これからのパスワードの守り方：パスキー・使い回さない・2段階認証

まずはこの5つ

パスキーは、パスワードの代わりに、スマートフォンやパソコンのロックを解除する操作（指紋・顔・PIN など）でログインする方式です。パスワードを使わないので、パスワードが漏れる心配がありません（IPA）。

偽のサイトに誘導されてもパスキーが守ってくれる、と金融庁・警察庁が銀行や証券会社などといっしょに呼びかけています（2026年4月）。

パスキーを使うには、サービスが対応している必要があります。対応しているかは、各サービスのヘルプページで確かめてください（IPA）。

あるサービスから流出したメールアドレスとパスワードを使って、ほかのサービスへの不正ログインを試す手口が知られています。同じパスワードを使い回していると、1か所の流出で、ほかのサービスまで乗っ取られるおそれがあります（総務省）。

すでに使い回していた場合の対処は、別の解説にまとめています。

以前は「パスワードは定期的に変える」と言われていましたが、今は、流出などの事実がなければ変える必要はないとされています。定期的に変えると、パスワードが単純になったり、使い回しが増えたりするためです（総務省。米国の NIST や、日本の NISC の指針も同じ考え方です）。

その代わり、サービスから流出した・破られたとわかったときは、すぐに変えてください。

2段階認証（多要素認証）は、パスワード（知っているもの）に、スマートフォン（持っているもの）や指紋・顔（本人の体の特徴）を組み合わせて確かめる方式です。ID とパスワードが漏れても、ログインを防げます（IPA・総務省）。

SMS などで届く認証コードは、だれにも教えないでください。知人になりすましたメッセージで電話番号を聞き出し、届いた認証コードをだまし取って、アカウントを乗っ取る手口が相談されています（IPA）。

サービスごとに違う長いパスワードを覚えるのは大変です。スマートフォンやブラウザに付いているパスワードの保存・自動生成の機能や、パスワード管理アプリを使うことが勧められています（総務省）。

管理機能そのものは、マスターパスワードや画面ロック（指紋・顔など）で守ってください。紙にメモする場合は、人の目に触れる場所に貼らず、鍵のかかる場所にしまってください（総務省）。