : = ? @ [ ] ^ _ ` |
• 大文字小文字を区別する

NIST最小要件（8文字）を満たしている点は評価できます。ただし上限16桁は長いパスフレーズには不足であり、2種類以上の組み合わせ強制はNIST非推奨の慣行に該当します。使用可能な記号が明確に定義されている透明性は良い点です。

りそな銀行（マイゲート）

出典：りそな銀行公式FAQ（2026年7月確認）

• マイゲートログインパスワード（2023年3月以降設定）：半角英数字8〜12文字
• 旧要件（2023年2月以前設定済み）：半角英数字混在6〜12文字
• 大文字小文字を区別する
• 注目：2024年7月にビジネス向けも最小8桁へ引き上げ完了

2023年の改訂でNIST最小要件を満たすようになった点は前向きな変化です。継続的にポリシーを改善している姿勢は評価できます。ただし上限12桁の制限はパスフレーズ利用を困難にしています。

PayPay銀行

出典：PayPay銀行公式手続きページ（2026年7月確認）

• ログインパスワード：半角英数記号6〜32文字以内
• 暗証番号（ATM用）：数字4桁
• 禁止：誕生日・電話番号下4桁・「1111」などの連番

上限32桁はパスワードマネージャーとの相性が良く、記号使用可能な点も評価できます。最小6桁というNIST未達の下限が唯一の課題です。

比較サマリー

• NIST最小8桁を満たす銀行：楽天・MUFG・りそなの3行（43%）
• 上限32桁以上でパスワードマネージャー対応良好：みずほ・住信SBI・PayPayの3行
• 両方を満たす銀行：0行

なぜ「複雑性強制」は逆効果なのか？

「大文字・小文字・数字・記号をすべて含む」という要件は、直感的には安全に見えますが、NISTはこれを明確に否定しています。

例えば「8〜12文字で4種類全必須」という要件に直面したユーザーはどうするでしょうか？

• Abc123!!（要件を満たす最短パターン）
• Password1!（よく使われる予測可能なパターン）
• Tanaka@123（名前+数字+記号の典型）

これらはすべて要件を「満たしている」にもかかわらず、辞書攻撃に対してきわめて脆弱です。一方、単純な英字だけでも20文字のランダムな文字列は、4種類混在の8文字パスワードよりはるかに安全です。

• 8文字（英数字62種）の探索空間：約218兆通り
• 16文字（英字26種のみ）の探索空間：約43京通り（8文字の約200万倍）
• 20文字（英字26種のみ）の探索空間：約20垓通り（8文字の9兆倍以上）

長さを倍にするだけで、複雑性強制を加えるより桁違いに安全になります。これがNISTが「長さ優先」を勧告する理由です。

キャッシュカード暗証番号（ATM用）について

インターネットバンキングのパスワードとは別に、ATMで使う「暗証番号」は全銀行共通で数字4桁です。数字4桁は10,000通りしかなく理論的には脆弱ですが、ATMでは試行回数制限・物理カードの所持・監視カメラなどの抑止効果があるため、オンラインパスワードとは異なるリスク評価が必要です。ただしNIST SP 800-63BのPINに関するガイドラインは6桁以上を推奨しており、日本の4桁は国際標準より遅れています。

日本の銀行はなぜNIST基準に追いつけないのか？

レガシーシステムの制約

日本の大手銀行は1970〜80年代から動いているメインフレームシステムを段階的に更新してきました。パスワードの最大桁数制限（8桁・12桁など）はデータベースのフィールド長設計に起因することが多く、システム全体の改修なしには変更が難しい場合があります。

規制要件の数値化不足

金融庁は認証強化を求めますが、「パスワードは8文字以上にすること」という具体的な数値要件は規制として存在しません。銀行側は現行のシステムが監督指針に「違反していない」と判断しやすい状況です。

パスキー（Passkey）への期待

FIDO2/パスキー（Passkey）はパスワードそのものをなくす認証方式であり、フィッシング耐性が高く、ユーザビリティも優れています。一部の日本の銀行でも導入が始まっており、今後数年でパスワード問題の根本的な解決につながる可能性があります。

今すぐできるセキュリティ強化：実践ガイド

1. パスワードマネージャーを銀行に使う

銀行ごとの上限制限を把握しながらパスワードマネージャーを活用してください：

• 上限32桁（みずほ・住信SBI・PayPay）：20〜30文字のランダムパスワードを自動生成して使用
• 上限16桁（MUFG）：16文字のランダムパスワードを生成して使用
• 上限12桁（楽天・りそな）：12文字の範囲で使用。楽天は4種類全文字種必須の条件設定を忘れずに
• 上限8桁（SMBC）：最大8桁という制限内でパスワードマネージャーを使用

2. 二要素認証（2FA）を必ず設定する

パスワードだけでは不十分です。OTPアプリ（Google Authenticator、Authy等）またはハードウェアトークンを設定してください。SMS認証はSIMスワッピング攻撃のリスクがあるため、アプリ型OTPを優先することを推奨します。詳細は二要素認証完全ガイドをご覧ください。

3. 銀行ごとに異なるパスワードを使う

一つの銀行でパスワードが漏洩した場合、同じパスワードを使っている他サービスすべてが危険にさらされます。パスワードマネージャーを使えば、銀行ごとに異なる複雑なパスワードを簡単に管理できます。1PasswordやBitwardenが特に推奨されます。

4. フィッシング詐欺に注意する

• URLを必ず確認：本物の銀行サイトのドメインをブックマーク登録する
• メールのリンクは踏まない：常にブックマークからアクセスする
• 公共Wi-Fiでのインターネットバンキングは避ける

5. 定期的にアクセス履歴を確認する

各銀行のアプリ・Webサービスで最終ログイン日時・ログイン履歴を確認できます。月に一度は確認する習慣をつけましょう。

よくある質問（FAQ）

銀行のパスワードをパスワードマネージャーに保存しても安全ですか？

適切なパスワードマネージャーを使う場合、安全性は高まります。1PasswordやBitwardenは業界標準の暗号化（AES-256）を使用しており、マスターパスワード1つで管理できます。問題は「同じパスワードの使い回し」や「短すぎるパスワード」であり、パスワードマネージャーはこれらを解決します。

銀行のパスワードは定期的に変えた方がいいですか？

NISTは根拠のない定期変更を非推奨としています。漏洩の疑いがある場合や、フィッシング被害に遭った可能性がある場合には即時変更が必要ですが、「3ヶ月に1回変える」という慣行は科学的根拠が乏しく、むしろ覚えやすい（＝弱い）パスワードを作る原因になります。

楽天銀行のパスワードで使える記号はどれですか？

楽天銀行で使用可能な記号は$ - . / : @ [ ] _ # & ? |の12種類です。!や(などは使用できないので、パスワードマネージャーでパスワードを生成する際は使用文字セットの設定に注意してください。

SMBCのログイン暗証番号が4桁で不安です。何かできますか？

SMBCではワンタイムパスワード（OTP）の設定を強く推奨します。パスワードが短くても、OTPを設定することで不正ログインのリスクを大幅に低下させられます。また「振込限度額の設定」「メール通知サービス」も必ず設定しておきましょう。

まとめ

• 調査した7行中4行（57%）がNIST最小8文字基準を満たしていない
• 全7行がNIST推奨の上限64文字を下回っている
• 3行（43%）が逆効果とされる複雑性強制を採用している
• 全銀行共通でATMの暗証番号は数字4桁

銀行の制約の範囲内で最大限の安全性を確保するために、パスワードマネージャーの導入・二要素認証の設定・銀行ごとの異なるパスワード使用という3点を今すぐ実践してください。

本記事のデータは2026年7月時点の各銀行公式FAQおよび手続きガイドに基づいています。各銀行のパスワード要件は変更される場合があります。最新情報は各銀行の公式サイトでご確認ください。