パスワード管理、まだメモ帳？今日から始める安全なやり方

スマホのメモ帳に、パスワードを並べて保存していませんか。あるいは、同じパスワードを複数のサイトで使い回していませんか。

実はこの2つ、どちらもかなり危険です。ところが対策はシンプルでした。覚えるのをやめればいいのです。

そこでこの記事では、パスワード管理を今日から安全にする方法を紹介します。しかも、途中で「昔の常識」が通用しなくなっていることも分かります。

この記事のポイント

1. メモ帳管理と使い回しが危険な理由が分かる
2. 「定期変更」が非推奨になった新常識を知れる
3. 管理アプリの選び方と設定手順を実行できる

そもそも、なぜメモ帳管理は危ないのか

平均100アカウントを人間は覚えられない

まず現実を見てみましょう。2026年現在、一人当たりの平均オンラインアカウント数は100を超えるとされ、すべてのサービスに異なる強力なパスワードを設定・記憶するのは事実上不可能です。

つまり、無理なことを頑張っているわけです。そしてその結果、多くの人が同じパスワードを複数のサイトで使い回すことになります。

使い回しは「ドミノ倒し」を招く

ところが、この使い回しが最大のリスクになります。パスワードの使い回しは、1つのサービスから漏洩した認証情報で他のサービスに不正ログインされる「クレデンシャルスタッフィング攻撃」のリスクを高めると指摘されています。

しかも、データが裏付けています。米国のサイバーセキュリティ機関CISAによると、データ侵害の86%が盗まれた認証情報によって発生しているとされています。

だからこそ、1か所の漏洩が全部に波及する状態は避けなければなりません。実際、一箇所での漏洩がドミノ倒しのように他の全アカウントへの不正アクセスを引き起こす最大のリスクになると説明されています。

👉 「そのSNS投稿、危険かも？若者が狙われる詐欺と個人情報の守り方」の記事へ

新常識:パスワードの「定期変更」はもう非推奨

公式に方針が変わっている

ここで驚く人も多いはずです。昔は「3か月ごとに変更しましょう」と言われていました。しかし、その常識はもう古いのです。

米国国立標準技術研究所(NIST SP 800-63B)や日本の内閣サイバーセキュリティセンター(NISC)は、かつて推奨されていた「パスワードの定期変更」を公式に非推奨としています。

なぜ逆効果なのか

理由も納得できるものです。変更を強制されたユーザーが、末尾の数字を順に変えるだけの推測しやすいパターンに逃げる傾向があり、かえってハッキングのリスクを高めるためだと説明されています。

つまり「Password1」→「Password2」になるだけ、ということです。したがって、実務上のポイントは定期変更ではなく、パスワードマネージャーを用いた「長く、ランダムで複雑なパスワードの一元管理」だとされています。

👉 NISC「インターネットの安全・安心ハンドブック」へ

今日からの正解:覚えるのをやめる

管理すべき鍵は1つだけ

では、どうするのか。答えはパスワード管理アプリです。

仕組みはこうです。パスワードマネージャーは強力な暗号化技術を用いて全ての認証情報を一元管理し、ユーザーは「マスターパスワード」という唯一の鍵だけを管理すれば良くなります。

さらに、パスワードの生成、保存、自動入力まで行ってくれます。だから覚えるのはマスターパスワード1つだけで済むわけです。

最低限守るべき3つのルール

加えて、基本のルールも押さえておきましょう。最低限のポリシー項目として、パスワードの最低文字数は12文字以上が推奨され、使い回しは禁止、そして二要素認証の必須化が挙げられています。

この3つを管理アプリに任せれば、自動的にクリアできます。

パスワード管理アプリの選び方

タイプ1:ブラウザ内蔵型

まず、一番手軽な選択肢です。ChromeやSafariに最初から入っている機能を使う方法です。

追加のインストールが不要で、今日すぐ始められます。ただし、別のブラウザに乗り換えると移行が面倒になります。「何もしていない人が最初の一歩を踏む」用途には十分です。

タイプ2:専用アプリ型(おすすめ)

次に、本命となる選択肢です。2026年現在のおすすめとして、利便性と高度なセキュリティのバランスを求めるなら1Password、コストパフォーマンスとオープンソースの透明性を重視するならBitwardenが挙げられています。

しかも最近のアプリは、単なるパスワード保存以上の機能を備えています。TOTP認証の統合やPasskey対応まで含まれており、個人のセキュリティレベルを劇的に向上させると評価されています。

ちなみに別のランキングでは、Bitwardenが1位に挙げられています。無料プランでも実用的なので、まず試すならここが候補になります。

タイプ3:オフライン型

そして、クラウドに預けたくない人向けの選択肢もあります。完全なプライバシー制御とオフライン運用を求めるならKeePassXCが挙げられています。

ただし、自分でバックアップを管理する必要があります。したがって、ある程度慣れてからの選択肢と考えましょう。

選ぶ基準は「続けられるか」

もっとも、どれを選んでも使い回しより安全です。だから迷ったら、自動入力が快適に動くものを選んでください。なぜなら、面倒だと結局メモ帳に戻ってしまうからです。

マスターパスワードの作り方

短く複雑より、長く覚えやすく

ここが唯一、自分で覚える部分です。だから作り方にコツがあります。

2026年のセキュリティ環境では、フィッシング詐欺やクローラーによる自動攻撃が高度化しており、単純な文字の組み合わせでは防げないと指摘されています。

そこでおすすめなのが、意味のない単語を4つ思い浮かべる方法です。たとえば、適当に浮かんだ単語を並べてみましょう。

小鳥、机、稲妻、7匹

一見ただの単語の羅列です。ところが、これをパスワードの形に変えるとこうなります。

28文字になりました。しかも、意味のつながりがないので推測もされにくいです。

覚えやすいのに強い理由

ここがこの方法の面白いところです。人間にとっては4つの単語を思い出すだけです。一方で、機械にとっては28文字の長い文字列になります。

さらにアレンジもできます。区切り記号を - から # や _ に変える。1つの単語だけ大文字にする。数字を混ぜる。こうした一手間で、強度はさらに上がります。

ちなみに、無理に記号を詰め込んだ「P@ssw0rd!」のような短いものより、こちらのほうが安全です。なぜなら、パスワードの強さは複雑さより長さで決まる部分が大きいからです。

紙に書いて金庫に入れるのはアリ

意外かもしれませんが、マスターパスワードを紙に書いて自宅の安全な場所に保管するのは有効です。なぜなら、ネット経由で盗まれる心配がないからです。

ただし、机に貼るのは当然NGです。あくまで鍵のかかる場所に限ります。

二要素認証をセットで有効にする

パスワードだけでは守りきれない

次に、もう一枚の壁を用意します。それが二要素認証です。

万が一パスワードが漏れても、スマホの認証がなければログインできません。特にメール、SNS、銀行、クラウドストレージは必須と考えてください。

SMSより認証アプリ

さらに言えば、方式にも差があります。SMSは電話番号の乗っ取りに弱い面があります。だから認証アプリや、管理アプリ内蔵のTOTP機能を使うほうが安全です。

次の段階:パスキーへの移行

パスワードそのものが消えていく

そして最後に、未来の話もしておきましょう。2026年現在、パスワードに代わる新しい認証方式「パスキー」が急速に普及しています。

仕組みも快適です。生体認証やデバイスのPINでログインでき、パスワード自体が不要になります。しかも主要なWebサイト・サービスがパスキーに対応を進めており、将来的にはパスワード管理そのものが不要になる可能性があるとされています。

使えるサービスから順に切り替える

とはいえ、全サービスが対応するまでには時間がかかります。したがって当面は併用が現実的です。対応しているサービスを見つけたら、順次パスキーに切り替えていきましょう。

👉 「大学生のうちに触っておきたいITスキル7選｜就活で効くのはコレ」の記事へ

やってはいけないNG集

最後に、避けるべき行動をまとめます。

• メモ帳アプリやスマホの写真に保存する:端末を見られたら全部漏れます
• メールの下書きに保存する:アカウントが乗っ取られたら終わりです
• 同じパスワードを複数サイトで使う:ドミノ倒しの入口になります
• 誕生日や名前を含める:推測されやすい組み合わせです
• ブラウザに保存したまま共用PCを使う:自動入力で誰でも入れてしまいます

まとめ

パスワード管理の答えは、覚えるのをやめることでした。アカウントが100個を超える時代に、人間の記憶で管理するのは無理があります。しかも定期変更はすでに非推奨になりました。

だからこそ、管理アプリに任せてマスターパスワード1つに絞り、二要素認証を足す。これが2026年の正解です。そして対応サービスから、順にパスキーへ移っていきましょう。まずは今日、メモ帳に書いたパスワードを1つ、管理アプリに移すところから始めてみてください。