「複雑なパスワードを3か月ごとに変更」が推奨されなくなった理由

「パスワードは英大文字・小文字・数字・記号を混ぜて8文字以上。3か月ごとに変更すること」。多くの会社の情報セキュリティ規程に、いまも書かれている一文です。長く常識とされてきたルールですが、現在では、この指導は推奨されていません。むしろ、守らせようとするほど安全性が下がることが分かってきたためです。

この記事では、なぜその常識が変わったのか、そして代わりに何をすればいいのかを整理します。あわせて、いま最も費用対効果の高い対策とされる多要素認証について、何を守れて、何は守れないのかを正直に書きます。「多要素認証を入れたから安心」という理解は、残念ながら正確ではありません。

「複雑なパスワード」指導が効かなくなった3つの理由

1. 破られ方が、総当たりではなくなった

パスワードを複雑にする指導は、「片端から試して当てる」攻撃を想定したものでした。文字の種類を増やし桁を伸ばせば、試す組み合わせが天文学的に増えて現実的な時間では破れなくなる——これは理屈として正しい。

しかし現在、企業の不正アクセスで多く使われているのは総当たりではありません。他社から流出した ID とパスワードの一覧を、そのまま試す方法です。どこかのサービスで漏れた組み合わせが売買されており、攻撃者はそれを自社のログイン画面に入力するだけです。

この攻撃に対して、パスワードの複雑さは何の防御にもなりません。どれだけ複雑でも、正解を持っている相手には無意味だからです。効くのはただ一つ、「他所と同じものを使っていない」ことだけです。

2. 複雑さの要求が、かえって弱いパターンを生んだ

「記号を1文字入れること」というルールを課すと、人間の作るパスワードは驚くほど似通います。末尾に「!」を付ける、「a」を「@」に置き換える、「o」を「0」にする。攻撃者はこの癖を知っており、試行の候補に組み込んでいます。ルールが人間の行動を予測可能にしてしまったのです。

さらに悪いことに、覚えられない複雑なパスワードは、書き留められます。付箋、手帳、パソコンの中のテキストファイル。規程を厳しくするほど、この形の管理が増えます。

3. 定期変更は、推奨から外れた

「3か月ごとに変更」というルールも見直されています。米国の国立標準技術研究所（NIST）が2017年に公表した認証に関するガイドライン（SP 800-63B）では、漏えいの兆候がない限り、定期的な変更を利用者に求めるべきではないとされました。日本でも、総務省の啓発サイトをはじめ、定期変更を一律に求める記述は見直されています。

理由は単純で、定期変更を強制すると、人は覚えやすい形へ退化させるからです。「Password2026-01」が3か月後に「Password2026-04」になる。攻撃者から見れば、1つ分かれば次も分かります。変更の手間だけが増え、強度は下がる。これが実際に起きていたことでした。

いま推奨されている、パスワードの考え方

実務としてまとめると、次の3つに集約されます。

1. 長くする。意味のある単語をいくつかつなげた形（いわゆるパスフレーズ）で構いません。記号を無理に混ぜるより効果があります。
2. 使い回さない。これが最重要です。他所と同じものを使わないこと以外に、リスト型攻撃を防ぐ手段はありません。
3. 管理ツールを使う。使い回しをやめると、人が覚えられる数を超えます。パスワード管理ツールの導入は、規程で禁止するのではなく、会社として用意する方向に切り替えるべきものです。

ただし「変えなくてよい」ではない

誤解されやすいので補足します。定期変更が推奨から外れたのは、「意味もなく機械的に変える」ことが逆効果だからであって、変更が不要になったわけではありません。次の場合は、直ちに変更すべきです。

• そのサービス、または同じパスワードを使った別のサービスで流出が公表された
• 身に覚えのないログイン通知が届いた
• 不審なメールのリンク先でパスワードを入力してしまった
• 退職者や委託先が知っていた共用のパスワードがある

つまり、時間で変えるのをやめて、事象で変えるようにするということです。そのためには、流出を知る手段と、社員が申し出やすい空気が必要になります。規程の文言だけを直しても、この二つがなければ運用は変わりません。

自社のパスワードが、すでに漏れていないかを確かめる

「事象で変える」ためには、事象に気づく必要があります。過去に流出した ID とパスワードの組み合わせは膨大な量が出回っており、自社のドメインのメールアドレスが含まれていないかを調べる手段が存在します。

主要なパスワード管理ツールやクラウドの管理機能には、この照合が組み込まれていることが多く、「このアカウントのパスワードは、過去に流出した一覧に含まれています」と警告が出ます。まずはいま使っているサービスに、この機能が付いていないかを確認するのが最短です。追加の費用なしで使える場合が少なくありません。

注意点が一つあります。流出情報を扱うと称するサービスの中には、信頼できないものが混ざっています。調べたい社員のメールアドレスを、素性の分からないサイトに大量に投入する行為自体がリスクになります。利用するのは、契約しているサービスに付属する機能か、広く知られた事業者のものに限ってください。

パスワード管理ツールを、会社としてどう扱うか

「使い回しをやめる」を本気で実行すると、社員一人あたり数十件のパスワードを持つことになります。これは人間の記憶では処理できません。ここで管理ツールが必要になりますが、導入を個人任せにすると別の問題が生まれます。

個人任せにした場合に起きること

• 社員それぞれが別々のツールを使い、会社として実態を把握できない
• 無料版の中には、保管したデータの扱いが不透明なものがある
• 退職時に、業務で使っていたパスワードを引き継げない
• 共用アカウントのパスワードが、個人のツールの中に閉じ込められる

ですから、会社として1つ選んで用意するのが正解です。費用は発生しますが、社員に「使い回すな」と要求する以上、その手段を会社が提供するのは筋が通っています。禁止するより、用意するほうが確実に運用されます。

導入時に決めておくこと

1. 管理ツール自体に多要素認証をかける。すべてのパスワードが1か所に集まるため、ここが破られると被害が最大になります。例外を作らないでください。
2. 業務用と私用を分ける。個人の趣味のアカウントまで会社の管理下に入ると、退職時に揉めます。業務用の保管領域を分けて運用します。
3. 退職時の回収手順を決める。アカウントを停止するだけでなく、共用のパスワードを変更するところまでを手順に含めます。

共有アカウントという、最大の抜け穴

ここまでの対策をすべて実施しても、多くの会社に一つだけ残るものがあります。部署で共用しているアカウントです。「経理部で1つ」「店舗で1つ」といった形で使われており、次の特徴を持っています。

• 誰が使ったのか記録から特定できない
• 多要素認証を入れにくい（誰のスマートフォンに通知を出すのか決められない）
• 退職者が知ったままになりやすい
• 引き継ぎの都合上、パスワードが単純なものになりやすい

理想を言えば全廃ですが、業務の都合で残らざるを得ない場合もあります。その場合の現実的な落としどころは、次の3つです。

1. 数を数えて、一覧にする。まずは存在を把握します。把握していない共有アカウントが、最も危険です。
2. 管理ツールで共有する。パスワードそのものを人に教えるのではなく、管理ツールの共有機能で配ります。誰に配ったかが記録に残り、退職時に取り上げられます。
3. 強い権限を持たせない。共有アカウントに管理者権限を与えないことを原則にします。共有せざるを得ないなら、せめて被害の上限を下げます。

多要素認証とは、結局どういう仕組みか

認証に使える要素は、大きく3種類しかありません。

• 知っているもの——パスワード、暗証番号
• 持っているもの——スマートフォン、ICカード、専用の鍵デバイス
• その人自身——指紋、顔

このうち異なる種類を2つ以上組み合わせるのが多要素認証です。パスワードと秘密の質問は、どちらも「知っているもの」なので多要素にはなりません。パスワードとスマートフォンの組み合わせが、典型的な形です。

効果は明確です。パスワードが流出しても、攻撃者の手元にはあなたのスマートフォンがありません。リスト型攻撃は、多要素認証の前でほぼ完全に止まります。費用対効果という点で、これに勝る対策はそう多くありません。

多要素認証で「守れないこと」を正しく知る

ここからが本題です。多要素認証は万能ではありません。突破された事例には、はっきりした型があります。

1. 本物そっくりの画面で、両方をその場で取られる

偽のログイン画面を用意し、利用者が入力したIDとパスワードを、攻撃者がその場で本物のサイトに転送します。本物のサイトが確認コードを求めてくると、偽画面も同じようにコードを尋ねる。利用者が入力したコードを、攻撃者がそのまま本物に入力する。これでログインが成立します。

さらに厄介なのは、この方式ではログイン後の「通行証」まで奪われる点です。一度ログインすると、しばらくは再入力なしで使える仕組みがありますが、この通行証を盗まれると、以後は認証を通らずに入られてしまいます。

2. 承認を求め続けて、根負けさせる

スマートフォンに「ログインを承認しますか」という通知が出る方式の場合、攻撃者は流出したパスワードでログインを何十回も試みます。利用者には通知が延々と届く。深夜に鳴り続けて、止めたい一心で「承認」を押してしまう——これが実際に起きています。

3. 電話番号そのものを乗っ取られる

確認コードをショートメッセージ（SMS）で受け取る方式には、電話番号を第三者に移されてしまう手口があります。SMSは多要素認証の中では最も弱い方式とされていますが、それでも何もないよりは大幅に安全です。導入の障壁が低いことが最大の利点なので、他が使えないなら SMS で始めて構いません。

「気をつける」では、もう対抗できない

偽サイトへの対策として、いまも「不審なメールのリンクを開かない」という教育が行われています。必要なことではありますが、これだけに頼るのは無理があります。現在の偽サイトは、見た目が本物と区別できません。加えて、取引先のアカウントが乗っ取られて、実在する担当者の実在するやり取りの続きとして届く場合、疑う手がかりがそもそもありません。

ですから、教育に上乗せする形で、人が間違えても成立しない仕組みを置く必要があります。実務でよく使われるのは次の3つです。

• 認証方式を、偽サイトで成立しないものに変える。後述するパスキーがこれにあたります。最も根本的な対策です。
• ログインできる条件を絞る。会社が管理している端末からのみ許可する、社内や特定の地域からのみ許可する、といった設定です。認証情報を盗まれても、条件に合わない場所からは入れません。
• 承認の押し間違いを防ぐ設定にする。「承認しますか」に「はい」と答える方式ではなく、画面に表示された数字をスマートフォン側で入力させる方式に変えます。深夜に通知が鳴り続けても、数字を知らない攻撃者のログインは成立しません。

いずれも、多くの法人向けサービスに標準で備わっている機能です。追加の製品を買う前に、いま契約しているサービスの設定画面を一度開いてみることをおすすめします。使える機能が眠っていることが、かなりの頻度であります。

パスキーが、なぜ「偽サイトに強い」のか

パスキー（および FIDO2 と呼ばれる規格）は、仕組みそのものが偽サイト対策になっています。認証に使う鍵が正規サイトのアドレスと結び付いており、アドレスが違えば鍵が反応しません。利用者が騙されても、機械のほうが騙されない構造です。

加えて、利用者から見ると入力する情報がありません。スマートフォンの指紋や顔で解錠するだけです。安全性が上がり、同時に手間が減るという珍しい性質を持っているため、主要なサービスが順次対応を進めています。

すぐ全社導入というわけにはいきませんが、まずは管理者権限のアカウントだけでもパスキーに寄せるのは、現時点で最も効果の高い一手です。

どこから入れるか——現実的な順番

全アカウントに一斉展開しようとすると、現場の反発と問い合わせで止まります。順番はこうです。

1. 管理者権限のアカウント。例外なく、最優先。数が限られているので短期間で終わります。ここが破られると全部が破られます。
2. 外から接続できるもの。VPN、リモート接続、社外から使えるメールやクラウド。攻撃者が実際に叩いてくる場所です。
3. 経営層と、経理・人事のアカウント。権限が強く、扱う情報の性質上、狙われやすい層です。
4. 全社員。ここまで来ると、社内に成功事例と説明できる人が育っているはずです。

あわせて、多要素認証を回避できる裏口が残っていないかを必ず確認してください。古い接続方式が有効なまま残っていて、そこを通ると認証を求められない——という抜け道は、実際によくあります。表玄関に鍵をかけても、勝手口が開いていれば意味がありません。

社内展開で必ず出る反対と、その答え

「現場の手間が増える」

事実です。ただし、いまの方式の多くは毎回求められるわけではありません。同じ端末からのログインであれば、次回以降は省略される設定が一般的です。「毎朝、毎回」という誤解を解くだけで、反発の大半は収まります。

「スマートフォンを持っていない社員がいる」

個人の端末を業務に使わせることには、別の問題もあります。この場合、会社が用意する小型の鍵デバイスという選択肢があります。鍵として持ち歩くだけの機器で、私物を業務に使わせずに済みます。

「機種変更のたびに問い合わせが来る」

これは実際に起きます。だからこそ、展開の前に「戻す手順」を決めておくことが重要です。誰が本人確認をして、どう再設定するのか。ここを決めずに始めると、担当者に問い合わせが集中して運用が破綻します。同時に、この復旧手順自体が攻撃対象になり得ます。「本人確認なしで再設定できる」運用は、多要素認証を入れていないのと同じです。

経営者は、この3点だけ押さえておけばよい

技術の詳細は担当者の領域です。経営として確認すべきことは、次の3つに絞られます。

1. 管理者権限のアカウントに、例外なく多要素認証がかかっているか。「かかっています」ではなく「例外は何件か」を聞いてください。ほとんどの場合、例外があります。そして破られるのは例外のほうです。
2. 社員に使い回しをやめさせる手段を、会社が用意しているか。規程で禁止しているだけなら、実態は変わっていません。手段を用意するのは会社の側の仕事です。
3. 認証をやり直すときの本人確認の手順が、決まっているか。スマートフォンを機種変更した、紛失した、といった場面での再設定手順です。ここが緩ければ、多要素認証を入れていないのと変わりません。攻撃者は正面を諦めたら、必ずこの窓口を狙います。

この3点は、いずれも大きな投資を伴いません。導入済みのはずのものが、実際には例外だらけになっていないか——確認すべきはそこです。

参考になる公的資料

• 米国国立標準技術研究所（NIST）SP 800-63B「Digital Identity Guidelines」——定期変更と文字種の強制についての考え方の転換点になった文書です。
• 総務省「国民のためのサイバーセキュリティサイト」——パスワードの扱いについて、一般向けに平易にまとめられています。
• 独立行政法人情報処理推進機構（IPA）「不正ログイン対策特集ページ」——リスト型攻撃の仕組みと対策が整理されています。
• 内閣サイバーセキュリティセンター（NISC）「インターネットの安全・安心ハンドブック」——社内研修の配布資料としてそのまま使える水準でまとまっています。

次回は、ここまで繰り返し触れてきた「入られた後」の話を正面から扱います。入口対策だけでは足りない理由と、侵入されている前提でどう設計するかを整理します。