SIMスワップ詐欺とは？｜スマホが突然圏外になったら疑う電話番号乗っ取りの手口と対策
安全に生きたい編集部
安全に生きたい
4桁PINは何秒？1万通り実測と、よく選ばれた4桁コード・パスワードランキング
安全に生きたい編集部
🛡️ この記事について：情報処理安全確保支援士（IPA認定 国家資格）保有者が、公開ダミーだけを使ったローカル実験と、OS各社・FIDO・学術研究の公開資料を2026年8月1日に突き合わせて作成しました。実アカウントや実機のロック解除は試していません。 → 編集方針・運営者情報
4桁・6桁・8桁PIN × 3×3パターン × パスキー
4桁PINの全1万通りをPC内で照合。
1スレッド中央値は約0.68ミリ秒
1スレッド中央値は約0.68ミリ秒
ただし、これはスマホを0.68ミリ秒で解除した結果ではありません。短い秘密の「候補数」と、人が選ぶ番号の「偏り」、実機が連打を止める仕組みを分けて確認します。
10,000通り4桁PINの候補数
389,112通り古典的3×3パターン
偽サイトで拒否ローカルのパスキー実証
0.68ミリ秒なら、4桁PINのスマホは一瞬で開けられるってこと？
そこは別だよ。今回測ったのはPC内の模擬データ。実機には試行遅延やロックアウトがある。でも、4桁は候補が1万しかなく、人がよく選ぶ番号はさらに先に狙われる。この2点を数字で見ていこう。
▶ 6分26秒で実測を見る｜2026年8月2日19時公開
4桁PINは何秒で破られる？1万通りをPC内で総当たり検証4桁・6桁・8桁、3×3パターン、正規サイトと偽サイトでのパスキーの動きを、ずんだもんと四国めたんが順番に確認します。YouTubeで見る →
Contents
先に結論：見るべきは「速さ」より3つの違い
候補数は少ない4桁は1万、6桁は100万、8桁は1億。桁が2つ増えると100倍
人の選択は偏る連番・同じ数字・年・キー配列は、均等な1万通りより先に試される
実機は連打を止める端末側の保護と、PINそのものの候補数は別の防御
今回のPC内実測は、短いPINの候補空間を同じ条件で比較するための模型です。4桁PINが弱い理由は「0.68ミリ秒」という特定PCの数字そのものではなく、候補が1万通りに固定されることにあります。さらに、人は1万通りから均等に選びません。
ここだけは混同しない：Webサービスのパスワード、スマホの解除PIN、銀行・カードの暗証番号は、用途も試行制限も違います。以下のランキングは、どの母集団から得た数字かを表ごとに分けています。
実際に選ばれた4桁コードランキング
最も具体的な公開資料の一つが、Daniel Amitay氏が2011年にiPhoneのロック画面を模したアプリ内で記録した20万4,508件の4桁コードです。iPhone本体の解除コードそのものではありませんが、「人が4桁を選ぶときの偏り」を見る資料として、後年のスマホPIN研究でも参照されています。
| 順位 | 4桁コード | 選ばれやすい理由の例 |
|---|---|---|
| 1 | 1234 | 最も単純な連番 |
| 2 | 0000 | 同じ数字の繰り返し |
| 3 | 2580 | テンキー中央を縦に移動 |
| 4 | 1111 | 同じ数字の繰り返し |
| 5 | 5555 | 中央キーの繰り返し |
| 6 | 5683 | 英字キーで「LOVE」 |
| 7 | 0852 | キー配列上の移動 |
| 8 | 2222 | 同じ数字の繰り返し |
| 9 | 1212 | 2桁の反復 |
| 10 | 1998 | 年として選びやすい |
上位10通りだけで全体の15％を占めました。1万通りのうち0.1％しか見ていないのに、約7人に1人分へ当たる偏りです。
ランキングの限界：2011年のアプリ内データで、現在の日本人や全スマホ利用者を代表する調査ではありません。ここから「10回試せば今のスマホが15％開く」とは言えません。使っている番号が表にあるなら、避ける理由は十分ある、という見方をしてください。
Webパスワードで多かった文字列ランキング
PINとは別に、英国NCSCは2019年、世界の公開済み侵害データから繰り返し現れたパスワードを集計しました。順位は「今使っている人の人数」ではなく、侵害データ内で確認された規模です。
| 順位 | パスワード | 侵害データ内の確認規模 |
|---|---|---|
| 1 | 123456 | 2,320万件 |
| 2 | 123456789 | 770万件 |
| 3 | qwerty | 380万件 |
| 4 | password | 360万件 |
| 5 | 1111111 | 310万件 |
古い集計だけの話でもありません。NordPassの2025年版は、2024年9月から2025年9月までの公開侵害・ダークウェブ資料を分析し、123456が7回の調査中6回目の世界1位になったと報告しています。連番、キーボード配列、一般単語は、今も最初に試される候補です。
自分の文字列を探したい場合：実際のパスワードを検索欄へ直接貼り付けないでください。当サイトでは、公開ダミー10件だけをHave I Been Pwnedのk-anonymity方式で照合した漏えいパスワード検証を公開しています。
4桁・6桁・8桁を同じPCで全数照合
実験では、Rust 1.90のrelease buildを使い、候補を固定長ASCIIへ変換し、ソルトなしSHA-256を1回計算してダミーの正解と比較しました。Intel Core i7-13700F、1スレッドで全候補を最後まで処理した中央値です。
| 桁数 | 全候補 | 実行回数 | 全探索1回分の中央値 | 中央処理速度 |
|---|---|---|---|---|
| 4桁 | 10,000 | 1,000回をまとめて計測×7 | 0.0006811596秒 約0.68ミリ秒 | 14,680,847候補/秒 |
| 6桁 | 1,000,000 | 10回をまとめて計測×7 | 0.06859639秒 約0.07秒 | 14,578,027候補/秒 |
| 8桁 | 100,000,000 | 単独計測×3 | 7.1309721秒 約7.1秒 | 14,023,334候補/秒 |
極端に短い4桁と6桁は、一回ずつ計時すると時計を読む固定費の影響が大きくなります。そこで全探索を1計測内で1,000回・10回繰り返し、合計を割り戻しました。全桁で処理速度が約1,400万候補/秒にそろっていることも確認できます。
変わらない数字／変わる数字：4桁が1万通り、6桁が100万通り、8桁が1億通りという候補数は変わりません。一方、秒数はCPU、実装、ハッシュ方式、ソルト、反復回数で大きく変わります。
ブログだけの補足：24論理スレッドを使った場合
同じPCで24論理スレッドを使った補足値です。動画では同条件の比較を優先し、1スレッド値だけを採用しました。
| 桁数 | 全候補 | 中央値 | 中央処理速度 |
|---|---|---|---|
| 4桁 | 10,000 | 0.0000661361秒 | 151,203,352候補/秒 |
| 6桁 | 1,000,000 | 0.00723428秒 | 138,230,757候補/秒 |
| 8桁 | 100,000,000 | 0.5948319秒 | 168,114,723候補/秒 |
頻出候補から試すと何が変わる？
MarkertほかのスマホPIN研究では、利用者が選んだデータから作った頻度順モデルで、4桁PINは最初の10候補で4.6％、30候補で7.6％、100候補で16.2％が的中すると推定されました。
| 推測回数 | 4桁PINの推定成功率 | 意味 |
|---|---|---|
| 10回 | 4.6％ | 均等な1万通りなら0.1％だが、人の選択偏りで上がる |
| 30回 | 7.6％ | 連番・反復・年などを先に試すモデル |
| 100回 | 16.2％ | 実機へ100回連打できるという意味ではない |
6桁に増やしても、123456や誕生日のような規則的な値を選べば、100万通りの利点を十分に使えません。桁数を増やすなら、推測されにくい値を端末に生成させるか、少なくとも生年月日・記念日・電話番号・住所と結び付く値を避けます。
Android方式3×3パターンは38万9,112通り
古典的なAndroid 3×3方式として、長さ4〜9、同一点の再利用なし、中点を飛び越える場合はその点が既に選択済み、というルールで全パターンを生成しました。
| 長さ | 有効パターン数 |
|---|---|
| 4点 | 1,624 |
| 5点 | 7,152 |
| 6点 | 26,016 |
| 7点 | 72,912 |
| 8点 | 140,704 |
| 9点 | 140,704 |
| 合計 | 389,112 |
点列の生成とSHA-256計算は5回中央値で約25ミリ秒でした。これは指でなぞった時間でも、実機を解除した時間でもありません。研究モデルでは、人が選んだ4,637件のパターンを使った交差検証で、最初の100候補による推定成功率が35.5％でした。開始点や形にも偏りがあるため、理論上の38万9,112通りを均等に使えているわけではありません。
では、なぜスマホは一瞬で開かないのか
実機は、入力を受けるたびに保護された領域で照合し、失敗回数に応じて待ち時間やロックアウトを入れます。攻撃者がPC内のダミーハッシュへ毎秒何百万回照合できても、画面から同じ速度で入力できません。
1iPhone・iPad
Secure Enclaveが誤入力後の遅延を強制。回数が増えるほど待ち時間が長くなります。
2Android
Gatekeeper／WeaverなどがTEEやSecure Element側で試行回数を制限します。
3Windows Hello
PINは端末の鍵に結び付き、失敗時はA1B2C3チャレンジや一時停止が入ります。
待ち時間や上限はOS版・端末・管理設定で異なります。それでも結論は共通です。実機の試行制限を更新された状態で使うことと、推測されにくい解除コードを選ぶことは、どちらも必要です。
パスキーは偽サイトでどう動いた？
Microsoft Edgeの仮想認証器とローカルHTTPS環境を使い、正規側をreal.test、別の偽サイト側をfake.testとして試しました。実アカウント、外部通信、物理的な生体情報は使っていません。
パスキーは、長いパスワードを自動入力する仕組みではありません。登録先のRP IDに結び付いた秘密鍵で署名し、サービス側は公開鍵で検証します。今回、fake.testからreal.test用の資格情報を要求しても、認証器は正規サイト用の署名を返しませんでした。
パスキーの強み：使い回す共有文字列をサーバーへ送りません。正規サイトそっくりの別ドメインへ、利用者が秘密を入力して渡す攻撃の形を変えられます。
パスキーだけで全部は守れない：解除済み端末、弱い端末ロック、アカウント復旧、残したままの旧パスワードは別の入口です。対応サービスで古いパスワードを削除できる場合は、パスキーだけに切り替えます。
今日変える3項目
- 端末のPINを見直す：
1234、同じ数字、誕生年、電話番号の一部、テンキーの直線を避けます。選べるなら6桁以上にします。 - 端末と復旧経路を更新する：OS更新、盗難時保護、アカウントの復旧先メール・電話番号、バックアップコードを確認します。
- 対応サービスをパスキーへ移す：まずメール、Apple／Google／Microsoftアカウント、金融・決済など重要度の高い順に設定します。旧パスワードを削除できない場合は、固有の長いパスワードとMFAを残します。
結局、4桁を6桁に変えて、パスキーも使えばいいんだね。
その順で大丈夫。桁を増やしても誕生日にしない、端末の試行制限を古いOSのままにしない、パスキーを設定しても復旧経路を放置しない。この3点まで一緒に見直そう。
よくある質問
Q. 4桁PINなら0.68ミリ秒でスマホを解除できますか？
A. できません。0.68ミリ秒はPC内で作った単純な模擬データを1スレッドで全数照合した値です。スマホは保護領域で照合し、誤入力に待ち時間とロックアウトを入れます。
Q. 6桁なら必ず4桁の100倍安全ですか？
A. 候補数は100倍ですが、誕生日や連番を選べば頻出候補として先に試されます。ランダム性と実機の試行制限を含めて考えます。
Q. AndroidパターンはPINより安全ですか？
A. 理論上の候補数だけでは決められません。人は似た開始点や形を選びやすく、研究モデルでは100候補時の推定成功率が4桁PINより高い結果でした。端末の仕様と選び方の両方が重要です。
Q. パスキーならパスワード管理は不要ですか？
A. すべてのサービスがパスワードを削除できるわけではありません。残るサービスには固有の長いパスワードとMFAが必要です。パスキーを保管する端末やパスキーマネージャーも守ります。
次に読む記事
まとめ：短い秘密と、実機の防御を分けて考える
- 4桁PINは1万通り。今回のPC内模擬実験では1スレッド中央値約0.68ミリ秒だった
- 実際に選ばれた4桁コードには連番、同じ数字、テンキーの直線、年の偏りがある
- 実機はSecure Enclave、TEE、Secure Element、TPMなどで連続試行を止める
- 古典的3×3パターンは38万9,112通りだが、人の選択は均等ではない
- パスキーは正規サイト用の秘密鍵を別RPの偽サイトへ渡さない
- 端末ロック、復旧経路、残存パスワードはパスキーとは別に守る
今日の実行順は、頻出PINをやめる、端末と復旧先を更新する、対応サービスをパスキーへ移すです。速さの数字だけで怖がるより、攻撃を止める層を一つずつ増やしてください。
参考にした公式・一次資料
- Daniel Amitay：Most Common iPhone Passcodes
- Markertほか：This PIN Can Be Easily Guessed（研究プロジェクト・データ説明）
- Markertほか：Analyzing the Security of Smartphone Unlock PINs
- 英国NCSC：Most hacked passwords revealed
- NordPass：Top 200 Most Common Passwords 2025（調査方法を含む）
- Android：Authentication rate limiting
- Apple Platform Security：Passcodes and passwords
- Microsoft Learn：Windows Hello for Business FAQ
- W3C：Web Authentication Level 3
- FIDO Alliance：Passkeys
実証日：2026年7月31日、記事最終確認：2026年8月1日。ランキングは各資料の公開年・母集団が異なります。記事中の公開ダミーやランキング掲載値を、自分のPIN・パスワードとして使用しないでください。
