パスワード 変えるタイミング/定期変更はいらない

「パスワードは3か月ごとに変えましょう」と言われた覚えはありませんか。総務省は今、パスワードを定期的に変える必要はないとしています。変えるべきなのは、サービスから漏れたときです。

10月26日には、家電量販店のジョーシンが最大約623万件の情報が漏れたおそれがあると発表し、その中には「ログインIDと初期パスワード」も入っていました。こういう知らせを見たときに、何を変えればいいのかを整理します。

定期的に変えなくていい理由

総務省の「国民のためのサイバーセキュリティサイト」は、サービスから漏れた事実がないなら、パスワードを変える必要はないと書いています。

理由は、決まった時期に変えさせると、「末尾の数字を1つ増やすだけ」のような分かりやすい変え方になったり、覚えきれずに同じものを使い回したりしやすいからです。アメリカの国立標準技術研究所（エヌアイエスティー）や、日本の内閣サイバーセキュリティセンターも同じ考え方だと紹介しています。

変えるべきタイミングは3つ

出典：総務省「推測できる簡単なパスワードを利用しないようにしよう」をもとに作成。2つめが大事です。1つのサービスから漏れたIDとパスワードで、別のサービスに入れないか試す手口がよく使われているからです。

初期パスワードも漏れることがある

ジョーシンの発表では、定額制の「ジョーシンのサブスク」で、最大約23万件の「ログインID」と「初期パスワード」が漏れたおそれがあるとされました。

最初にもらったパスワードを変えずに使っていると、それが漏れたとき、そのまま入られるおそれがあります。家のWi-Fiルーターも同じです。総務省は、ルーターの管理画面のパスワードが盗まれたときは、管理画面から管理者のパスワードを変えるよう案内しています。

新しいパスワードの作り方

総務省は、安全なパスワードの目安を次のように示しています。

• 10文字以上で、英字・数字・記号をまぜる
• 覚えたいときは、関係のない英単語をいくつかつなげ、間に数字をはさむ
• IDと同じもの、名前・電話番号・誕生日は使わない
• 「123456」「qwerty」のような並びや、辞書にのっている単語ひとつは使わない
• 人に教えたことのあるパスワードは使わない

サービスごとに全部ちがうものを覚えるのは大変なので、パスワードを管理するアプリを使うのもひとつの方法だとしています。そのアプリは、指紋や顔の認証、強いパスワードで守っておきます。

パスワードだけに頼らない

総務省は、パスワードに加えて、スマホに届くコードや指紋などを組み合わせる「多要素認証」も勧めています。パスワードが漏れても、それだけでは入れなくなるからです。

設定のしかたは、二段階認証とスマホをなくしたときの戻し方にまとめています。パスワードのいらない「パスキー」を使う方法は、パスキーの機種変更と引き継ぎで紹介しています。

アイキャッチ写真の出典

Pexels（イメージ）。