パスワードの使い回しが危険な理由｜リスト型攻撃の仕組みと対策

パスワードの使い回しは、セキュリティ上もっとも避けるべき習慣の1つです。理由は単純で、どこか1つのサイトからパスワードが漏れると、同じパスワードを使っている他のすべてのサイトが芋づる式に乗っ取られるからです。しかも、この攻撃は人手ではなく自動化されており、あなたが漏洩に気づく前に進行します。パスワードの複雑さでは防げないこのリスクを、仕組みから理解しておきましょう。使い回しをやめる第一歩は、生成ツールでサイトごとに別のパスワードを作ることです。

使い回しの何が危険なのか

危険の本質は、1か所の漏洩の被害が、使い回した数だけ拡大することにあります。ある通販サイトとメール、SNS、ネット銀行で同じパスワードを使っていれば、通販サイト1つの漏洩で、残り3つもすべて破られる可能性が生まれます。パスワードそのものの強さは関係ありません。攻撃者は総当たりで破ったのではなく、正解をそのまま手に入れて使い回しているだけだからです。

リスト型攻撃（クレデンシャルスタッフィング）の仕組み

使い回しを直接狙う攻撃を、リスト型攻撃、またはクレデンシャルスタッフィングと呼びます。流れは次のとおりです。

1. あるサイトが不正アクセスを受け、利用者のメールアドレスとパスワードの組が大量に流出します。
2. 流出データは売買・共有され、攻撃者の手に「メールアドレスとパスワードのリスト」が渡ります。
3. 攻撃者は自動化ツールで、そのリストを別のサイト（メール、SNS、通販、金融など）のログイン画面に片っ端から入力します。
4. 使い回している利用者のアカウントは、リストの組がそのまま通用してしまい、ログインを許してしまいます。

総当たり攻撃と違い、リスト型攻撃は「すでに正しいと分かっている組」を試すため、成功率が高く、防御側も気づきにくいのが特徴です。パスワードを長く複雑にしても、その正解が流出していれば意味をなさない点が、使い回し特有の怖さです。

「重要なサイトだけ強く」では不十分

「銀行やメールだけ強固にして、どうでもいいサイトは使い回す」という考えは危険です。理由は2つあります。

• どうでもいいサイトほど漏れやすい：小規模サイトはセキュリティ対策が手薄なことがあり、そこから使い回しパスワードが流出します。
• メールは全アカウントの親：多くのサービスはメール経由でパスワードを再設定できます。使い回しでメールを奪われると、そこから他のアカウントも次々に乗っ取られます。

つまり、重要なサイトを守るためにも、軽視しているサイトを含めて使い回さないことが必要です。

自分の漏洩を確認する

過去に登録したメールアドレスやパスワードが、すでに流出データに含まれていないかは、漏洩確認サービスで点検できます。メールアドレスを入力すると、そのアドレスが過去のどの漏洩に含まれていたかを教えてくれるものがあります。

• 自分のアドレスが漏洩リストに載っていたら、そのサービスのパスワードを変更します。
• 同じパスワードを他でも使っていたら、それらもすべて別のものに作り直します。
• 今後は、漏洩通知を受け取れるよう、ブラウザやマネージャーの監視機能を有効にしておくと安心です。

使い回しをやめる現実的な方法

「サイトごとに別のパスワード」を人力で覚えるのは不可能です。だからこそ道具に任せます。

まずパスワードマネージャーを導入し、各サイトのパスワードを生成ツールで作った固有のものに置き換えていきます。加えて、重要なアカウントには二要素認証やパスキーを設定すれば、万一パスワードが漏れても被害を食い止められます。強いパスワードの条件そのものは強いパスワードの条件も参考にしてください。

まとめ

• 使い回しは、1か所の漏洩を全アカウントの乗っ取りに拡大させる。
• リスト型攻撃は自動化されており、パスワードの複雑さでは防げない。
• 対策はサイトごとに固有のパスワード。マネージャーと2FA・パスキーで現実的に運用する。

今日できる最初の一歩は、メールと銀行など最重要アカウントのパスワードを、使い回していないか確認し、固有のものへ変えることです。