パスワードの使い回しがなぜ危険なのか？実際の被害データと今すぐできる対策

1. なぜパスワードの使い回しが危険なのか

パスワードの使い回しが危険なのは、攻撃者が「あなたをだます」前に、過去に漏れたメールアドレスとパスワードの組み合わせを別サービスへ機械的に試せるからです。これをクレデンシャルスタッフィング攻撃（credential stuffing）と呼びます。

つまり、通販サイト、古い会員サイト、ゲーム、SNSのどこか1つから認証情報が漏れただけでも、同じ組み合わせをメール、決済、クラウド、証券口座などに試されます。パスワード自体が長くても、同じものを複数サービスで使えば「1か所の漏洩」が複数アカウントの入口になります。

2. 実際に起きた被害：23andMeのcredential stuffing事例

使い回しの危険は理屈だけではありません。23andMeは2023年の説明で、他サイトで使われていたものと同じユーザー名・パスワードが使われたアカウントに攻撃者がアクセスしたと公表しました。直接侵入されたアカウントは約14,000件でしたが、DNA RelativesやFamily Treeのつながりを通じて、約5.5百万件のDNA Relativesプロフィールと約1.4百万件のFamily Treeプロフィールに関する情報へ影響が広がったと説明しています。

この事例で重要なのは、最初の入口が「サービス本体のパスワードDB漏洩」ではなく、別の場所で漏れた、または入手可能になった認証情報の流用だった点です。AP通信も2026年5月の報道で、同件について、約14,000アカウントへのアクセスから全国で約700万人に影響したと伝えています。1つのパスワードを使い回すと、つながっている情報や共有機能まで巻き込まれることがあります。

3. 「あなたのパスワードは流出済みかもしれない」

過去に大規模な情報漏洩が発生したサービスのデータは、攻撃者のリストや再利用リストに入ります。自分のメールアドレスが漏洩データに含まれているかは、Have I Been Pwnedのような漏洩確認サービスで調べられます。Pwned Passwordsは、パスワード全体を送らずに照合できるk-anonymity方式を説明しており、NISTのSP 800-63Bでも、サービス側が既知の漏洩パスワードや一般的なパスワードを拒否する考え方が示されています。

すでに漏洩していた場合は、まずメールアカウントとパスワードマネージャーのマスターパスワードを確認し、その後に銀行、決済、通販、SNS、クラウドの順で置き換えます。メールを奪われると他サービスのパスワードリセットまで悪用されるため、最初に守るべき入口です。

4. 安全なパスワード管理の3原則

• サービスごとに異なるパスワードを設定する：最も基本的かつ重要なルール
• 推測されにくいランダムな文字列にする：名前・誕生日・辞書に載る単語は使わない
• パスワードマネージャーを使う：人間が何十個ものランダムパスワードを暗記するのは不可能。専用ツールに任せる

パスワードマネージャーには1Password・Bitwarden・Googleパスワードマネージャー（Chrome組み込み）などがあります。マスターパスワード1つを覚えるだけで、他はすべて自動管理されます。

5. まず変更すべきアカウントの優先順位

すべてのパスワードを一度に変更しようとすると、作業量が多くて途中で止まりがちです。まずは乗っ取られたときの被害が大きいアカウントから順番に見直しましょう。

パスワードの強さを数字で確認したい場合はパスワードエントロピーの考え方も参考になります。大文字や記号を足すだけでなく、十分な長さと使い回しをしないことが重要です。

6. 強力なパスワードをすぐに生成する

「どんなパスワードを設定すればいいかわからない」という場合は、パスワード生成ツールを使うのが最も確実です。NISTの現在の考え方では、短い複雑文字列よりも、十分な長さがあり、既知の漏洩パスワードではなく、サービスごとに一意であることが重要です。重要アカウントは長いランダム文字列、覚える必要があるものは長いパスフレーズ、銀行や古いサービスで記号が弾かれる場合は英数字中心で長めにする、というように用途で分けると失敗しにくくなります。

すでに使っているパスワードが弱くないか不安な場合は、パスワード強度チェックツールで長さや推測されやすさを確認してから変更すると、改善点が分かりやすくなります。

7. 置き換え作業の進め方

使い回しをやめる作業は、数が多いほど面倒です。そこで「最優先アカウントだけ今日やる」「残りは週末にまとめる」のように分けると続けやすくなります。最初にメール、銀行、決済、通販、SNSの順で置き換え、最後に古い会員サイトを整理します。

生成ツールの複数同時生成を使えば、候補をいくつか並べて選べます。ただし、候補をメモ帳に残したままにしたり、チャットへ貼り付けたりすると別のリスクになります。使う1つだけをパスワードマネージャーへ登録し、残りは保存しない運用にしましょう。

8. すでに使い回していた場合の確認手順

同じパスワードを複数サービスで使っていたことに気づいたら、ただ新しいパスワードへ変えるだけでは不十分です。すでにログイン済みのセッション、転送設定、連携アプリが残っている場合があるため、次の順で確認します。

9. 二要素認証（2FA）を必ず設定する

パスワードが漏洩しても、二要素認証（2FA / 多要素認証）が設定されていれば、パスワードだけでの不正ログインを防ぎやすくなります。重要なサービス（メール・銀行・SNS・ショッピングサイト）には必ず有効にしましょう。

• 認証アプリ方式（推奨）：Google Authenticator・Microsoft Authenticatorなど。SMSより乗っ取りに強い
• SMS認証：設定していないよりずっと安全。まずこれから始めても十分
• パスキー・セキュリティキー：対応サービスではフィッシングにも強い選択肢

2FAは使い回しの免罪符ではありません。攻撃者がログインを試せる状態を減らすため、まずサービスごとに別パスワードへ置き換え、その上で2FAを重ねるのが安全です。詳しい選び方は二段階認証を使う理由と設定の考え方で整理しています。

まとめ

パスワードの使い回しは、1か所の漏洩が複数アカウントの乗っ取りにつながる「ドミノ倒し」のリスクを持っています。23andMeの事例のように、直接アクセスされた数より大きな範囲へ影響が広がることもあります。まずメール、決済、銀行、SNSから別パスワードへ置き換え、パスワードマネージャーで管理し、二要素認証を設定する。この順番が、今日からできる現実的な対策です。