30秒で分かる結論
パスワードの使い回しは、1か所の漏洩がすべてに波及するため危険です。
とはいえ、全部を別々に覚えるのは不可能です。パスワード管理ツールを使えば、覚えるのは1つだけで済みます。まずはスマートフォンやブラウザに標準で入っている機能から始めれば十分です。
まず初めに
結論から言う。全サービス同じパスワード、少し変えただけの使い回しは、鍵屋に「この型の鍵、量産できます」と言っているようなものだ。覚える努力を頑張るより、覚えるのをやめたほうが早い。人間の記憶力に安全性を頼るのは、そろそろ卒業していい。※個人の感想です
何が起きているのか
流出したIDとパスワードの組み合わせを、他のサービスで機械的に試す攻撃が広く行われています。
同じ組み合わせを使い回していると、まったく別のサービスであっても連鎖的に侵入されます。これは特定の誰かが狙い撃ちしているわけではなく、機械が大量のアカウントに対して自動で試し続けている結果であり、使い回しをしている限り、いつかは自分の番が回ってきます。
なぜ重要なのか
人間が覚えられるパスワードの数には限りがあります。
その結果、多くの人が「少しずつ変えた似たパスワード」を使うことになりますが、規則性のある変化は自動的に試す対象に含まれます。「末尾の数字だけ変える」「年を1年ずつ足していく」程度の工夫は、攻撃する側にとってはとうに織り込み済みのパターンであり、人間が思いつく「ちょっとした工夫」の大半は、すでに攻撃側の辞書に入っています。
根本的な解決は、覚えることをやめることです。
パスワード管理ツールの仕組み
- 長くランダムなパスワードを自動で生成する
- 暗号化して保管する
- ログイン画面で自動入力する
利用者が覚えるのは、管理ツールを開くためのマスターパスワード1つだけになります。仕組みとしては、すべての鍵を1つの金庫にまとめ、その金庫の鍵だけを自分で管理する、という発想に近いものです。
選ぶときに見る点
- 使っている機器すべてで動くか — スマートフォンとパソコンの両方で使えないと続かない
- 自動入力がブラウザとアプリの両方で効くか
- 管理ツール自体に二段階認証を設定できるか
- 提供元と保管方式が公開されているか
- 引っ越し（エクスポート）ができるか — 後から別のツールへ移れることは重要
この中でも見落とされがちなのが最後の「引っ越しができるか」です。一度大量のパスワードを登録したあとで別のツールに乗り換えようとすると、エクスポート機能がないツールでは作業がほぼ最初からやり直しになります。導入前に確認しておく価値があります。
始め方
最初から全部を移し替える必要はありません。
- 重要度の高いものから登録する（メール、ネット銀行、通販サイト）
- 登録のついでに、そのサービスのパスワードを新しく作り直す
- 残りは、ログインする機会が来たタイミングで少しずつ移す
一度に完璧を目指すと途中で止まります。**重要な数件だけでも移せば、リスクは大きく下がります。**完璧な状態を目指して結局手をつけない、という状態が一番もったいない結果です。
有料ツールと無料ツール、どちらを選ぶか
有料のパスワード管理ツールは、家族間での共有や、複数の端末をまたいだ高度な同期機能など、無料版にはない付加機能を持つことが多くあります。一方で、こうした機能を必要としない多くの人にとっては、スマートフォンやブラウザに標準で搭載されている無料の管理機能でも、使い回しをやめるという目的は十分に果たせます。まず標準機能で始めてみて、物足りなさを感じたときに有料ツールへの乗り換えを検討する、という順番で十分です。
初心者が知っておくべきこと
マスターパスワードだけは自分で覚える必要があります。
長さが安全性を大きく左右するため、記号を混ぜた短いものより、意味のない単語を4つ以上つないだ長いもののほうが、覚えやすく破られにくくなります。
マスターパスワードを忘れると復旧できないツールもあります。回復手段の有無は、導入前に確認してください。これだけは他のどの設定よりも先に確認しておくべき項目です。
ブラウザ保存とパスワード管理ツールの違い
ブラウザに「パスワードを保存しますか」と聞かれてそのまま保存している人も多いはずです。これも広い意味ではパスワード管理の一種ですが、専用のパスワード管理ツールと比べると、複数のブラウザやアプリをまたいだ利用がしにくい、機種変更時の引き継ぎがやや面倒、といった違いがあります。すでにブラウザ保存で運用している場合でも、使い回し自体をやめているなら大きな効果はあります。より快適に管理したくなった時点で、専用ツールへの移行を検討すれば十分です。
家族のパスワードもまとめて見直す機会に
パスワード管理ツールを導入するタイミングは、自分だけでなく家族のアカウント管理を見直す機会にもなります。特に高齢の家族や、パスワードをノートに書き留めている家庭では、同じパスワードを複数のサービスで使い回している例が少なくありません。家族間で管理ツールを共有できる機能を持つものもあるため、家庭内のIT担当を自認する人は、自分の分だけでなく家族の分も含めて見直しておくと安心です。自分だけ対策していても、家族のアカウントから連鎖的に被害が広がる例は珍しくありません。
IT Postの見方
IT Postでは、有料のツールを導入するかどうかより、まず使い回しをやめることのほうがはるかに重要だと考えます。
iPhoneやAndroid、主要なブラウザには標準の管理機能が入っています。追加の費用も設定もほぼ不要なので、専用ツールを比較検討して止まってしまうくらいなら、標準機能で今日始めるほうが実害を減らせます。比較検討をしている間も、使い回しのパスワードは狙われ続けているという事実は変わりません。「どれが一番いいか」で悩む時間があるなら、その時間で今日から標準機能を使い始めたほうが、よほど生産的です。※個人の感想です
今後どうなりそうか
パスキーへの対応が進み、パスワード自体を作らずに済むサービスが増えています。
移行期のあいだは、パスワード管理ツールがパスキーの保管場所も兼ねる形が一般的になりつつあります。
