「3か月ごとにパスワードを変えるべき」と聞いたことがあるかもしれません。しかし、期限だけを理由にした一律の変更は、現在では多くの公的な指針で優先度が低い対策と考えられています。大切なのは、変更が必要な兆候を見逃さず、普段から推測されにくいパスワードを使うことです。
なぜ以前は定期変更が推奨されていたのか
定期変更が広く行われた背景には、パスワードが盗まれても、そのまま長期間使われることを防ぎたいという考えがあります。利用者が被害に気付かないままパスワードを使い続けるより、一定期間で古いものを無効にすれば、盗んだパスワードを使える期間を短くできる、という発想です。
また、以前は現在ほど多要素認証が普及しておらず、ログイン時の本人確認をパスワードに大きく頼る場面が多くありました。そのため、パスワードを更新すること自体が対策として重視されました。
期限だけで変えると起きやすい問題
定期変更には弱点もあります。頻繁に変えるよう求められると、「Sakura2025!」を「Sakura2026!」にするような、前のパスワードから予想しやすい変更をしがちです。覚えきれず、メモを不適切な場所に残したり、複数のサービスで同じパスワードを使ったりすることもあります。
そのため、米国立標準技術研究所（NIST）のデジタル本人確認に関する指針などでは、漏えいを示す証拠がない限り、利用者に定期的なパスワード変更を強制しない考え方が示されています。これは「一度決めたら変えなくてよい」という意味ではありません。理由のある変更と、より重要な日常対策に力を配分する考え方です。
すぐに変更を検討したいケース
1つ目は、サービスからパスワード漏えいの可能性を知らせる連絡を受けた場合です。メール内のリンクは押さず、普段使う公式アプリや自分で入力した公式サイトのアドレスからログインし、案内を確認します。
2つ目は、ログイン画面に似せたフィッシングサイトへパスワードを入力してしまった場合です。入力直後でも、正規サービスのパスワードを変更してください。そのサービスで多要素認証を設定できるなら、有効にします。見覚えのないログイン、登録メールアドレスや送金先の変更、認証コードの通知も確認しましょう。
3つ目は、同じ、またはよく似たパスワードを複数のサービスで使っていると分かった場合です。あるサービスから流出した認証情報を使い、別のサービスへのログインを試みる攻撃があります。特にメールアカウント、金融関連、買い物、クラウド保存先など、他のアカウントの再設定に影響しやすいものから、それぞれ異なるパスワードへ変えます。
4つ目は、他人にパスワードを見られた、共有端末に保存したままにした、端末の紛失や不正利用が疑われる、といった場合です。事情に応じてパスワードを変更し、ログイン中の端末やセッションを確認して、心当たりのないものがあればログアウトさせます。
今日から決める、変更より先にすること
まず、重要なアカウントでパスワードの使い回しがないか確認します。メールアカウントは、他サービスのパスワード再設定メールを受け取る入口になりやすいため、特に優先します。使い回しを見つけたら、同じ文字列を使っているサービスごとに別のものへ変更します。
次に、長く、サービスごとに異なるパスワードを作ります。単語をそのまま1語だけ使うより、覚えられる複数の語句を組み合わせる方法が役立ちます。自力で多数を管理しにくい場合は、信頼できるパスワード管理機能を利用し、管理用アカウント自体には強いパスワードと多要素認証を設定します。
さらに、利用中のサービスが対応していれば、多要素認証を有効にします。パスワードだけでなく、認証アプリやパスキーなど追加の確認を組み合わせる方法です。ただし、認証コードやパスワードを求める連絡が来ても、相手が本物とは限りません。自分から公式の画面を開いて確認する習慣が重要です。
会社やサービスのルールがある場合は従う
勤務先や利用中のサービスからパスワード変更を求められている場合は、そのルールに従います。その際も、末尾の数字だけを変えるのではなく、以前のものと十分に異なるパスワードにします。定期変更の有無だけで安心度は決まりません。使い回しをなくし、漏えいの兆候があれば速やかに変更し、多要素認証を使うことが、現実的な管理につながります。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。