パスワードを使い回しているが、変えるきっかけがない

同じパスワードを、あちこちのサービスで使い回している。よくないことだとは分かっている。分かっているが、数十あるログインを一つずつ別の複雑な文字列に変えて、しかも全部覚えるなど、現実には無理だ。だから「そのうち、まとめて変えよう」と思ったまま、何年も経つ。変えるきっかけが、やってこない——この辞典が扱うのは、その場面である。

• よく使うパスワードが数種類あり、サービスごとにそれを少しずつ変えて使い回している。
• 新しいサービスに登録するとき、「いつものやつ」を打ち込んでいる。
• パスワードを忘れて「再設定」のメールを送る、というのが月に何度かある。
• 付箋やメモ帳、スマホのメモに、パスワードの一覧が書いてある。
• 「定期的に変えたほうがいい」と聞いて変えたことはあるが、末尾の数字を一つ増やしただけだった。
• どこかのサービスで情報が漏れたというニュースを見て一瞬不安になるが、自分がどれを使い回しているか思い出せないので、そのままにした。

どれも、特別だらしないわけではない。むしろ、覚えられる範囲でどうにか回そうとした結果、自然とこうなる。

この困りごとに向き合おうとしたとき、多くの人はこう考える。

「もっと複雑なパスワードを、サービスごとに別々に作ろう」。大文字・小文字・記号を混ぜ、他人に推測されない文字列にする。そして「定期的に変えよう」。三か月に一度、あるいは半年に一度、全部を新しいものに変えていく。セキュリティの心得として、長くそう言われてきた。

考え方の方向は間違っていない。だが、このやり方には二つの落とし穴がある。一つは、続かないこと。もう一つは、そもそも今はもう推奨されていない部分が含まれていること。この二つを見ないまま同じやり方を続けると、また同じ場所で止まることになる。

使い回してしまう本当の原因は、意識の低さでも、面倒くさがりでもない。人間の記憶力には限界があり、数十のサービスに別々の複雑な文字列を割り当てて覚えることは、そもそも誰にもできない。使い回しは、その限界に対する、ごく合理的な適応である。頭で覚えられる数を超えたものを、覚えられる形に落とし込んだ結果にすぎない。

ここを取り違えると、対策の方向を間違える。「気合いを入れて、今度こそ全部を別々にして覚える」——これは、記憶力の限界という動かせない事実に、根性で立ち向かおうとする話だ。一時はできても、サービスが増えれば必ず破綻する。破綻したところに、また使い回しが戻ってくる。同じ場所を、ぐるぐる回ることになる。

そして、もう一つ。「パスワードは定期的に変えましょう」は、今は公的にも推奨されていない。これは知らない人が多い。総務省の案内は、定期的に変えるよりも、機器やサービスの間で使い回しのない固有のパスワードを設定することが求められる、としている。理由は、定期的に変えさせると、作り方がパターン化して単純になったり、覚えきれずに使い回すようになったりして、かえって危うくなるからだ。国際的な指針（米国NISTのガイドライン）も同じ方向で、パスワードの変更を求めてよいのは「漏れた証拠があるとき」だけ、としている（いずれも2026年時点。制度は更新されるため、実際に対策する際は公表元で最新を確認するとよい）。

つまり、昔ながらの「複雑にして、こまめに変える」のうち、「こまめに変える」のほうは、今はむしろ逆効果とされている。良かれと思って続けてきた習慣が、実は問題を増やす側に回っていた、ということが起こりうる。

では、使い回しの本当のリスクはどこにあるのか。それは「一つのパスワードを、複数の人に見られること」ではない。一つのサービスから漏れた瞬間、同じ組み合わせを使っている他のサービスが、芋づる式に全部開くことにある。攻撃する側は、どこかで漏れたIDとパスワードの一覧を手に入れると、それを他のサービスに片端から試す。使い回していれば、一か所の漏洩が、そのまま全口座・全アカウントの漏洩につながる。問題は「使い回し」という行為そのものより、「一つ漏れたら連鎖する」という構造のほうにある。

解くべき問いを、立て直す。

多くの人は、この困りごとを「どうやって覚えるか」「どのタイミングで変えるか」という問いだと思っている。だが、記憶に頼るかぎり必ず破綻し、定期的に変えること自体が今は推奨されていない以上、その問いのままでは出口がない。

問いは、こう変わる。「どう覚え、どう変えるか」ではなく、「覚えなくてよく、一つ漏れても連鎖しない状態を、どう作るか」。記憶に頼る設計をやめる、ということだ。人間の記憶力という、変えようのない限界に合わせて、仕組みのほうを設計し直す。

軸は二つになる。

一つ目。サービスごとに違う、長くて複雑なパスワードを「人が覚えない」形にする。覚えないのだから、いくら複雑でも、いくつ増えても構わない。生成と保管を、人の頭の外に置く。

二つ目。パスワードが一つ漏れても、それだけではログインされない備えを重ねる。これは、パスワードとは別の要素（スマホの確認など）をもう一段挟む考え方だ。

そして、「変えるきっかけがない」という最初の悩みへの答えは、こうなる。きっかけを待つのを、やめる。「いつか、まとめて」を待っているかぎり、その日は来ない。待つのではなく、どこから手をつけるべきかを外から示してもらい、危ないものから順に片づける。次の「選び方」のA案は、その「きっかけを作る」ところをAIに肩代わりさせる道である。

記憶に頼らない形への移し方には、いくつかの道がある。会社の状況によって、合う入り口は違う。

A案：AIに「どこから変えるべきか」を調べさせ、きっかけを作らせる

「まとめて変えよう」が動き出さないのは、どこから手をつければいいか分からず、全部が同じ重さの宿題に見えるからだ。その手間を、人以外に渡す方法がある。対策を教えてもらうのではなく、調べる手間そのものを渡す。任せるのは、調べものと、優先順位づけだ。

具体的には、こういうことができる。自社で使っているメールアドレスやドメインが、過去に公表された情報漏洩の中に含まれていないかを調べる手段（メールアドレスを入れて確認する無料の照合サービスや、ブラウザ・スマホに標準で入っている漏洩警告の機能など）がある。その「どういう手段があり、どう確かめ、結果をどう読むか」を、AIに整理・案内させる。そのうえで、「このメールは過去の漏洩に出ている」「このパスワードは使い回している数が多い」といった状況を並べて、どのサービスから変えるべきか、危ない順に並べてもらう。全部を一度にやろうとして動けなかったところに、「まずここ」という最初の一歩を、AIが差し出す。

• 向く場面：使い回しているのは分かっているが、数が多くて、どこから手をつけていいか見当がつかない会社。
• 割に合わないこと：漏洩を調べる手段は、入力したメールアドレスの扱いがサービスごとに違う。扱いを確認できるものを選ぶことになる（この見極め自体をAIに手伝わせるという手もある）。また、AIは「危ない順」を示すが、実際にどう変えるか・どのサービスを優先するかの最終判断は人がする。
• 始める前に要ること：自社で使っている主なメールアドレスと、ログインしている主なサービスを、ざっと書き出しておくこと。完璧な一覧でなくてよい。

※AIにはいろいろな種類・サービスがある。ここでは「特定の製品を入れる」話ではなく、「調べものと優先順位づけをAIに任せ、動き出すきっかけにする」という考え方を指している。どれが合うかは、会社の状況によって変わる。

B案：パスワードを「覚えない」形にする（パスワード管理の仕組み）

サービスごとに違う、長くて複雑なパスワードを、人が覚えずに自動で作り・保管する仕組みに任せる。使うときは一つの鍵（親のパスワードや指紋・顔など）で取り出す。これが、記憶に頼らない設計の本命である。総務省の案内でも、こうした管理の仕組みを使う方法が挙げられている。

• 向く場面：ログインの数が多く、もう頭では管理しきれていない会社。付箋やメモ帳に書き出している状態を、そろそろやめたい会社。
• 割に合わないこと：最初に、今使っているパスワードを仕組みへ移す手間がかかる。また、取り出すための「一つの鍵」を忘れる・漏らすと影響が大きいので、そこだけは慎重に扱う必要がある。仕組みには、ブラウザに内蔵されたもの、スマホやパソコンに標準で付いているもの、専用のものなど種類があり、どれを使うかは会社の状況で選ぶ。
• 始める前に要ること：まずは、いちばんよく使う数個から移す、と決めること。全部を一度に移そうとしない。

C案：漏れても入られないよう、もう一段の確認を重ねる（多要素認証）

パスワードに加えて、スマホへの通知や確認コードなど、もう一つの要素をログイン時に挟む。パスワードが漏れても、その一段があれば、それだけでは入られない。使い回しの「一つ漏れたら連鎖する」を止める効き目が大きい。

• 向く場面：全部のパスワードを作り直すのはすぐには難しいが、まず「入られない」備えを急ぎたい会社。特に、お金やメール、顧客情報につながる重要なログインから。
• 割に合わないこと：確認コードを本物そっくりの偽サイトでその場で盗む手口も出てきており、確認コードを送るだけの方式は過信できない。より偽サイトに強い方式として、スマホやパソコンに登録した鍵で認証する「パスキー」と呼ばれる仕組みがある。ただしパスキーは、使っているサービスが対応しているか、機種変更のときに引き継げる設定になっているかで、使い勝手が変わる。当面は従来のやり方との併用が続く。
• 始める前に要ること：重要なログインから順に、多要素の確認をオンにできるか、設定画面を確認すること。

どの案が正解、という話ではない。理想はB（覚えない形）とC（もう一段の確認）を組み合わせることだが、一度にやろうとすると動けなくなる。まずAで「どこから」を決め、危ないところからB・Cに手をつける——この順なら、動き出しやすい。

お金をかけずに、今日できることがある。

まず、頭の中でこう問う——「もし今、いつも使っているパスワードが一つ漏れたら、他にどこが同じで開いてしまうか」。メールが開けば、そこから各サービスのパスワード再設定もできてしまう。だから、メールと、お金に直結するログインの二つだけは、他と違うパスワードにする。この二つを別にするだけで、連鎖の一番太いところが切れる。全部をやる必要はない。手をつけるのは、まずこの二つになる。

次に、その重要な二つに、C案の「もう一段の確認」をオンにできないか、設定画面を開いてみる。主要なサービスでは、追加の費用なく、数分で設定できることが多い。

この一歩でできるのは「連鎖の急所を、まず二か所だけ止める」ところまでだ。残りの数十のログインをどう覚えない形にしていくか、という本丸は、ここから先に残る。

「どの手段が、入力した情報を安全に扱ってくれるのか判断がつかない」「パスワードをまとめる仕組みに移すのが不安で、途中で止まってしまった」「多要素の確認をオンにしたら、現場のログインが回らなくなるのではと心配」——ここで判断がつかなくなる、というのは珍しくない。ログインは毎日の業務の入り口であり、手を入れれば全員の作業に影響が及ぶ。

そういうときは、OSAKA AI-Center の窓口に相談するという選択肢がある。何かを買う必要はなく、こちらから売り込むこともない。「うちはこういうサービスを、こういう形で使っていて、どこから手をつけたものか」——その整理を一緒に考えるところまでが、この辞典の役割である。

ITは、本来は専門家の領分でもある。弁護士や税理士のように、ITと経営の両方を知る第三者を"ブレイン"として側に置く——という考え方もある。何もかも自社だけで抱え込まなくていい。この辞典も、そうした相手と一緒に読めば、自社に合った次の一手につながりやすい。