メインコンテンツへスキップ
見出し画像

パスワードマネージャーの選び方とパスキー移行｜使い回し84.3%からどう抜けるか

    梟 〜GLEANINGS〜

    「パスワードは使い回さないほうがいい」と分かってはいる。
    でも、サービスごとに違うものにすると思い出せない。
    結局、いつもの1つを少しだけ変えて使っている。

    この状態は、恥ずかしいことでも、意志が弱いことでもありません。
    調査を見ると、8割を超える人が同じところにいます。
    そして3年前とほとんど変わっていません。

    変わらないのは、精神論で解こうとしているからです。
    この記事では、覚える必要そのものを減らす方法を2つ見ていきます。
    パスワードマネージャーと、パスキーです。

    この記事は、トレンドマイクロ・NIST・FIDOアライアンス・各提供元の一次資料をもとに、2026年9月時点の内容にしています。

    使い回しは、8割を超えたまま動いていない

    84.3パーセント

    トレンドマイクロが2026年3月24日に公表した「パスワード・パスキーの利用実態調査2026」によると、Webサービス利用者1,034名のうち84.3パーセントが、複数のサービスでパスワードを使い回していると答えています。

    同社は2023年にも同じ調査をしていて、そのときは83.8パーセントでした。
    3年で0.5ポイント。
    ほぼ動いていません。

    理由は「忘れる」と「面倒」

    使い回す理由の上位は、「異なるパスワードを設定すると忘れてしまう」が74.3パーセント、「異なるパスワードを考えるのが面倒」が48.3パーセントです。

    危険性を知らないから使い回しているのではありません。
    知ったうえで、覚えられないから使い回している。
    ここが押さえどころです。

    管理方法を見ると、それがはっきりします。
    もっとも多いのが「記憶している」で40.9パーセント、次いで「紙のメモやノート」が34.3パーセント。
    年代別では、39歳以下は記憶とスマホのメモ帳やブラウザの保存機能に頼る傾向が強く、50代・60代では紙のメモやノートが最多になります。

    人が覚えられる数と、実際に使うサービスの数が、とっくに釣り合わなくなっている。
    使い回しは、その帳尻合わせです。

    被害の後も、直しきれていない

    同じ調査で、不正アクセスや情報流出の被害経験があると答えたのは14.7パーセントでした。
    2023年と比べると3ポイント減っています。

    問題は、その後の対応です。
    被害経験者が実際に取った対策は「被害のあったアカウントのパスワードのみ変更」が50.7パーセントで最多。
    「利用している全アカウントのパスワードを変更」は21.7パーセントにとどまります。

    使い回している以上、1つ漏れたら、同じパスワードを使っている他のアカウントも危険にさらされています。
    半数の人は、そこまでは手が回っていない、ということです。

    「94パーセントが使い回し」という数字の読み方

    パスワードの話でよく引かれる数字に、こういうものがあります。
    「流出した190億件のパスワードのうち、94パーセントが使い回されていた」

    出どころは、セキュリティメディアのCybernewsが2025年4月30日に公開した分析です。
    19,030,305,929件のパスワードを調べた、大規模なものではあります。

    ただ、この94パーセントは、多くの場面で意味を取り違えて紹介されています。
    原文はこうです。

    「94% of passwords are reused or duplicated」
    「Only 1,143,815,266 (6%) of passwords were identified as unique」

    つまり、流出した190億件の文字列のうち、ほかとかぶらない固有のものは6パーセントしかなかった、という意味です。
    「同じ人が複数のアカウントで使い回していた」という話ではありません。
    赤の他人どうしが、それぞれ「123456」を使っていれば、それも重複として数えられます。

    Cybernews自身も、流出元のデータに重複した項目が含まれていたことが高い割合の一因だと書き添えています。

    数字が間違っているわけではありません。
    ただ「94パーセントの人が使い回している」と読むと、別の話になります。
    使い回しの実態を語るなら、先ほどのトレンドマイクロの84.3パーセントのほうが根拠として確かです。

    パスワードマネージャーの現在地

    覚える対象を1つにする道具

    パスワードマネージャーは、サービスごとに違う複雑なパスワードを暗号化して保管し、必要なときに自動で入力してくれるツールです。

    利用者が覚えるのは、金庫を開けるための「マスターパスワード」1つだけになります。
    「覚えられないから使い回す」という問題を、意志ではなく仕組みで外しにいく道具です。

    以下、2026年9月時点の主要なものを、各社の公式ページに載っている内容で見ていきます。
    価格は割引が入っているものが多いので、契約前に必ず公式ページで確認してください。

    無料で実用になるもの

    無料プランがあり、なおかつ制限が実用の邪魔をしないのは、この2つです。

    Bitwardenは、無料プランで「Unlimited devices, unlimited passwords」を掲げています。
    保存件数もデバイス数も無制限で、パスキーの管理と利用も無料の範囲に入っています。
    有料のPremiumは年19.80ドル（月1.65ドル相当）、Familiesは年47.88ドルで6人まで。
    オープンソースで、自社サーバーに置くセルフホスト版もあります。

    Proton Passも、無料プランが「Unlimited logins, notes and credit cards」「Unlimited devices」「Passkeys supported on all devices」と、無制限かつパスキー対応です。
    メールアドレスを匿名化するエイリアスが無料で10個。
    有料のPass Plusは月374円（通常624円、年4,488円）、Pass Familyは月624円（通常874円）で6人までです。

    有料の選択肢

    1Passwordには無料プランがなく、14日間の無料トライアルのみです。
    個人プランは月3.99ドル、Familiesは月5.99ドル（いずれも年払い）。
    公式ページには月2.99ドル・月4.49ドルという価格も併記されていますが、これは「新規1Passwordユーザー限定の期間限定割引。
    年払いプランの初年度のみ適用」と注記されています。
    Familiesは家族5人まで招待でき、国境を越えるときに特定の保管庫を隠す「Travel mode」があります。

    Keeperは、日本語の公式ページで円建ての価格を出しています。
    個人が月410円（年一括4,915円）、ファミリープランが月818円（年一括9,811円）で5人まで、10GBのファイル保管付き。
    ただしページには57パーセント割引の表示があり、これは値引き後の価格です。
    無料版もありますが「Limited to 1 Mobile Device」「Limited to 10 Records」で同期もなく、実質は試用と考えたほうがいいでしょう。
    ダークウェブ監視のBreachWatchは年2,970円のアドオンで、標準では付いていません。

    Dashlaneは2025年9月16日に無料プランを終了しました。
    公式ブログに「Dashlane is streamlining our consumer plans and discontinuing the Free plan on September 16, 2025.」と書かれています。
    現在はPremium（月5.42ドル、年払い）とFriends & Family（月8.13ドルで10アカウント、年払い）の2本立てです。
    VPNとダークウェブ監視が標準で付きますが、Friends & Familyで招待されたメンバーはVPNの対象外で、使えるのはプラン管理者だけです。

    NordPassは、VPN大手のNord Securityが提供しています。
    日本語ページは円建てで、無料が0円、Premiumが月220円、Familyが月380円。
    ただしこれは「27か月分をまとめて払う場合」の月割りで、Premiumは12,960円が5,940円になる、という書き方です。
    無料プランは「This version only allows users to have one active session on one device.」とあり、同時に1台しかログインできません。
    複数の端末を行き来する使い方だと厳しくなります。

    クラウドに置かない選択肢

    データを自分の端末の外に出したくない場合は、オフライン型があります。

    KeePassは個人開発のWindows向けツールで、最新版は2026年5月1日のバージョン2.61.1。
    年に3〜4回のペースで更新が続いています。

    KeePassXCは、KeePassXから分岐した別プロジェクトで、Windows・macOS・Linuxで動きます。
    最新版は2026年3月10日の2.7.12。
    2024年3月のバージョン2.7.7でパスキーに正式対応しました。
    公式サイトの言葉は「Keep your passwords safe on the computer you trust. No clouds. No 3rd parties.」です。

    どちらも無料ですが、同期は自分で用意する必要があります。
    クラウドストレージにデータベースファイルを置くのが一般的なやり方です。

    選ぶときに見る3つの点

    • 無料で足りるか：Bitwarden と Proton Pass は無料でも実用になります。Keeper と NordPass の無料版は制限が強く、試用と考えたほうが安全です

    • 円で払えるか：円建ての価格を公式に出しているのは Keeper、NordPass、Proton Pass。1Password と Dashlane はドル建てなので、請求額が為替に動かされます

    • 何人で使うか：家族プランの人数は製品ごとに違います。1Password と Keeper が5人、Bitwarden と Proton Pass と NordPass が6人、Dashlane が10人です

    マスターパスワードを失うと戻せない

    どれを選んでも共通する注意点があります。
    マスターパスワード（または回復キー）をなくすと、保管しているすべてのデータに二度とアクセスできません。

    暗号化の鍵が利用者の手元にしかない設計なので、提供元に頼んでも復旧できないのです。
    安全性の裏返しですが、実務上はここが一番の事故ポイントになります。

    マスターパスワードは他のサービスと絶対に共用せず、紙に書いて金庫に入れるなど、デジタル以外の形で控えを残しておいてください。

    パスキーという出口

    秘密鍵はサービス側に渡らない

    パスキーは、パスワードそのものを使わずにログインする方式です。
    FIDOアライアンスの説明はこうです。

    「A passkey is an authentication credential based on FIDO standards, that can be stored on your phone or computer, or in a hardware security key allowing a user to sign in to apps and websites with the same process that they use to unlock their device (biometrics, PIN, or pattern).」

    日本のIPAは、もっと平たくこう書いています。

    「パスキーとは、パスワードの代わりに生体認証（指紋認証や顔認証など）やデバイスのロック解除機能（PINコードなど）を使って、サービスのアカウントにログインする新しい認証方式のことです。
    パスワードの漏えいリスクが無く、より安全にログインできます。」

    仕組みは公開鍵暗号です。
    登録時に、手元の端末で「秘密鍵」と「公開鍵」のペアが作られ、サービス側のサーバーには公開鍵だけが登録されます。
    秘密鍵はサービス側に渡りません。

    これが効いてくる場面が2つあります。
    ひとつは、サービス側が不正アクセスを受けても、ログインに使える秘密鍵そのものは漏れないこと。
    もうひとつは、偽サイトに誘導されても、入力すべき文字列が存在しないので盗みようがないことです。
    使い回しの連鎖も、使い回すべき文字列がないので起きません。

    同期パスキーと、デバイス固定パスキー

    パスキーには2種類あり、FIDOアライアンスは区別が必要な場面での呼び分けをこう定めています。

    「When delineation is required, passkeys that are synced between user's devices via a cloud service are generally referred to as 'synced passkeys', and those that never leave a single device (including those on FIDO security keys or UAF apps) are referred to as 'device-bound passkeys.'」

    クラウド経由で端末間を同期するのが同期パスキー、1つの端末から一歩も出ないのがデバイス固定パスキーです。
    セキュリティキーに入っているものは、公式の分類上こちらに入ります。

    つまり同期パスキーの場合、鍵は暗号化された形でクラウドを通ります。
    それでもサービス側のサーバーには渡らないという点は変わらないので、フィッシング耐性と漏えい耐性は保たれます。
    守っている範囲が違う、と理解しておくと混乱しません。

    この違いは、機種変更のときに効きます。
    同期パスキーはクラウド経由で引き継げますが、デバイス固定パスキーは引き継げません。
    どちらを使っているか、そして同期の方法がサービスごとにどう違うかは、機種変更の前に確認しておくと安全です。

    PR

    標準は、2026年8月に固まった

    技術的な土台は、FIDO2という枠組みです。
    これはW3Cが定めるWebAuthn（ブラウザ側のAPI）と、FIDOアライアンスが定めるCTAP（端末と認証器の間のプロトコル）を合わせた呼び名で、策定している団体が分かれています。

    そのWebAuthnですが、2026年8月25日に「Web Authentication: An API for accessing Public Key Credentials - Level 3」がW3C勧告になりました。
    ごく最近の出来事で、解説記事の多くはまだLevel 2（2021年）を最新として書いています。

    普及の側も数字が出ています。
    FIDOアライアンスが2026年5月7日に公表したところでは、世界で推定50億個のパスキーが使われており、認知度は90パーセント、75パーセントが1つ以上のアカウントでパスキーを有効にしています。

    日本のデータもあります。
    トレンドマイクロの調査では、パスキーの認知率は91.1パーセント。
    そしてパスキーを提供しているWebサービスの利用者733人のうち、87.7パーセントがすでに使っています。
    分母は全体ではなく「対応サービスを使っている人」ですが、対応していれば使われる、ということは言えそうです。

    日本の制度が、2025年10月に動いた

    日本でも、パスキーが行政文書に名前で登場するようになりました。

    2025年10月15日、金融庁が「金融商品取引業者等向けの総合的な監督指針」を改正し、同じ日に日本証券業協会が「インターネット取引における不正アクセス等防止に向けたガイドライン」の改正を施行しています。
    行政と自主規制が同日に足並みを揃えた形です。

    求めているのは、こういう内容です。

    「ログイン、出金、出金先銀行口座の変更など、重要な操作時におけるフィッシングに耐性のある多要素認証（例：パスキーによる認証、ＰＫＩ（公開鍵基盤）をベースとした認証）の実装及び必須化（デフォルトとして設定）」

    読むときに注意したいのは、必須化されているのは「フィッシングに耐性のある多要素認証」であって、パスキーそのものではない点です。
    パスキーとPKIは例示として挙がっています。
    それでも、証券取引という場面で「デフォルトで有効にせよ」というところまで来たのは大きな変化です。

    行政側の定義もあります。
    デジタル庁が2025年9月30日に公開した「DS-511 行政手続等での本人確認におけるデジタルアイデンティティの取扱いに関するガイドライン」は、パスキーを「FIDO Alliance と W3C（World Wide Web Consortium）がパスワードに代わる認証技術として共同で技術仕様を策定した公開鍵認証技術の一種」と書いています。

    パスワードの作り方も、常識が変わっている

    パスワードマネージャーやパスキーの手前で、そもそもパスワードの作法自体が変わっています。

    アメリカのNIST（国立標準技術研究所）が2025年7月31日に発行した「SP 800-63B-4」は、こう書いています。

    「Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically.」

    定期的な変更を求めてはならない、と。
    ただし「認証情報が漏れた証拠があるときは変更を強制すること」と続きます。

    複雑さの要件についてもこうです。

    「Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords.」

    大文字・小文字・数字・記号を混ぜろ、という決まりを課してはならない。

    代わりに重視されているのは長さです。
    第4版では、パスワード単体で認証する場合の最低長が15文字に引き上げられました（多要素認証の一部として使う場合は8文字以上）。

    日本も同じ立場です。
    総務省の「国民のためのサイバーセキュリティサイト」には、こう書かれています。

    「実際にパスワードを破られアカウントが乗っ取られる等のサービス側から流出した事実がない場合は、パスワードを変更する必要はありません」

    3か月ごとに変更させる社内ルールは、いまや標準の逆を行っています。
    短くて複雑なものを頻繁に変えるより、長いものを1回作ってマネージャーに預けるほうが、標準に沿っています。

    2026年9月時点の最新状況

    この1年の動きを時系列で並べます。

    • 2025年7月31日：NISTが「SP 800-63B-4」を発行。定期変更の強制と複雑さの構成要件を明確に禁じ、単体利用時の最低長を15文字に

    • 2025年9月16日：Dashlaneが無料プランを終了

    • 2025年9月30日：デジタル庁が「DS-511」を公開。パスキーを公開鍵認証技術の一種として定義

    • 2025年10月15日：金融庁の改正後の監督指針が同日から適用され、日本証券業協会のガイドライン改正も同日施行。重要な操作にフィッシング耐性のある多要素認証を必須化

    • 2026年3月24日：トレンドマイクロが「パスワード・パスキーの利用実態調査2026」を公表

    • 2026年5月7日：FIDOアライアンスが、世界で推定50億個のパスキーが使われていると公表

    • 2026年8月25日：W3CのWebAuthn Level 3が勧告になる

    制度も標準も、この1年でパスワードレスの方向にはっきり動きました。
    一方で、利用者の8割はまだ使い回しています。
    この差が、いまの現在地です。

    まとめ

    • 使い回しは84.3パーセント。3年前の83.8パーセントとほぼ同じで、危険性の周知だけでは動いていません

    • 理由は「忘れてしまう」74.3パーセント、「考えるのが面倒」48.3パーセント。管理方法は「記憶」40.9パーセントと「紙のメモ」34.3パーセントが上位です

    • 「流出パスワードの94パーセントが使い回し」という数字は、正確には「190億件の文字列のうち固有のものが6パーセントだけ」という意味です

    • 無料で実用になるのは Bitwarden と Proton Pass。どちらも保存件数・デバイス数が無制限でパスキーにも対応しています

    • Dashlaneは2025年9月16日に無料プランを終了しました。円建て価格を公式に出しているのは Keeper、NordPass、Proton Pass です

    • マスターパスワードを失うと、提供元でも復旧できません。デジタル以外の形で控えを残してください

    • パスキーは秘密鍵をサービス側に渡さないため、サービス側が破られても、偽サイトに誘導されても、認証情報を盗まれません

    • 同期パスキーとデバイス固定パスキーは引き継ぎ方が違います。機種変更の前に確認を

    • NISTも総務省も、パスワードの定期変更を求めない立場です。長さを優先してください

    まずはパスワードマネージャーを1つ入れて、使い回しているアカウントを上から順に置き換える。
    パスキーに対応しているサービスがあれば、そこから切り替える。
    この2つで、覚える必要そのものがほぼ消えます。

    皆さんは今、いくつのパスワードを頭の中に置いているでしょうか。

    参考・引用元

    実務で使う書式について

    この連載の内容を、社内でそのまま使える書式にまとめたものを、別のマガジンで公開しています。
    規程のひな形、対応フロー、チェックシート、報告書式などです。

    実務で使う書式・キット
    https://note.com/yunta_fukurou/m/mfc25857fab40

    関連する記事

    パスワード以外の対策も含めた全体像は、別の記事で扱っています。
    今すぐできる技術的な対策と、組織としての備えをまとめています。
    https://note.com/yunta_fukurou/n/nfe61bcc9fc3c

    本人だと確かめたあと、その人が何を開けるかは別の話です。
    共有リンクと退職者のIDの扱いは、別の記事で扱っています。
    https://note.com/yunta_fukurou/n/n88b3e264756d

    パスワードリスト攻撃をはじめとする攻撃の手口については、別の記事で扱っています。
    https://note.com/yunta_fukurou/n/n888367434664

    公共Wi-Fiと通信の暗号化、VPNの選び方については、別の記事で扱っています。
    https://note.com/yunta_fukurou/n/nf93511e4d755

    Wi-Fiルーターの管理画面のパスワードも、ここで書いた作り方と保管の考え方がそのまま当てはまります。
    家庭内ネットワークの守り方は、別の記事でまとめています。
    https://note.com/yunta_fukurou/n/n3551cc36bb7f

     
     

    梟 〜GLEANINGS〜

     
     
    Digital Workplace Architect｜社内外のIT・AIの導入と運用 IT・AI・セキュリティと周辺機器の「今さら聞けない」を一次情報で解説。書式・キットも。 Amazonのアソシエイトとして、梟 〜GLEANINGS〜は適格販売により収入を得ています。

    あなたへのおすすめ