パスワードが強力かどうかは記号を入れるかどうかだけで決まるわけではない。連載第1回で紹介したように長さの方が重要だ。8文字のパスワードを設定するとアルファベットの小文字、アルファベットの大文字、数字、記号を含んでいたとしても8時間で推測されてしまう。だが英小文字だけであっても14文字あれば49年間安全だ。

　具体例を挙げよう。日本の企業で最も利用者が多いパスワードは「password」だ。危険性を下げるためにこれを「P@55w0rd!」に変えたとしよう。推測にかかる時間はわずか2週間だ。

• 推奨策1　パスワードは長くしよう

　アルファベットの大文字と小文字だけでも12文字あれば推測に289年間かかる。例えば「CatDogRatBat」のように短い英単語を複数結合したパスワードは「7&J!8yQu」よりも安全だ。長いパスワードを選ぼう。

【勘違い2】　定期的にパスワードを変更すると安全性が高まる

　パスワードを定期的に変更するように情報システム部門から指示を受けたことはないだろうか。指示には従わなければならないが、定期的に変更したとしても安全性が高まるとは限らない。

　確かにパスワードが漏えいした場合は、即座にパスワードを変更するべきだ。漏えいしたかどうかを判断するにはサービスからの案内を待つか、または連載第2回で紹介したWebサイトを使う。いつ漏えいが起こるか分からないため、定期的に変更した方がよいように思える。

　だがパスワードを設定するのは人間だ。人間は定期的に起こる面倒な作業では楽をしようとする。パスワードを定期的に変更するよう強制されると、短くて単純なパスワードを選んだり、前回のパスワードの末尾に「02」などの文字列を追加したりしてやり過ごそうとする。これではパスワードの強度が下がってしまい、攻撃に対して弱くなる。

• 推奨策2　アカウントごとに強力で固有のパスワードを設定したら変更しない

　パスワードは攻撃に対して強いものを選ぶべきだ。アカウントごとに強力なパスワードを選ぶべきだ。どうしても定期的にパスワードを変更したいのであれば、これを守ることだ。

【勘違い3】　多要素認証を使っているのでパスワードは適当でよい

　多要素認証（MFA）や二要素認証（2FA）は、パスワードと組み合わせてセキュリティを高める仕組みだ。つまり「かけ算」になっていると例えることができる。かけ算で一方の数が小さいと、結果も小さくなる。パスワードと多要素認証の関係も同じだ。

　多要素認証は強力なパスワードに取って代わるものではない。

• 推奨策3　多要素認証を使っていても強力なパスワードを設定する

　攻撃者はソーシャルエンジニアリングやSIMスワップなどの攻撃手法で多要素認証を回避することがある。それでも強力なパスワードを設定していれば、防御は固くなる。

【勘違い4】　攻撃者は高度な技術でパスワードを解読する

　攻撃者が激しくキーボードに何かを打ち込みながらパスワードを解読している映画を見たことがないだろうか。これは勘違いだ。

　ほとんどの攻撃者はフィッシング攻撃やクレデンシャルタッフィング攻撃などの自動化された攻撃手法を使う。技術的な脆弱（ぜいじゃく）性を悪用するというより、人的ミスや弱いパスワードを狙ってくることが多い。もちろん、ブルートフォース攻撃者やデータを分析することでパスワードを不正に割り出すパスワードクラックツールを使う攻撃者もいる。こちらの方が映画のイメージに近いかもしれないが、いずれにしても激しくキーボードをたたいたりはしない。

• 推奨策4　攻撃者は人的ミスを狙ってくるものだと考えよう

　パスワードを守る際には強力なパスワードを選ぶだけでは不十分だ。いくら強力であっても詐欺（フィッシング攻撃）に引っかかると役に立たない。これを忘れないようにしよう。クレデンシャルスタッフィング攻撃を避けるには強力なパスワードであっても使い回しをしないことが有効な対策だ。

【勘違い5】　重要でないアカウントではパスワードを再利用しても問題ない

　オンラインバンクやショッピングサイトで弱いパスワードを使ってはいけないことは当然だろう。金銭や品物を盗み出されてしまうからだ。

　ではソーシャルメディアや金銭とは無関係なサービスはどうだろうか。パスワードを再利用しても大丈夫だろうか。これは危険な考え方だ。

　一見重要でないアカウントでも、攻撃者にとっては価値のある個人情報が含まれていることがある。パスワードを使い回したり、似たパスワードを使ったりするユーザーは多い。あるサイトで漏えいしたパスワードやそれと似たパスワードが、他のサイトでも悪用できる可能性は高い。

• 推奨策5　どのようなアカウントでも強力なパスワードを使う

　強力な複数のパスワードを暗記するのは難しい。パスワードマネジャーを使おう。

【勘違い6】　キーボードのキーの配置を利用したパスワードは安全だ

　キーボード上のキーの配置を利用したパスワードがある。例えばキーボードの左上から下に1、q、a、zと選んでいくようなパターンだ。これでは短すぎるため、2列目も使って「1qaz2wsx」としよう。これはランダムだから安全なパスワードだろうか。そうではない。日本の企業で4番目によく使われているパスワードだ。

　キーボード上のキーのパターンを使ったパスワードは予想以上に多く使われている。日本の企業で利用者が多い上位20のパスワードのうち、数え方にもよるがこのようなものが7つを占めている。つまり攻撃者は最初にこのようなパスワードを試すだろう。アルゴリズムを使ってパスワードを解く際にもそうするはずだ。

• 推奨策6　キーボードのパターンを使ったパスワードは避ける

　ランダムで長い文字列、または短い英単語を複数足し合わせた長いパスワードを使おう。

【勘違い7】　パスワードのヒントは役に立つ

　パスワードを忘れた場合に備えて、覚えやすいヒントを設定することが良いと考える管理者やユーザーは多い。

　これは正しくない。攻撃者がパスワードを推測する際、ヒントを悪用することがあるからだ。「最初のペットの名前は？」といった一般的な質問は、狙った相手のSNSなどで簡単に調査できる場合があるからだ。これと似た勘違いがある。誕生日などの個人情報を含むパスワードは推測できないから安全だというものだ。ペットの名前、誕生日、出身地、学校の名前などはどれも安全ではない。

• 推奨策7　パスワードを忘れたときの備えはヒントではなく、パスワードマネジャーや多要素認証にしよう

　こうした方法を採れば、ヒントよりも確実に安全にパスワードのど忘れを避けることができる。