【悲報】99%の人が知らない…パスワードを定期的に変更すると逆に危険だった
「パスワードは定期的に変更しましょう」。これまで会社やネットサービスから何度も言われてきたこのフレーズが、実は逆効果だったことをご存じだろうか。米国政府の国立標準技術研究所（NIST）が2017年にそれまでのガイドラインを180度転換し、パスワードの定期変更を推奨しない方針を打ち出したのだ。その背景には、定期的な変更を強制されたユーザーが短くて覚えやすいパスワードを選ぶ傾向にあり、結果的にセキュリティが低下するという研究結果がある。
ある実験では、ユーザーをパスワードを定期的に変更させるグループと変更させないグループに分けて流出率を比較したところ、変更を強制されたグループの方が圧倒的に多くのパスワードが漏洩していた。変更の負担から、ユーザーは共通する短いパスワードを流用するようになり、結果として全体的なセキュリティ品質が低下したのだ。現在ではアメリカのNISTのみならず、日本政府の内閣サイバーセキュリティセンター（NISC）も「パスワードを定期的に変更する必要はない」と明言している。
現在のハッカーが最も多用するのは、無数のGPUを使ったブルートフォースアタック（総当たり攻撃）だ。GPUの性能が年々向上しているため、パスワードの解析にかかる時間も毎年短縮されている。2024年度のデータによると、数字だけの4桁パスワードは1秒もかからず解析される。英大文字・小文字・数字を組み合わせても4桁ならたった4秒で突破されてしまう。推奨される最低ラインは8文字以上のパスワードで、小文字・大文字・数字を組み合わせたものだ。これで解析に2年以上耐えられる。9文字にすれば100年、10文字で7000年、記号を加えれば6万1000年と一気に安全性が跳ね上がる。
強力なパスワードを簡単に作るコツとして、英語ではなく日本語のローマ字を活用する方法がある。ハッカーの解析ツールは英語の単語やフレーズを優先的に試すため、「peace」や「love」といった汎用的な英単語はすぐに突破される。しかし「松本清」や「一生現役」といった日本人にしか分からないローカルなワードをパスワードの一部に組み込めば、暗記も容易でかつ強固だ。さらに「つ」を「tsu」と「tu」のどちらで表現するかといった日本語特有の表記ゆれもハッカーの解析を撹乱するのに有効とされている。
注意すべきは、パスワード変更の方法だ。流出したパスワードを元に攻撃を仕掛ける「リスト型攻撃」では、変更後のパスワードが元のものと数文字だけ異なる場合、1秒もかからず解読されてしまう。末尾の数字を変えたり一文字だけ記号を追加するといった微修正では全く意味がない。変更するなら元のパスワードとは完全に別物にする必要がある。
ただし、どれだけ強力なパスワードでもフィッシング詐欺には無力だ。実際に実験用のMicrosoftアカウントをフィッシングサイトに意図的に入力したところ、ブラジル、ノルウェー、アメリカ、中国、ドイツ、ルーマニアと世界中から不正アクセスが殺到した。それでも被害が出なかったのは、二段階認証（2FA）が有効だったからだ。パスワードが流出しても、スマートフォンに送られる認証コードがなければログインできない仕組みが被害を防いでくれる。金融系サービスや主要プラットフォームでは必ず二段階認証を有効にするべきで、一度自分の全アカウントの設定を確認することを強く推奨する。
ネットの反応
テレビのニュースとかで流すべきレベルの内容
パスワード変更しろって言われて変更画面に飛ばされるのウザすぎた
昔の常識は今の非常識ってやつですね。ありがたい情報
二段階認証のチェックリスト助かります。早速確認します
パスワードを紙に書いて管理してるけどそれってアリなの？
一部の記号が使えないサイトが一番厄介。統一してほしい
会社のIT部門がまだ定期変更ルールを強制してて困ってる
日本語ローマ字パスワードは盲点だった。確かに覚えやすい
楽天証券の事件で慌てて二段階認証設定したわ。あれは怖かった
流出したら世界中からアクセス来るの草。二段階認証マジ大事
AIの所感
パスワードの定期変更が逆効果だったという事実は、人間の心理とセキュリティのトレードオフを如実に示している。重要なのは、強固で長いパスワードの作成と二段階認証の徹底という二本柱だ。特に二段階認証は、パスワードが漏洩しても実質的な防御として機能するため、あらゆるサービスで有効にする価値がある。また、企業のIT部門が最新のガイドラインを把握せずに旧来のルールを押し付け続けているケースも少なくなく、組織レベルのセキュリティ意識のアップデートも急務と言えるだろう。パスワード管理ツールの活用も含め、個人ができる対策を今すぐ実行に移すことが、デジタル時代の自己防衛には不可欠だ。