危険なパスワードの例と5つの対策

危険なパスワードは、短い文字列だけではありません。個人情報、漏えい済みの値、複数サービスでの使い回し、予測しやすい変更にもリスクがあります。推測研究が公表している実測値を使って「何回試されると破られるのか」を整理し、攻撃手法ごとに狙われる弱点と5つの対策をまとめます。

危険かどうかは「何回で推測されるか」で決まる

パスワードの安全性は、文字種の多さではなく攻撃者が何回試せば当たるかで決まります。

Bonneau (2012) は7,000万件の匿名化パスワードを分析し、定番候補を試すオンライン攻撃でアカウントあたり約10回の試行により約1%が突破されると報告しました。10ビットのランダム文字列に相当します。NIST SP 800-63B-4は連続失敗の上限を100回以内としており（3.2.2）、10回は防御側の想定範囲です。

表1：攻撃手法別に何が狙われるか

攻撃手法	前提となる条件	狙われる弱点	有効な対策
辞書攻撃（オフライン）	認証情報が漏えいし、試行回数の制限がない	辞書語、定番の数字列、よくある変形	辞書語を避け、長いランダム値を使う
総当たり（ブルートフォース）	同上。探索空間を最後まで試せる	文字数の不足と、文字種の狭さ	長さを確保する（単一要素なら15文字以上）
クレデンシャルスタッフィング	他サービスから漏えいしたIDとパスワードの組を入手している	完全一致の使い回し	サービスごとに値を変え、多要素認証を併用する
パターン推測（クロスサイト推測）	漏えい値から、同じ利用者の別サイトの値を推測する	大文字化・末尾への数字や記号の追加という定型の変形	変形ではなく、独立に生成した値を使う
オンライン推測（レート制限あり）	認証画面へ直接試行する。回数はサービス側で制限される	上位の定番候補	ブロックリストで定番値を弾き、回数制限を維持する

攻撃手法ごとに狙われる弱点が違うため、対策は組み合わせて初めて意味を持ちます。

推測研究が示す成功率と、その実験設定

「弱いパスワードは危険」という説明はよく見かけますが、具体的な数字はあまり共有されていません。以下は参照した研究の数値を実験設定とセットで示したものです。設定が異なるため相互比較はできません。

表2：研究が報告している推測成功率

研究	実験の設定	推測の予算	結果
Bonneau (2012)	7,000万件の匿名化パスワードへのオンライン推測（限速あり）	アカウントあたり約10回	約1%のアカウントを突破
Das ほか (2014)	漏えい済みの非同一ペアへのクロスサイト推測	100回	30%（既存ツールのみでは14%）
Weir ほか (2010)	7文字以上のパスワードへの最適化攻撃	5万回	25%超を突破（10文字以上でも14%超）
Dell'Amico ほか (2010)	イタリア語データセットへのマルコフ連鎖攻撃	約10万候補	20%を突破
Kanta ほか (2021)	95文字種のMD5ハッシュへの総当たり（GPU 1枚で毎秒500億候補）	8文字までの全探索	2日未満で全空間を試行

5万回で7文字以上のパスワードの25%超が破られ、「7文字以上あれば安全」という基準は成立しません（Weir ほか 2010）。Kanta ほか (2021) は、GPU 1枚が毎秒500億件を評価でき、95文字種からなる8文字のMD5ハッシュを2日未満で全探索できると算定しました。同研究はHave I Been Pwned由来の39億アカウント超を分析し、固有パスワードの30%超がちょうど8文字だったと報告しています。深層学習を用いたPassGANは、既存ツールの出力と組み合わせることで一致数を51〜73%増やしたとも報告されています（Hitaj ほか 2019）。

危険なパスワード1：単純すぎる文字列

「123456」「password」「qwerty」は候補リストの先頭に置かれ、限速下のオンライン推測でも最初に試される値です。Weir ほか (2010) は、数字と英字を含む7文字以上のパスワードの11.06%が、末尾に「1」を付ける推測だけで破られたと報告しました。

漏えい済みの値は Have I Been Pwned のPwned Passwordsで照合できます。同サービスのトップページは2026年9月17日時点で1,036件の漏えいサイトと17,816,217,392件の漏えいアドレスを表示していました。

対策：意味を持たないランダム値か、辞書語を組み合わせた長いパスフレーズを使います。当サイトのパスフレーズ生成ツールで作成し、そのままマネージャーへ保存してください。

危険なパスワード2：個人情報に基づく文字列

誕生日、電話番号、ペットの名前などは公開情報から収集しやすく、候補の総数も小さくなります。NIST SP 800-63B-4は、ブロックリストに含める例として「過去の漏えいから得たパスワード」「辞書語」に加え、「サービス名・利用者名およびその派生語」を明示しています（3.1.1.2）。

対策：個人と結びつく情報、サービス名、利用者名、その派生語を含めない値を使います。

危険なパスワード3：複数サービスでの使い回し

漏えいしたIDとパスワードの組を別サービスへ試す攻撃をクレデンシャルスタッフィングと呼び、使い回しが成立条件です。Das ほか (2014) は利用者の43〜51%が同じ値を使い回していると推定し、クロスサイト推測が100回の試行で非同一ペアの30%を突破したと報告しました（既存ツールのみでは14%）。

Pearman ほか (2017) は154名を平均147日間追跡し、完全一致32%・部分的53%・いずれかの形で約60%が使い回されていたと報告しました。

対策：サービスごとに異なる値を設定します。当サイトの一括生成ツールならサービスの数だけ値を一度に作れます。

間違い4：理由のない定期変更だけに頼る

漏えいの兆候がないのに短期間の変更を強制すると、末尾の数字だけを変える予測しやすい更新を誘発します。NIST SP 800-63B-4は定期的な変更を要求してはならない（SHALL NOT）とし、漏えいの証拠がある場合は変更させるとしています（3.1.1.2）。

対策：漏えい報告、不審なログイン、共有者の変更、弱い値の判明時に変更します。判断基準は定期変更が必要な条件で整理しています。

【実例】危険な暗証番号（PIN）パターン一覧

4桁の暗証番号（ATM・スマートフォンのロック画面など）は組み合わせが10,000通りしかないため、パスワード以上に「パターン」の危険性が高くなります。

表3：よくある危険パターンと、辞書に含まれる理由

パターン	具体例	攻撃者の候補リストに載る理由
同じ数字の繰り返し	0000, 1111, 7777	最初に試される定番候補。NIST SP 800-63B-4も暗証値のブロックリスト例に123456を挙げています。
連続した昇順・降順	1234, 4321, 2345, 6543	押しやすさから選択が集中し、辞書の上位に固定されます。
先頭・末尾の定番数列	0123, 9876	過去の漏えいデータでも上位に現れ、候補の最初期に試されます。
テンキー上の直線的な並び	2580, 0852	中央の縦一列など、指の移動が単純な並びは列挙が容易です。
生年月日・年号の下4桁	1990, 0709	個人と結びつく情報から機械的に作れ、候補数が小さく絞り込まれます。
定番値の1文字延長	12345, 00000	延長は辞書の派生ルールで自動生成されるため、対策になりません。

表3は一般的な危険パターンの整理であり、頻度ランキングではありません。NIST SP 800-63B-4も、機器の活性化に使う暗証値について6文字以上を推奨し、連続する失敗を10回以内に制限することを求めています（3.2.10）。

当サイトのPIN生成ツールが実際に除外している条件

当サイトのPIN生成ツールは、次の2条件に一致する値を自動的に作り直します。

定番の4桁14種を部分文字列として含む値。0000〜9999の繰り返し10種と、1234・4321・0123・9876です。6桁や8桁でも内部に並びがあれば作り直します。
全体が昇順または降順に連続する値（4桁以上）。2345や6543が該当します。

一方、生年月日や電話番号の下4桁、テンキー上の並び（2580など）は除外されません。作り直しは最大20回で、上限到達時はその値を表示します。

間違い5：メモの管理が不適切

付箋やノートに書いたパスワードを他人の目に触れる場所に置くケースは少なくありません。NIST SP 800-63B-4は、複雑すぎるパスワードは記憶されにくく、安全でない方法で保存される可能性が高まると指摘しています（付録A）。日常利用は暗号化された管理アプリを基本にしてください。

危険なパスワードを避ける5つの対策

表4：5つの対策と、その根拠

対策	具体的な内容	根拠
1. 長さを取る	単一要素なら15文字以上、多要素認証の一部としてのみ使うなら8文字以上	NIST SP 800-63B-4（3.1.1.2）
2. サービスごとに値を変える	使い回しと、その変形による芋づる式の推測をなくす	Das ほか (2014)、Pearman ほか (2017)
3. 漏えい済み・辞書語・サービス名を避ける	サービス名や利用者名の派生語も除外する	NIST SP 800-63B-4（3.1.1.2）
4. パスワードマネージャーで生成・保存する	生成・保存・自動入力を1か所に集約する	NIST SP 800-63B-4（自動入力の要件）
5. 多要素認証・パスキーを有効にする	値が漏えいしても、それ単独ではログインが成立しない状態にする	NIST SP 800-63B-4

長さは文字種より効きます。使える文字が95種でも8文字は総当たりで2日未満です（Kanta ほか 2021）。多要素認証は漏えい後の被害を限定しますが、他の4つを置き換えるものではありません。

すでに使っているパスワードが心配な方へ

心当たりがある場合は、利用中サービスのパスワードを変更し、使い回しを解消してください。変更の起点は金融・メール・SNS・業務アカウントなど影響の大きいものからで構いません。パスワード強度チェックでは文字構成の理論値を確認できますが、実際の重要パスワードではなくサンプルの入力を推奨します。

漏えいの確認にはHave I Been Pwnedのような照合サービスを使います。ハッシュの一部だけを送る方式ですが、送信先と利用条件の確認は利用者側で行ってください。被害事例はIPAの不正ログイン対策特集ページでも解説されています。

よくある質問

「危険なパスワード」とは、具体的にはどんな文字列ですか？

攻撃者が最初に試す候補に入っている値です。辞書語、定番の数字列、サービス名や利用者名を含む値、過去の漏えいで公開された値が該当します。末尾に1文字足しただけの変形も推測候補に残ります。

大文字・数字・記号を混ぜれば、危険ではなくなりますか？

混ぜるだけでは十分ではありません。研究では、数字を必須にすると末尾に数字を付ける利用者が77.46%に達することが報告されています。長さを確保し、サービスごとに独立した値を使うほうが効果的です。

パスワードを使い回すと、実際にどのくらい危険ですか？

研究では利用者の43〜51%が複数サイトで同じ値を使い回していると推定されています。漏えい値から別サイトを推測する攻撃では、100回の試行で30%のペアを突破できたという報告があります。

4桁の暗証番号（PIN）は使わないほうがよいですか？

4桁は10,000通りしかないため、単体では推測に弱い方式です。ATMのように失敗が続くとロックされる場面では実用的ですが、オンラインサービスで無制限に試せる場面では使わないでください。

まとめ

危険なパスワードかどうかは、攻撃者の候補リストの何番目かで決まります。対策は、長さを取り、サービスごとに値を変え、漏えい済み・辞書語・サービス名を避け、パスワードマネージャーで管理し、多要素認証を有効にすることです。5つは代替関係になく、1つ欠けると別の攻撃が成立します。

本記事の調査範囲と限界

表2の数値は相互に比較できません。研究ごとにデータセットと攻撃アルゴリズムが異なり、特定のサービスへ外挿できないためです。
Bonneau (2012) の「約10回で約1%」は集団に対する経験則です。個々のアカウントが1%で破られる意味ではありません。
Kanta ほか (2021) の2日未満という算定はMD5が前提です。bcryptやArgon2では所要時間が大きく変わります。
当サイトのPIN生成ツールが除外するのは限定的です。定番4桁14種を含む値と、全体が昇順・降順に連続する値だけです。生年月日やテンキー上の並びは対象外で、作り直しも最大20回です。
表示されるエントロピーは理論値です。桁数に log₂10 を掛けた値で、パターン除外による減少は反映していません。
Have I Been Pwned の統計値は変動します。対象は公開された漏えいのみで、本記事の件数は2026年9月17日時点の表示です。
個別サービスのパスワード要件は実測していません。上限文字数・記号・試行回数制限の実装は各サービスに依存します。

参考資料

著者・編集：passwordgenjp.com 情報セキュリティ研究チーム。公開資料の確認日：2026年9月17日。