日本の銀行パスワード要件まとめ｜主要7行とNIST指針を比較【2026年版】

日本の主要銀行7行のインターネットバンキングパスワード要件を、各行の公式FAQに基づいて調査・比較しました。NIST SP 800-63B-4の指針と比較すると、最小文字数が8文字未満の設定を許す銀行が4行あり、全7行で許容する最大文字数がNISTの推奨する64文字に届きません。ただし、NISTの最小文字数は認証方式によって異なり、各銀行の適合性は公開された文字数だけでは判断できません。現状の課題と、あなたが今すぐできる実践的なセキュリティ対策を解説します。

NIST SP 800-63B-4のパスワード指針

比較の参考とするNIST SP 800-63B-4は、米国国立標準技術研究所（NIST）が2025年7月に最終版を公開したデジタル認証の指針です。以下は認証サービス側への要件であり、日本の銀行にそのまま適用される法的義務を示すものではありません。

NISTが認証サービス側に示す主要ポイント（原文）：

最小文字数：単一要素認証のパスワードは15文字以上。多要素認証の一部としてのみ使うパスワードは8文字以上まで短縮可能
最大文字数：少なくとも64文字まで許容することを推奨（SHOULD）
複雑性強制は非推奨：大文字・小文字・数字・記号の混在強制はかえって逆効果
定期変更は非推奨：漏洩の証拠がある場合にのみ変更を求める
ペースト禁止はNG：パスワードマネージャーからの貼り付けを許可する
禁止リスト照合：一般的・漏洩済み・推測されやすいパスワードと照合して拒否する

特に「複雑性強制が逆効果」という点は多くの人が誤解しています。「英大文字・小文字・数字・記号を混在させること」を義務付けると、ユーザーはAbc1!のような予測しやすいパターンを選ぶようになり、かえってセキュリティが低下するとNISTは指摘しています。

調査方法

2026年7月26日、各銀行の公式サイト・FAQページへ直接アクセスし、インターネットバンキングのログインパスワードについて以下の情報を収集しました。

最小・最大文字数
許可文字種（英大文字・英小文字・数字・記号）
組み合わせ要件（複雑性強制の有無）
禁止文字列・禁止パターン
大文字小文字の区別の有無

対象：三井住友銀行、みずほ銀行、楽天銀行、住信SBIネット銀行、三菱UFJ銀行、りそな銀行、PayPay銀行の7行。すべてのデータは各行の公式FAQまたは手続きガイドから直接引用しており、推測や二次情報は含みません。

主要7行のパスワード要件を徹底比較

三井住友銀行（SMBCダイレクト）

出典：SMBC公式FAQ #783（2026年7月確認）

SMBCダイレクトでは認証方式が2種類存在します：

ログイン暗証番号：数字4桁のみ（取り得るパターン：10,000通り）
インターネット用ログインパスワード：英数字4〜8桁

数字4桁は10,000通りですが、この数字だけでNISTへの適合性や実際の侵入リスクは判断できません。ログイン試行回数制限や他の認証要素がある場合、オンラインの総当たり攻撃への耐性は変わります。フィッシングへの対策も併せて確認してください。

みずほ銀行（みずほダイレクト）

出典：みずほ銀行公式FAQ #250, #9533（2026年7月確認）

ログインパスワード：アルファベットと数字を組み合わせた6〜32桁（英字1文字以上必須）
大文字小文字を区別する

上限32桁は7行中最大水準で、パスワードマネージャーで生成した長いパスワードを使用できます。一方、最小6桁はNISTが多要素認証の一部として使うパスワードに認める下限8文字にも届きません。英数字混在の強制はNISTが検証器に課すべきでないとする構成規則の一例ですが、この銀行の認証方式や利用者への影響は公開情報だけでは評価できません。

楽天銀行

出典：楽天銀行公式パスワード一覧ページ（2026年7月確認）

ログインパスワード（2020年9月14日以降）：英大文字・英小文字・数字・記号、4種類すべてを1文字以上含む8〜12桁
使用可能な記号：$ - . / : @ [ ] _ # & ?
禁止パターン：生年月日・電話番号・単純繰り返し（1111、1234等）・辞書語

最小8桁はNISTが多要素認証の一部として使うパスワードに認める下限と同じですが、単一要素認証の下限15文字には届きません。ただし「4種類全文字種必須」はNISTが認証サービス側に課さないよう求める複雑性強制に当たり、上限12桁はパスワードマネージャーが推奨する16〜20文字のランダムパスワードを登録できません。禁止パターンの設定は、NISTが求める一般的・漏洩済みパスワードの拒否と方向性が一致しますが、照合の実装内容までは公開情報から判断できません。

住信SBIネット銀行

出典：住信SBIネット銀行公式FAQ #1120, #5399（2026年7月確認）

WEBログインパスワード：半角英数記号6〜32桁
大文字小文字の区別なし
禁止：ユーザーネームと同一、同一文字の繰り返し、生年月日から推測しやすいもの

上限32桁はパスワードマネージャーとの相性が良く、記号使用も可能な点は評価できます。ただし「大文字小文字の区別なし」という仕様は有効なエントロピーを低下させ、最小6桁はNISTの条件付きの下限8文字にも届きません。

三菱UFJ銀行（三菱UFJダイレクト）

出典：三菱UFJ銀行公式FAQ #819（2026年7月確認）

IBログインパスワード：半角英字・数字・記号のうち2種類以上の組み合わせ、8〜16桁
使用可能な記号：# $ + - . / : = ? @ [ ] ^ _ ` |
大文字小文字を区別する

最小8桁はNISTが多要素認証の一部として使うパスワードに認める下限と同じですが、単一要素認証の下限15文字には届きません。ただし上限16桁は長いパスフレーズには不足であり、2種類以上の組み合わせ強制はNIST非推奨の慣行に該当します。使用可能な記号が明確に定義されている透明性は良い点です。

りそな銀行（マイゲート）

出典：りそな銀行公式FAQ（2026年7月確認）

マイゲートログインパスワード（2023年3月以降設定）：半角英数字8〜12文字
旧要件（2023年2月以前設定済み）：半角英数字混在6〜12文字
大文字小文字を区別する
注目：2024年7月にビジネス向けも最小8桁へ引き上げ完了

2023年の改訂で最小8文字となり、NISTが多要素認証の一部として使うパスワードに認める下限と同じになりました。ただし、単一要素認証の下限15文字には届きません。継続的にポリシーを改善している姿勢は評価できます。ただし上限12桁の制限はパスフレーズ利用を困難にしています。

PayPay銀行

出典：PayPay銀行公式手続きページ（2026年7月確認）

ログインパスワード：半角英数記号6〜32文字以内
暗証番号（ATM用）：数字4桁
禁止：誕生日・電話番号下4桁・「1111」などの連番

上限32桁はパスワードマネージャーとの相性が良く、記号使用可能な点も評価できます。最小6桁はNISTの条件付きの下限8文字にも届きません。ただし文字数だけで認証全体の安全性は判断できません。

比較サマリー

銀行	最小桁数	最大桁数	複雑性強制	NIST指針との文字数比較	パスワードマネージャー適合性
SMBC（IB用）	4	8	なし	8文字未満	×
みずほ	6	32	英数混在必須	8文字未満	○
楽天	8	12	4種類全強制	8文字以上・15文字未満	△
住信SBI	6	32	なし	8文字未満	○
MUFG	8	16	2種類以上	8文字以上・15文字未満	△
りそな	8	12	なし	8文字以上・15文字未満	△
PayPay	6	32	なし	8文字未満	○

公表された最小桁数が8文字以上の銀行：楽天・MUFG・りそなの3行（43%）。ただし単一要素認証には15文字以上がNISTの下限です
上限32桁以上でパスワードマネージャー対応良好：みずほ・住信SBI・PayPayの3行
最小8文字以上と上限64文字以上の両方を許容する銀行：調査した設定では0行。これはNISTへの適合・違反の判定ではありません

なぜ「複雑性強制」は逆効果なのか？

「大文字・小文字・数字・記号をすべて含む」という要件は、直感的には安全に見えますが、NISTはこれを明確に否定しています。

例えば「8〜12文字で4種類全必須」という要件に直面したユーザーはどうするでしょうか？

Abc123!!（要件を満たす最短パターン）
Password1!（よく使われる予測可能なパターン）
Tanaka@123（名前+数字+記号の典型）

これらはすべて要件を「満たしている」にもかかわらず、辞書攻撃に対してきわめて脆弱です。一方、単純な英字だけでも20文字のランダムな文字列は、4種類混在の8文字パスワードよりはるかに安全です。

8文字（英数字62種）の探索空間：約218兆通り
16文字（英字26種のみ）の探索空間：26^16 ≈ 4.36×10^22通り（62^8の約2億倍）
20文字（英字26種のみ）の探索空間：26^20 ≈ 1.99×10^28通り（62^8の約91兆倍）

各文字を指定の文字集合から独立かつ一様に選ぶ場合の理論値です。62^8は英数字62種から選ぶ8文字の比較用モデルで、4種類混在要件や銀行の禁止規則を適用した数ではありません。実際の解読時間や銀行での登録可否を示すものではありません。

長さを倍にするだけで、複雑性強制を加えるより桁違いに安全になります。これがNISTが「長さ優先」を勧告する理由です。

キャッシュカード暗証番号（ATM用）について

インターネットバンキングのパスワードとは別に、ATMで使う「暗証番号」は全銀行共通で数字4桁です。数字4桁は10,000通りしかなく理論的には脆弱ですが、ATMでは試行回数制限・物理カードの所持・監視カメラなどの抑止効果があるため、オンラインパスワードとは異なるリスク評価が必要です。NISTが多要素認証器をローカルで解除するためのPIN（activation secret）に示す文字数は、銀行ATMの暗証番号へそのまま適用できません。

長いパスワードを設定しにくい背景

システム側の文字数制限

今回確認した上限8桁・12桁などの制限は、長いパスワードを設定する際の障害です。制限の技術的な理由は各銀行の公開FAQだけでは確認できず、既存システムが原因だと断定はできません。

NIST指針と国内要件の違い

NIST SP 800-63B-4の文字数指針は、日本の銀行に直接適用される国内規制ではありません。各銀行の認証方式、追加の認証要素、適用される規制を確認せずに、文字数の比較だけで違反や安全性を判定することはできません。

パスキー（Passkey）への期待

FIDO2/パスキー（Passkey）はパスワードそのものをなくす認証方式であり、フィッシング耐性が高く、ユーザビリティも優れています。一部の日本の銀行でも導入が始まっており、今後数年でパスワード問題の根本的な解決につながる可能性があります。

今すぐできるセキュリティ強化：実践ガイド

1. パスワードマネージャーを銀行に使う

銀行ごとの上限制限を把握しながらパスワードマネージャーを活用してください：

上限32桁（みずほ・住信SBI・PayPay）：20〜30文字のランダムパスワードを自動生成して使用
上限16桁（MUFG）：16文字のランダムパスワードを生成して使用
上限12桁（楽天・りそな）：12文字の範囲で使用。楽天は4種類全文字種必須の条件設定を忘れずに
上限8桁（SMBC）：最大8桁という制限内でパスワードマネージャーを使用

2. 二要素認証（2FA）を必ず設定する

パスワードだけでは不十分です。OTPアプリ（Google Authenticator、Authy等）またはハードウェアトークンを設定してください。SMS認証はSIMスワッピング攻撃のリスクがあるため、アプリ型OTPを優先することを推奨します。詳細は二要素認証完全ガイドをご覧ください。

3. 銀行ごとに異なるパスワードを使う

一つの銀行でパスワードが漏洩した場合、同じパスワードを使っている他サービスすべてが危険にさらされます。パスワードマネージャーを使えば、銀行ごとに異なる複雑なパスワードを簡単に管理できます。1PasswordやBitwardenが特に推奨されます。

4. フィッシング詐欺に注意する

URLを必ず確認：本物の銀行サイトのドメインをブックマーク登録する
メールのリンクは踏まない：常にブックマークからアクセスする
公共Wi-Fiでのインターネットバンキングは避ける

5. 定期的にアクセス履歴を確認する

各銀行のアプリ・Webサービスで最終ログイン日時・ログイン履歴を確認できます。月に一度は確認する習慣をつけましょう。

よくある質問（FAQ）

銀行のパスワードをパスワードマネージャーに保存しても安全ですか？

適切なパスワードマネージャーを使う場合、安全性は高まります。1PasswordやBitwardenは業界標準の暗号化（AES-256）を使用しており、マスターパスワード1つで管理できます。問題は「同じパスワードの使い回し」や「短すぎるパスワード」であり、パスワードマネージャーはこれらを解決します。

銀行のパスワードは定期的に変えた方がいいですか？

NISTは根拠のない定期変更を非推奨としています。漏洩の疑いがある場合や、フィッシング被害に遭った可能性がある場合には即時変更が必要ですが、「3ヶ月に1回変える」という慣行は科学的根拠が乏しく、むしろ覚えやすい（＝弱い）パスワードを作る原因になります。

楽天銀行のパスワードで使える記号はどれですか？

楽天銀行で使用可能な記号は$ - . / : @ [ ] _ # & ?の12種類です。!や(などは使用できないので、パスワードマネージャーでパスワードを生成する際は使用文字セットの設定に注意してください。

SMBCのログイン暗証番号が4桁で不安です。何かできますか？

SMBCではワンタイムパスワード（OTP）の設定を強く推奨します。パスワードが短くても、OTPを設定することで不正ログインのリスクを大幅に低下させられます。また「振込限度額の設定」「メール通知サービス」も必ず設定しておきましょう。

まとめ

調査した7行中4行（57%）が最小8文字未満の設定を許す。NISTの下限は単一要素認証で15文字、多要素認証の一部としてのみ使う場合でも8文字です
全7行で許容する最大文字数がNIST推奨の64文字未満。ただし64文字の許容はSHOULDであり、日本の銀行への法的義務ではありません
3行（43%）が逆効果とされる複雑性強制を採用している
ATM用暗証番号はオンラインのパスワードとは別の認証条件で評価する必要があります

公開された文字数制限だけでは、各銀行がNISTの想定する認証方式に該当するかや、適合・違反の判定はできません。銀行の制約の範囲内で安全性を高めるために、パスワードマネージャーの導入・二要素認証の設定・銀行ごとの異なるパスワード使用という3点を今すぐ実践してください。

本記事のデータは2026年7月時点の各銀行公式FAQおよび手続きガイドに基づいています。各銀行のパスワード要件は変更される場合があります。最新情報は各銀行の公式サイトでご確認ください。