「複雑なパスワードを3か月ごとに変更」が推奨されなくなった理由

「パスワードは英大文字・小文字・数字・記号を混ぜて8文字以上。3か月ごとに変更すること」。多くの会社の情報セキュリティ規程に、いまも書かれている一文です。長く常識とされてきたルールですが、現在では、この指導は推奨されていません。むしろ、守らせようとするほど安全性が下がることが分かってきたためです。

この記事では、なぜその常識が変わったのか、代わりに何をすればいいのかを整理します。あわせて、いま最も費用対効果の高い対策とされる多要素認証について、何を守れて、何は守れないのかを正直に書きます。「多要素認証を入れたから安心」という理解は、残念ながら正確ではありません。

「複雑なパスワード」指導が効かなくなった3つの理由

1. 破られ方が、総当たりではなくなった

パスワードを複雑にする指導は、「片端から試して当てる」攻撃を想定したものでした。文字の種類を増やし桁を伸ばせば、試す組み合わせが天文学的に増えて、現実的な時間では破れなくなる。理屈としては、いまも正しい。

ところが、企業の不正アクセスで実際に使われているのは総当たりではありません。他社から流出した ID とパスワードの一覧を、そのまま打ち込むやり方です。どこかのサービスで漏れた組み合わせが束になって売買されていて、攻撃者はそれを自社のログイン画面に入力するだけ。鍵を破っているのではなく、拾った鍵を挿しています。

この攻撃に対して、パスワードの複雑さは何の防御にもなりません。どれだけ複雑でも、正解を持っている相手には無意味だからです。効くのは「他所と同じものを使っていない」ことだけ。

2. 複雑さの要求が、かえって弱いパターンを生んだ

「記号を1文字入れること」というルールを課すと、人間の作るパスワードは驚くほど似通います。末尾に「!」を付ける、「a」を「@」に置き換える、「o」を「0」にする。攻撃者はこの癖を知っていて、試す候補にあらかじめ組み込んでいます。ルールが、人間の行動を予測可能にしてしまったわけです。

そして、覚えられないパスワードは書き留められます。付箋、手帳、デスクトップに置かれたテキストファイル。規程を厳しくするほど、この形の管理が増えます。

3. 定期変更は、推奨から外れた

「3か月ごとに変更」というルールも見直されています。米国の国立標準技術研究所（NIST）が2017年に公表した認証に関するガイドライン（SP 800-63B）では、漏えいの兆候がない限り、定期的な変更を利用者に求めるべきではないとされました。日本でも、総務省の啓発サイトをはじめ、定期変更を一律に求める記述は見直されています。

理由は単純です。定期変更を強制すると、人はパスワードを覚えやすい形へ退化させる。「Password2026-01」が3か月後に「Password2026-04」になる。攻撃者から見れば、1つ分かれば次も分かります。手間だけが増えて、強度は下がっていました。

いま推奨されている、パスワードの考え方

実務に落とすと、やることは多くありません。まず長くする。意味のある単語をいくつかつなげた形——いわゆるパスフレーズ——で構いません。記号を無理に混ぜるより効きます。そのうえで使い回さない。リスト型攻撃を止める手段は、突き詰めるとこれ一つです。

ただ、使い回しをやめた瞬間に、人が覚えられる数を超えます。だから管理ツールが要る。規程で禁止する対象ではなく、会社が用意するものだと考えてください。

ただし「変えなくてよい」ではない

誤解されやすいので補足します。定期変更が推奨から外れたのは「意味もなく機械的に変える」ことが逆効果だからであって、変更そのものが不要になったわけではありません。次の場合は、その日のうちに変えてください。

• そのサービス、または同じパスワードを使った別のサービスで流出が公表された
• 身に覚えのないログイン通知が届いた
• 不審なメールのリンク先でパスワードを入力してしまった
• 退職者や委託先が知っていた共用のパスワードがある

時間で変えるのをやめて、事象で変える。そのためには、流出を知る手段と、社員が「やってしまいました」と言い出せる空気の両方が要ります。規程の文言だけを直しても、この二つがなければ運用は変わりません。後者は技術で解決できない部分で、「報告した人を責めない」と明文化している会社と、していない会社では、発覚までにかかる時間がまるで違います。

自社のパスワードが、すでに漏れていないかを確かめる

事象で変えるには、事象に気づかなければ始まりません。

過去に流出した ID とパスワードの組み合わせは膨大な量が出回っていて、自社のドメインのメールアドレスが含まれていないかを調べる手段があります。主要なパスワード管理ツールやクラウドの管理機能には、この照合が最初から組み込まれていることが多く、「このアカウントのパスワードは、過去に流出した一覧に含まれています」と警告が出ます。まずはいま契約しているサービスに、その機能が付いていないかを見てください。追加の負担なしで使えることが、少なくありません。

一つだけ注意を。流出情報を扱うと称するサービスの中には、信頼できないものが混ざっています。調べたい社員のメールアドレスを素性の分からないサイトに大量に投入する行為そのものが、新しい流出経路になりかねません。使うのは、契約しているサービスに付属する機能か、広く知られた事業者のものに限ってください。

パスワード管理ツールを、会社としてどう扱うか

「使い回しをやめる」を本気で実行すると、社員一人あたり数十件のパスワードを抱えることになります。人間の記憶では処理できない量です。ここで管理ツールが必要になりますが、導入を個人任せにすると、別の問題が生まれます。

個人任せにした場合に起きること

• 社員それぞれが別々のツールを使い、会社として実態を把握できない
• 無料版の中には、保管したデータの扱いが不透明なものがある
• 退職時に、業務で使っていたパスワードを引き継げない
• 共用アカウントのパスワードが、個人のツールの中に閉じ込められる

会社として1つ選んで用意する。これが答えです。社員に「使い回すな」と要求する以上、その手段を会社が渡すのは筋が通っています。禁止するより、用意するほうが確実に運用されます。

導入時に決めておくこと

最初に決めるのは、管理ツール自体に多要素認証をかけることです。すべてのパスワードが1か所に集まる以上、ここが破られたときの被害が最大になります。例外は作らないでください。次に、業務用と私用の保管領域を分けておくこと。個人の趣味のアカウントまで会社の管理下に入ると、退職のときに揉めます。そして退職時には、アカウントを止めるだけでなくその人が知っていた共用のパスワードを変えるところまでを手順に含めておく。停止だけで終わらせている会社が、かなりあります。

共有アカウントという、最大の抜け穴

ここまでの対策をすべて実施しても、多くの会社に一つだけ残るものがあります。部署で共用しているアカウントです。「経理部で1つ」「店舗で1つ」という形で使われていて、たいてい次の性質を持っています。

• 誰が使ったのか記録から特定できない
• 多要素認証を入れにくい（誰のスマートフォンに通知を出すのか決められない）
• 退職者が知ったままになりやすい
• 引き継ぎの都合上、パスワードが単純なものになりやすい

理想を言えば全廃ですが、業務の都合で残らざるを得ないこともあります。現実的な落としどころは二つ。まず、数えて一覧にすること。把握していない共有アカウントが、いちばん危険です。そのうえで、パスワードそのものを人に教えるのをやめ、管理ツールの共有機能で配ること。誰に配ったかが記録に残り、退職のときに取り上げられます。あわせて共有アカウントには管理者権限を持たせない——これを原則にしておくと、万一のときの被害の上限が下がります。

多要素認証とは、結局どういう仕組みか

認証に使える要素は、大きく3種類しかありません。

• 知っているもの——パスワード、暗証番号
• 持っているもの——スマートフォン、ICカード、専用の鍵デバイス
• その人自身——指紋、顔

このうち異なる種類を2つ以上組み合わせるのが多要素認証です。パスワードと秘密の質問は、どちらも「知っているもの」なので多要素になりません。パスワードとスマートフォン、という組み合わせが典型です。

効果ははっきりしています。パスワードが流出しても、攻撃者の手元にあなたのスマートフォンはない。リスト型攻撃は、多要素認証の前でほぼ完全に止まります。手間と効果の釣り合いという点で、これに並ぶ対策はそう多くありません。

多要素認証で「守れないこと」を正しく知る

一方で、多要素認証は万能ではありません。突破された事例には、はっきりした型があります。

1. 本物そっくりの画面で、両方をその場で取られる

偽のログイン画面を用意し、利用者が入力したIDとパスワードを、攻撃者がその場で本物のサイトに転送します。本物のサイトが確認コードを求めてくると、偽画面も同じようにコードを尋ねる。利用者が入力したコードを、攻撃者がそのまま本物に入力する。これでログインが成立します。

厄介なのは、この方式ではログイン後の「通行証」まで奪われる点です。一度ログインすると、しばらくは再入力なしで使える仕組みがありますが、この通行証を盗まれると、以後は認証を通らずに入られてしまいます。

2. 承認を求め続けて、根負けさせる

スマートフォンに「ログインを承認しますか」という通知が出る方式の場合、攻撃者は流出したパスワードでログインを何十回も試みます。利用者には通知が延々と届く。深夜に鳴り続けて、止めたい一心で「承認」を押してしまう——これが実際に起きています。

3. 電話番号そのものを乗っ取られる

確認コードをショートメッセージ（SMS）で受け取る方式には、電話番号を第三者に移されてしまう手口があります。SMSは多要素認証の中では最も弱い方式とされていますが、それでも何もないよりは大幅に安全です。導入の障壁が低いことが最大の利点なので、他が使えないなら SMS で始めて構いません。

「気をつける」では、もう対抗できない

偽サイトへの対策として、いまも「不審なメールのリンクを開かない」という教育が行われています。必要なことではありますが、これだけに頼るのは無理があります。現在の偽サイトは、見た目が本物と区別できません。加えて、取引先のアカウントが乗っ取られ、実在する担当者の実在するやり取りの続きとして届く場合、疑う手がかりがそもそもありません。

教育に上乗せする形で、人が間違えても成立しない仕組みを置くことになります。根本的なのは、認証方式そのものを偽サイトで成立しないものに変えること——後で触れるパスキーがこれにあたります。それに加えて、ログインできる条件を絞る手もあります。会社が管理している端末からのみ許可する、社内や特定の地域からのみ許可する。認証情報を盗まれても、条件に合わない場所からは入れません。もう一つ、「承認しますか」に「はい」と答える方式をやめ、画面に出た数字をスマートフォン側で入力させる方式に変えておくと、深夜に通知が鳴り続けても、数字を知らない攻撃者のログインは成立しません。

どれも、多くの法人向けサービスに標準で備わっている機能です。新しく何かを買う前に、いま契約しているサービスの設定画面を一度開いてみることをおすすめします。使える機能が眠っていることが、かなりの頻度であります。

パスキーが、なぜ「偽サイトに強い」のか

パスキー（および FIDO2 と呼ばれる規格）は、仕組みそのものが偽サイト対策になっています。認証に使う鍵が正規サイトのアドレスと結び付いており、アドレスが違えば鍵が反応しません。利用者が騙されても、機械のほうが騙されない構造です。

しかも利用者から見ると、入力する情報がありません。スマートフォンの指紋や顔で解錠するだけです。安全性が上がり、同時に手間が減るという珍しい性質を持っているため、主要なサービスが順次対応を進めています。

すぐ全社導入というわけにはいきませんが、まずは管理者権限のアカウントだけでもパスキーに寄せるのは、現時点で最も効果の高い一手です。

どこから入れるか——現実的な順番

全アカウントに一斉展開しようとすると、現場の反発と問い合わせで止まります。順番はこうです。

1. 管理者権限のアカウント。例外なく、最優先。数が限られているので短期間で終わります。ここが破られると全部が破られます。
2. 外から接続できるもの。VPN、リモート接続、社外から使えるメールやクラウド。攻撃者が実際に叩いてくる場所です。
3. 経営層と、経理・人事のアカウント。権限が強く、扱う情報の性質上、狙われやすい層です。
4. 全社員。ここまで来ると、社内に成功事例と、説明できる人が育っているはずです。

あわせて、多要素認証を回避できる裏口が残っていないかを必ず確認してください。古い接続方式が有効なまま残っていて、そこを通ると認証を求められない——という抜け道は、実際によくあります。表玄関に鍵をかけても、勝手口が開いていれば同じことです。

社内展開で必ず出る反対と、その答え

「現場の手間が増える」

事実です。ただし、いまの方式の多くは毎回求められるわけではありません。同じ端末からのログインであれば、次回以降は省略される設定が一般的です。「毎朝、毎回」という誤解を解くだけで、反発の大半は収まります。

「スマートフォンを持っていない社員がいる」

個人の端末を業務に使わせることには、別の問題もあります。この場合、会社が用意する小型の鍵デバイスという選択肢があります。鍵として持ち歩くだけの機器で、私物を業務に使わせずに済みます。

「機種変更のたびに問い合わせが来る」

これは実際に起きます。だからこそ、展開の前に「戻す手順」を決めておくことです。誰が本人確認をして、どう再設定するのか。ここを決めずに始めると、担当者に問い合わせが集中して運用が破綻します。同時に、この復旧手順自体が攻撃対象になり得ます。「本人確認なしで再設定できる」運用は、多要素認証を入れていないのと同じです。

経営者は、この3点だけ押さえておけばよい

技術の詳細は担当者の領域です。経営として確認すべきことは、次の3つに絞られます。

1. 管理者権限のアカウントに、例外なく多要素認証がかかっているか。「かかっています」ではなく「例外は何件か」を聞いてください。ほとんどの場合、例外があります。そして破られるのは例外のほうです。
2. 社員に使い回しをやめさせる手段を、会社が用意しているか。規程で禁止しているだけなら、実態は変わっていません。手段を用意するのは会社の側の仕事です。
3. 認証をやり直すときの本人確認の手順が、決まっているか。スマートフォンを機種変更した、紛失した、といった場面での再設定手順です。ここが緩ければ、多要素認証を入れていないのと変わりません。攻撃者は正面を諦めたら、必ずこの窓口を狙います。

いずれも、大きな投資を伴う話ではありません。導入済みのはずのものが、実際には例外だらけになっていないか——確認すべきはそこです。

参考になる公的資料

• 米国国立標準技術研究所（NIST）SP 800-63B「Digital Identity Guidelines」——定期変更と文字種の強制についての考え方の転換点になった文書です。
• 総務省「国民のためのサイバーセキュリティサイト」——パスワードの扱いについて、一般向けに平易にまとめられています。
• 独立行政法人情報処理推進機構（IPA）「不正ログイン対策特集ページ」——リスト型攻撃の仕組みと対策が整理されています。
• 内閣サイバーセキュリティセンター（NISC）「インターネットの安全・安心ハンドブック」——社内研修の配布資料としてそのまま使える水準でまとまっています。

次回は、ここまで繰り返し触れてきた「入られた後」の話を正面から扱います。入口対策だけでは足りない理由と、侵入されている前提でどう設計するかを整理します。