記事
パスワードを定期変更するだけでは安全にならない理由
決まった日付でパスワードを変えるだけでは、使い回しやフィッシング、不正ログインへの対策として不十分です。何が弱点になるのかをケース別に整理し、優先したい対策と変更すべきタイミングを説明します。
大事なのは「何日ごとに変えたか」ではない
パスワードを定期的に変えること自体が危険なわけではありません。問題は、決まった日付で変更することだけを安全対策の中心にしてしまうことです。
たとえば、同じパスワードを複数のサービスで使い回している、偽サイトにパスワードを入力してしまう、多要素認証を設定していない、といった弱点は、3か月ごとにパスワードを変えていても残ります。変更した翌日にフィッシングで新しいパスワードを盗まれれば、その「定期変更」はほとんど防御になりません。
NISTの現行ガイドラインも、サービス提供側に対して一律の定期変更を要求しないよう示す一方、認証情報が侵害された証拠がある場合には変更を求めています。見るべきなのはカレンダーではなく、漏えいしにくい使い方になっているか、漏えいしたときに被害を広げにくいかです。
頻繁な変更が「予測しやすい変え方」を生むことがある
何度も新しいパスワードを覚える必要があると、毎回まったく別の文字列を作るのは負担になります。その結果、Digi2026-01 を Digi2026-02 にするように末尾の数字だけ変えたり、短く覚えやすい文字列へ戻ったりしがちです。
このような変更は、人には別のパスワードに見えても、攻撃する側から見ると規則性を推測しやすい場合があります。過去のパスワードが漏れていれば、数字や記号を少しずつ変えた候補も試されます。
NISTが機械的な定期変更を求めない理由の一つも、こうした利用者の回避行動です。変更回数を増やすより、サービスごとに十分に強い認証情報を持ち、それを安全に管理できる仕組みを作るほうが重要です。
ケース1：使い回しは、別サービスの漏えいから連鎖する
ショッピングサイト、SNS、メールで同じパスワードを使っているとします。ショッピングサイト側から認証情報が漏れ、その組み合わせが攻撃者に渡ると、同じメールアドレスとパスワードを別サービスでも試されることがあります。いわゆる認証情報を使った不正ログインです。
このとき、各サービスで「90日ごとに変更」という習慣があっても、全部を同じ文字列へ変更しているなら根本的な弱点は残ります。逆に、サービスごとに異なるパスワードなら、一つのサービスで漏れても他へそのまま横展開されにくくなります。
覚えきれない場合は、OSやブラウザの保存機能、信頼できるパスワードマネージャーを使い、サービスごとに長く異なるパスワードを管理する方法があります。
ケース2：変更したばかりでも、フィッシングには盗まれる
「昨日パスワードを変えたから安心」とは限りません。本物そっくりのログイン画面に誘導され、そこで新しいパスワードを入力すれば、その場で盗まれる可能性があります。
パスワードの新しさは、偽サイトを見分ける力にはなりません。フィッシング対策では、リンク先やログイン経路を確認することに加え、多要素認証や、対応サービスではパスキーのようなフィッシングに強い認証方式を使うことが有効です。
つまり「定期変更」と「フィッシングへの強さ」は別の話です。パスワードを何回変えたかだけを見ていると、この違いを見落とします。
ケース3：不正ログイン後は、パスワード変更だけで終わらない
すでに第三者にログインされた疑いがある場合は、パスワードを早急に変更することが重要です。ただし、それだけで確認を終えるのは不十分なことがあります。
サービスによっては、ログイン済みの端末やセッションが残っていたり、復旧用メールアドレスや電話番号、メール転送設定、連携アプリなどを変更されたりする可能性があります。パスワードを変えても、別の経路が攻撃者の手元に残っていれば再び問題が起きます。
不審なログインがあったときは、パスワード変更、多要素認証の設定、ログイン履歴や端末一覧の確認、復旧情報と連携設定の確認をまとめて行います。使い回していたパスワードなら、同じものを使っていた他サービスも確認します。
では、パスワードはいつ変えるべきか
「定期変更は不要」という話を、「一度決めたパスワードはずっと変えなくてよい」と受け取るのも危険です。変更すべき理由があるときは、日付を待たずに対応します。
たとえば、サービスから漏えい・侵害の案内を受けた、不審なログイン通知が来た、他人に見られた・送ってしまった可能性がある、同じパスワードを使っていた別サービスで漏えいが起きた、といった場合です。サービス提供者から変更を求められた場合も、その案内に従います。
判断の軸は、**「前回変更から何日たったか」ではなく、「この認証情報が第三者に知られた可能性があるか」**です。
優先したいのは、使い回しをなくして認証を重ねること
個人で対策するときは、まずサービスごとに異なる長いパスワードを使い、使い回しをなくします。覚えることを前提にせず、必要ならパスワードマネージャーを利用します。
次に、利用できるサービスでは多要素認証を設定します。パスワードが知られても、それだけではログインできない状態にするためです。さらにパスキー対応サービスでは、パスキーを選ぶことでパスワード入力を狙うフィッシングへの耐性を高められます。
同時に、スマートフォンを紛失したときに復旧できるよう、復旧用メールアドレスや電話番号、バックアップコードなども確認しておきます。強いパスワード一個に頼るのではなく、認証と復旧をセットで整えるのが現実的です。
職場で定期変更ルールがある場合は、勝手に無視しない
会社や学校などでパスワードの変更周期が決められている場合、利用者が自己判断でルールを無視するのは適切ではありません。まず組織の規程に従い、不明点は管理者へ確認します。
一方、システム管理側では「昔から90日ごとだから」という理由だけで運用を続けるのではなく、現在の認証方式や多要素認証の有無、漏えい検知、アカウント復旧の仕組みまで含めて見直す余地があります。NISTの現行指針も、一律の定期変更ではなく、侵害が確認された場合の変更を重視しています。
家庭でも職場でも、目標はパスワードを頻繁に交換することではありません。盗まれにくく、使い回さず、盗まれても被害を広げにくく、異常時にすぐ復旧できる状態を作ることです。