パスワードの強さを調べる

総当たりで何通りあるかと、弱くしている原因を出します。入力はこの機器から出ません。

この道具は「解読」をしません

ここでやっているのは、数を数えることだけです。 入力の長さと使われている文字の種類から「総当たりなら何通りか」を計算し、 よくある形（辞書に載っている語、キーの並び、西暦、繰り返し）に 当てはまらないかを見ています。

実際にパスワードを破る機能は持っていませんし、作る予定もありません。 自分のパスワードの弱さに気づくにはこれで足りますし、 他人のものを破る役には立ちません。

強さの区切り

この5段の区切りは、このサイトが決めた目安です。ビット数で強さを段に分ける決まりは、NIST のガイドラインには見つかりませんでした。区切りの理由は、それぞれ次のとおりです。

28ビットは、小文字だけで書いた6文字ぶん（約28ビット）です。これより短いと、総当たりの回数を論じる意味がほとんどありません。40ビットは、NIST が二段階認証と組み合わせる場合に求める最低の8文字を、小文字と数字だけで書いたときに近い値（約41ビット）です。60ビットは、この画面が置いている前提（1秒に100億回試されるとして計算した値で、この画面が置いた仮定です）で、平均して破られるまでおよそ1.8年かかる境目です。80ビットは、NIST が単独で使うパスワードに求める最低の15文字を、小文字と数字だけで書いたときに近い値（約78ビット）です。同じ前提での平均はおよそ191万年になります。

総務省の資料は、弱いパスワードを5つの型に分けています

総務省の「国民のためのサイバーセキュリティサイト」は、安全なパスワードを 「他人に推測されにくく、ツールなどで割り出しにくいもの」と説明しています。 そのうえで、危ないパスワードの形を5つに分けて示しています。

IDと同じ文字列、自分や家族の名前・電話番号・生まれた日、辞書に載っているような 一般的な英単語ひとつだけ、同じ文字の繰り返しやわかりやすい並びの文字列、 短すぎる文字列の5つです。名前なら yamada や taro、生まれた日なら 19960628、 英単語なら password・baseball・monkey・dragon、並びなら aaaa・0000・abcd・123456、 キーボードの配列なら asdf・qwerty、短いものなら gf や ps が例として挙げられています。

覚えておきたい作り方も添えられています。意味のつながらない複数の英単語をつなげたり、 そのあいだに数字をはさんだりする作り方です。長くなるのに、覚えやすさは残ります。

出どころ: 総務省「国民のためのサイバーセキュリティサイト」（新しいタブで開きます）、同サイトの事業者向けページ（新しいタブで開きます）。

NIST の指針は、続けて失敗できる回数を100回までと求めています

米国国立標準技術研究所（NIST）が出している指針 SP 800-63B は、 パスワードを確かめる側に回数の制限を求めています。同じ利用者・同じ認証の手段（同じ人の、 同じ入り方）について、続けて失敗できる回数を100回までにして、超えたらその手段を止める、 という決まりです。

この指針に従う画面では、ログイン画面に打ち込んで総当たり（ありうる組み合わせを片っ端から 試すこと）を仕掛けるやり方は、100回で行き止まりになります。

総当たりの数がそのまま効いてくるのは、別の場面です。同じ指針には、 保管されていた記録が持ち出された場合、攻める側は自分の機械の中で 1秒に何十億回もハッシュ（合言葉をしまうための変換）を計算できる、と書かれています。 回数の制限が届かない場所だからです。

この画面に出る「何通りか」という数は、記録ごと持ち出された場面をどれだけ 持ちこたえられるかの目安として読むと合います。ログイン画面から打たれる場面では、 100回という別の壁が先に立ちます。

出どころ: 米国国立標準技術研究所（NIST）SP 800-63B-4「Digital Identity Guidelines: Authentication and Authenticator Management」（2025年7月）（新しいタブで開きます）の認証の章、同文書のパスワードの章（新しいタブで開きます）。

定期的に変えるより、使い回しをやめるほうがすすめられています

総務省の同じサイトには「パスワードを複数のサービスで使い回さない （定期的な変更は不要）」という節があります。サービス側から漏れた事実が無いときは、 パスワードを変える必要はない、と書かれています。

理由も添えられています。定期的に変えさせると、パスワードの作り方が 決まった形になって簡単になることや、同じものを使い回すようになることのほうが 問題になる、という説明です。

米国の NIST が出している指針 SP 800-63B も同じ向きです。確かめる側に対して、 利用者へ定期的な変更を求めないよう書いています。そのうえで、 破られた証拠があるときは変更させる、と場合を分けています。

使い回しをやめるほうがすすめられるのは、あるサービスから流出した組み合わせを、 別のサービスで試す攻め方が知られているためです。ひとつ漏れると、 同じ組み合わせを使っているサービスの分だけ広がります。

出どころ: 総務省「国民のためのサイバーセキュリティサイト」（新しいタブで開きます）、米国国立標準技術研究所（NIST）SP 800-63B-4（新しいタブで開きます）。

いちばん多い手口は、パスワードの設定と管理のゆるさです

国家公安委員会・総務大臣・経済産業大臣は、不正アクセス禁止法にもとづいて、 毎年少なくとも一回、不正アクセス行為の発生状況を公表しています。 2026年3月12日に出た回は、2025年（令和7年）の1年分をまとめたものです。

この年に警察が確かめた不正アクセスは7,190件で、前の年より1,832件（約34.2％） 増えました。検挙された（警察がつかまえた）不正アクセス行為407件のうち、 他人のIDとパスワードを打ち込んで入る型が399件を占めています。

その399件を、IDとパスワードの手に入れ方で分けると、いちばん多いのは 「パスワードの設定・管理の甘さにつけ込んで入手」で84件（21.1％）です。 次に多いのは、本物そっくりの画面で打たせて受け取る 「フィッシングサイトから入手」で77件（19.3％）です。

続きは、他人から入手が75件（18.8％）、知り得る立場にあった元従業員や知人等による 犯行が61件（15.3％）、分類のつかないものが55件（13.8％）、利用している人からの聞き出しやのぞき見が35件（8.8％）です。 人からたどる道が、上位に並んでいます。

出どころ: 国家公安委員会・総務省・経済産業省「不正アクセス行為の発生状況及びアクセス制御機能に 関する技術の研究開発の状況」（令和8年3月12日公表）（新しいタブで開きます）、総務省の公表ページ（新しいタブで開きます）。