>
>
公開日
最終更新日
パスワード生成は、サービスごとに異なる推測困難な文字列を作り、パスワード漏洩時の被害拡大を防ぐ方法です。短く覚えやすい文字列や使い回しは、個人のメールやSNSだけでなく、企業の会計システムやSaaS管理画面まで連鎖的に侵害される原因になります。
この記事では、ChromeやGoogleパスワードマネージャーの使い方、自動生成できない場合の確認点、パスワード生成サイトの安全性、法人向け管理ツールの比較まで、実務で判断できる形に整理します。
パスワード生成とは？安全性を保つ基礎知識
アカウント漏洩を防ぐには、予測不可能で一意なパスワード設定が求められます。
本記事のポイント
パスワード生成：サービスごとに異なる推測困難な認証情報を作る対策
NIST SP 800-63-4（2025年7月最終版）：定期変更より長さ・一意性・漏洩確認を優先
ExcelやメモへのID平文保存：インフォスティーラー被害を拡大するリスク
個人はブラウザ標準機能から、法人は専用ツールによる共有・監査管理へ移行
Okta JapanのCustomer Identity Trends Report 2025では、日本人の約71％がすべてのアカウント、または複数のアカウントで同じパスワードを使い回しているとされています。1つのサービスから漏れたIDとパスワードを別サービスで試すパスワードの使い回し攻撃は、この習慣を前提に成立します。
Surfsharkの2026年第1四半期分析では、日本国内で流出したアカウントは93万7,800件、毎分7件のペースと報告されています。メールアドレスとパスワードの組み合わせが漏れると、EC、SNS、業務SaaSへの不正ログインに転用されます。
法人では影響がさらに大きくなります。ゾーホージャパンの企業のパスワード管理に関する実態調査2026では、国内ビジネスパーソン1,219名のうち、経営層の約66％が業務用パスワードを使い回し、約59％が法人向けパスワード管理ツールを未導入と回答しました。特権アカウントが侵害されれば、メールから決裁、顧客データベース、各種管理画面へと一気に被害が拡大します。
個人・小規模・中堅・大企業で対策は変わる
個人利用では、主要メール、金融、SNS、ECサイトから優先してパスワード自動生成を有効化します。50名未満の企業では、ブラウザ標準機能と多要素認証でも一定の効果がありますが、共有アカウントが増えた時点で限界が出ます。この50名という境界は、共有アカウント管理や退職者対応が属人的運用で追いきれなくなる目安であり、実際には共有アカウント数や離職率によって前後します。
50〜300名では、専用パスワードマネージャーで保管庫、共有権限、退職者対応を設計します。300名超では、SSO、MFA、プロビジョニング、パスワードマネージャーを組み合わせ、IDのライフサイクル全体を情シスが統制します。この300名という目安は、情シス専任体制やID管理ポリシーの整備が実務上不可欠になる規模感を示しており、組織構造や業種によって適切な移行タイミングは異なります。
安全なパスワードの基本は長さと一意性
安全なパスワードの強度に最も大きく寄与する要素は、文字の複雑さよりも長さと使い回しの有無です。ただし実際のリスクは、サービス側のオンライン試行回数制限、ハッシュ方式、漏洩パスワードの拒否設定、MFAの有無、攻撃モデルなども複合的に影響します。
米国国立標準技術研究所のNIST SP 800-63-4最終版は、デジタル認証の国際的な基準です。認証部分にあたるSP 800-63B-4では、従来の「90日ごとに変更」「大文字・小文字・数字・記号を必ず混ぜる」といったルールを見直し、長く一意なパスワードと漏洩時の変更を重視しています。総務省の国民のためのサイバーセキュリティサイトでも、流出の事実がない場合の定期変更は不要と案内されています。
古い運用 | 2025年以降の推奨 | 理由 |
|---|---|---|
90日ごとに強制変更 | 漏洩や侵害の兆候がある場合に変更 | Spring2025をSummer2025に変えるような予測可能な変更を誘発するため |
短くても記号を混ぜればよい | 15文字以上のパスフレーズを推奨 | 総当たり攻撃では、文字種より文字数の増加が効きやすいため |
フォームへの貼り付け禁止 | コピペ入力と自動入力を許可 | パスワードマネージャーの利用を妨げないため |
全サービスで似た文字列を使う | サービスごとに完全に異なる文字列を生成 | リスト型攻撃の横展開を防ぐため |
覚えるパスワードはパスフレーズにする
人が覚える必要があるのは、パスワードマネージャーのマスターパスワードだけです。たとえばAshita-no-asa-wa-pan-daのように、自分だけが思い出せる文章をローマ字化した15文字以上のパスフレーズは、短いP@ss19!より扱いやすく強固です。
一方、各Webサービス用のパスワードは覚える必要がありません。パスワード自動生成で20文字以上のランダム文字列を作り、保存は暗号化された管理ツールに任せます。手入力が必要な機器では、l、I、1、O、0など紛らわしい文字を除外し、その分だけ文字数を長くします。
二段階認証とパスキーを組み合わせる
パスワードだけの認証は、フィッシングや漏洩済み認証情報の悪用に弱い構造です。重要アカウントでは二段階認証、認証アプリ、生体認証、セキュリティキー、パスキーを併用します。
金融業界では、2025年10月に金融庁と日本証券業協会がネット証券各社へ生体認証などのフィッシング耐性を持つ認証方式の導入を求める指針を適用し、2026年6月末を導入期限としました。この指針の背景として、金融庁および日本証券業協会は、従来の二要素認証をリアルタイムフィッシングで突破する手口によるオンライン証券口座の不正アクセス被害を問題視しており、2026年6月末をネット証券各社への導入期限としています。なお、ここでいうフィッシング耐性とは、認証情報を別サーバーへ転送する攻撃を構造上防ぐFIDO2/パスキーなどの方式を指し、SMSや認証アプリを用いた従来型の二要素認証とは区別されます。
▲ NIST SP 800-63-4に基づくパスワード運用の新旧比較
▲ 旧来のパスワード運用ルールと2025年以降のNIST推奨ルールの違い
生成したパスワードは暗号化して管理する
生成した強力なパスワードを平文や無保護の状態でローカルに残すことは避け、暗号化された専用管理ツールの保管庫へ格納します。なお、多くのパスワードマネージャーはオフライン利用や高速自動入力のために端末側にも暗号化済みの保管庫を保持しており、問題はローカル保存そのものではなく、暗号化されていない状態での保存です。
強いパスワードを作っても、保存先がExcel、スマホのメモ帳、チャットの自分宛て送信では意味がありません。現在は、感染した端末からブラウザ保存情報、Cookie、テキストファイル、スクリーンショットを盗むインフォスティーラーが脅威になっています。平文保存されたパスワードの生成結果は、攻撃者にとって回収しやすい一覧表になります。
ゼロ知識アーキテクチャの仕組み
信頼できるパスワードマネージャーの多くは、ゼロ知識アーキテクチャを採用しています。これは、事業者のサーバーに保管されるデータが暗号化され、復号に必要なマスターパスワードを事業者側が保持しない設計です。
復号はユーザーの端末上で行われるため、運営会社の従業員であっても保管庫の中身を読めません。ただし、マスターパスワードを忘れると、事業者でも復旧できない場合があります。復元コードは紙に書いて自宅や社内の金庫に保管し、PCのデスクトップやメモ帳には残しません。
安全なパスワード運用チェックリスト
タイミング | 実施すること | 避けること |
|---|---|---|
今日 | 主要メール、金融、管理者アカウントのパスワードを自動生成し直す | 同じ文字列の末尾だけを変える |
1週間以内 | 保存先をパスワードマネージャーに集約し、MFAを有効化する | Excel、メモ帳、付箋、チャットに平文保存する |
1か月以内 | 業務SaaSの共有アカウントと退職者アクセスを棚卸しする | 退職者が知っている共有パスワードを放置する |
四半期ごと | 漏洩アラート、重複、弱いパスワードを確認する | 根拠のない全社一斉定期変更を続ける |
棚卸し対象が200件あり、1件あたり2分かけて手作業確認すると月約6.7時間を要します。専用ツールの重複・漏洩レポートを使えば、確認作業を1〜2時間に圧縮できるため、情シスは例外対応と権限見直しに時間を使えます。
▲ 安全なデータ保管を実現する「ゼロ知識アーキテクチャ」の仕組み
▲ 事業者も中身を復号できない「ゼロ知識アーキテクチャ」の仕組み
パスワード自動生成ツールと代替手段の選び方
Chrome標準の自動生成機能と専用マネージャーは、デバイス同期や管理のしやすさで使い分けます。
パスワード自動生成とは、新規登録や変更時にランダムな文字列を作る機能です。ツールや呼び方が異なっても、選定時に確認すべき軸は共通で、①生成処理が端末内で完結するか、②保存先の暗号化方式、③共有権限の粒度、④漏洩検知の対象範囲、の4点です。これらの軸で各ツールを比較することで、類似した機能名に惑わされずに自組織の要件に合ったものを選べます。
Googleパスワードの仕組みとChromeでの使い方
Googleパスワードの仕組みは、ChromeやGoogleパスワードマネージャーがログイン情報を保存し、Googleアカウントに同期して自動入力するものです。新規登録画面でパスワード欄を選択すると、Chromeが推奨パスワードを表示します。表示されない場合は、入力欄を右クリックしてパスワード生成を選択します。
Chrome中心の個人利用なら、追加費用なしで始められる点が利点です。一方で、複数ブラウザ、複数OS、共有保管庫、監査ログ、退職者の権限剥奪まで扱う場合は、専用ツールのほうが管理しやすくなります。
比較軸 | ブラウザ標準機能 | 専用パスワードマネージャー |
|---|---|---|
代表例 | Chrome、Safari、Microsoft Edge | 1Password、Bitwarden、Keeperなど |
強み | 無料で始めやすく、自動生成と自動入力が簡単 | OSやブラウザをまたいだ同期、共有、監査、漏洩監視に強い |
弱み | 組織内の共有権限や退職者管理には不向き | 導入設計、利用教育、費用管理が必要 |
向いている利用者 | 個人、50名未満の小規模利用 | 50名以上の企業、共有アカウントが多い部門 |
パスキー対応 | 主要ブラウザとOSで対応が進む | パスワードとパスキーを同じ保管庫で管理できる製品が増加 |
パスキーはパスワードを使わない代替手段
パスキーはFIDO2に基づく認証方式で、秘密鍵を端末やパスワードマネージャー側に保管し、Webサービスには公開鍵だけを登録します。FIDO Allianceのパスキー解説でも、パスワードに代わるフィッシング耐性の高い認証方式として位置付けられています。
トレンドマイクロの2026年調査では、パスキー利用理由として「二段階認証より楽」が41.8％、「パスワード入力が面倒」が40.1％でした。一方で、機種変更時の引き継ぎへの不安が35.6％、スマホ紛失時にログインできなくなる不安が35.3％あり、バックアップと復旧設計が選定基準になります。
▲ ブラウザ標準機能 vs 専用パスワードマネージャーの選定フロー
▲ 利用環境と用途で決めるパスワードツール選定フロー
パスワード生成ツールの比較
セキュリティ要件や組織規模に合わせて、1PasswordやBitwardenなどの専用ツールを適切に選定します。
パスワード生成ツールは、文字列を作るだけのサイトから、保存、共有、漏洩検知、パスキー管理まで含む統合ツールへ進化しています。以下の比較表は2025年7月時点の公開情報をもとに作成しています。料金・対応機能・プラン構成は変更されることがあるため、各社の公式料金ページで最新情報を確認した上で、自組織の要件（共有単位、監査ログ保存期間、SSO連携方式、セルフホストの可否）と照合して選定してください。
ツール | 主な機能 | 料金目安 | 対象規模 | パスキー対応状況 | 注意点 |
|---|---|---|---|---|---|
Googleパスワードマネージャー | Chromeでの自動生成、自動入力、漏洩チェック | Googleアカウントで利用可能。詳細は公式条件を確認 | 個人、少人数 | GoogleアカウントとChromeを中心に対応 | 組織共有や詳細な権限管理には限界がある |
iCloudキーチェーン | SafariとApple端末間の保存、同期、自動入力 | Apple IDで利用可能。詳細は公式条件を確認 | Apple端末中心の個人、少人数 | Appleのパスキー機能と連携 | WindowsやAndroid混在環境では使い分けが発生する |
1Password | 生成、共有、Watchtowerによる漏洩監視、管理者機能 | 個人・法人向け有料プラン。最新価格は公式料金ページで確認 | 個人から300名超の企業 | パスキーの保存と利用に対応 | 初期設定と利用定着の教育が必要 |
Bitwarden | 生成、共有、法人管理、セルフホスト選択肢 | 無料プランと有料プラン。最新価格は公式料金ページで確認 | 個人、開発チーム、コスト重視の企業 | パスキー対応を拡大 | 管理者側でポリシー設計を詰める必要がある |
Keeper | 生成、暗号化保管、共有、監査、法人管理 | 個人・法人向け有料プラン。企業向けは要確認 | 中堅企業、統制重視の部門 | パスキー対応機能を提供 | 既存ID基盤との連携要件を事前確認する |
国内企業の導入事例：株式会社ZOZO
ファッションEC関連事業を展開する株式会社ZOZOは、2020年時点でパスワード管理を1Passwordに集約した事例をZOZO TECH BLOGで紹介しています。同記事では、管理方法が社員ごとに分散していた課題から保管庫集約に至った経緯が記載されています。規模・構成は現在と異なる可能性があります。
項目 | 内容 |
|---|---|
業種・規模 | ファッションEC関連事業、約400名規模 |
導入時期 | 2020年に1Passwordを全社導入 |
課題 | 付箋、PCのメモ帳、Excel、ブラウザ保存など管理方法が社員ごとに分散 |
施策 | 1Passwordに集約し、チーム共有を平文テキストではなく保管庫経由に変更 |
成果 | 平文共有のリスクを低減し、管理工数の削減とセキュリティ統制の向上を図った |
企業利用での選定時は、料金に加えて共有単位、監査ログ、退職時のアクセス削除、SSO連携、復旧手順の確認が必須です。株式会社ヌーラボのようにフルリモート移行に合わせてKeeperへ移行するケースや、株式会社松村組のようにSSOと多要素認証を組み合わせるケースもあり、組織の働き方に合わせた設計が前提になります。
やってはいけない失敗パターンと導入時の注意点
強いパスワードを生成しても、保存・共有・変更ルールを誤ると侵害リスクは残ります。
失敗1：Excelやメモ帳に平文保存する
自動生成した20文字以上のパスワードでも、Excelやメモ帳に貼り付ければ、インフォスティーラーや端末紛失時にまとめて漏洩します。password.xlsx、共有ID一覧.txtのようなファイル名は攻撃者にも見つけやすいため、社内共有フォルダに置く運用は廃止します。
失敗2：定期変更で安心する
定期変更をしていても、同じパスワードを複数サービスで使い回している限り、リスト型攻撃のリスクは下がりません。NISTの考え方では、漏洩や侵害の兆候がある場合に速やかに変更し、普段は一意性と漏洩監視を優先します。
失敗3：無料のパスワード生成サイトを無条件に信じる
パスワード生成サイトの安全性は、生成処理が端末内で完結するか、生成文字列をサーバーへ送信しないか、暗号論的に安全な乱数を使うかで判断します。HTTPSで表示されているだけでは十分ではありません。広告が多いサイト、生成履歴を残すサイト、運営者情報が曖昧なサイトは業務利用に向きません。
失敗4：管理ツール自体にMFAを設定しない
パスワードマネージャーは、すべての鍵を入れる金庫です。IDとマスターパスワードだけでログインできる状態では、キーロガーやフィッシングで突破された場合に全アカウントへ被害が広がります。認証アプリ、セキュリティキー、生体認証のいずれかを必ず組み合わせます。
失敗5：導入しても従業員が使わない
法人向けツールは、契約だけでは定着しません。50名未満なら主要アカウントから順に移行し、50〜300名では部門ごとの保管庫設計と共有ルールを作ります。300名超では、SSO、MFA、プロビジョニング、退職時の無効化フローまで決めないと、管理画面の外で古いパスワード共有が残ります。
よくある質問
パスワード生成に関する疑問は、最新ガイドラインや実際の運用シーンに照らし合わせて解決します。
Q：強力なパスワードは何文字以上にすべきですか？
A：NIST SP 800-63-4の考え方では、単一要素認証では15文字以上を目安にします。覚える必要のないサービス用パスワードは、パスワード自動生成で20文字以上にすると運用しやすくなります。
Q：マスターパスワードはどう設定すべきですか？
A：15文字以上の長いパスフレーズを使います。Ashita-no-asa-wa-pan-daのように、自分だけが覚えやすい文章をローマ字化し、管理ツール自体のMFAも有効にします。
Q：無料のパスワード生成サイトの安全性はどう判断しますか？
A：生成処理がブラウザ内で完結し、サーバーへ生成文字列を送信しない設計かを確認します。業務パスワードは、単体サイトよりも保存まで暗号化できるパスワードマネージャー内で生成するほうが安全です。
Q：パスキーが普及すればパスワード生成ツールは不要になりますか？
A：すぐには不要になりません。2026年時点ではパスキー未対応の業務システムが残るため、対応サービスはパスキーへ移行し、未対応サービスは強いパスワード生成とMFAで守ります。
Q：同じパスワードを少し変えて使うのは危険ですか？
A：危険です。攻撃者は漏洩済みパスワードの末尾数字や記号を変えたパターンも試すため、サービスごとに完全に異なる文字列を生成します。
まとめ
安全なパスワード生成に向けた最初の一歩
安全なパスワード生成は、長く一意な文字列を作り、暗号化された場所で管理し、重要アカウントにMFAやパスキーを組み合わせる運用です。まずは使用中のメインブラウザでパスワード自動生成を有効にし、主要メールと金融サービスから変更します。共有アカウントがある企業は、無料体験版のパスワードマネージャーで保管庫、共有権限、退職者削除の流れを1部門から検証します。
主要メール・金融サービスのパスワードを自動生成に切り替える
パスワードマネージャーの無料体験を申し込み、1部門で試運用する
パスワードマネージャー自体にMFAを設定する
業務SaaSの共有アカウントと退職者アクセスを棚卸しする
パスキー対応サービスから順次、パスワードレス認証へ移行する
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
