「P@ssw0rd!」は安全？10個を漏洩データで検証した結果

「P@ssw0rd!」のように大文字・数字・記号を混ぜれば安全――そう思っていませんか。

大文字と数字と記号を入れたから、もう十分に強いと思っていたよ。

見た目より、同じ作り方がすでに知られているか、別サイトへ使い回していないかが重要です。今回は数字で確かめます。

※本記事には広告リンクが含まれます。検証結果と出典確認は、紹介する商品やサービスとは切り分けて実施しています。

公開ダミーのパスワード10個を、Have I Been Pwnedの漏洩パスワードデータで照合しました。結果は、123456が2億1046万1208回、P@ssw0rd!も11万9515回。25文字の有名な長文パスワードにも4173回の一致がありました。

動画で10個の検証結果を見る

パスワード10個の実測結果

2026年7月17日に取得した結果です。回数は、Have I Been PwnedのPwned Passwordsデータ内で、その文字列が漏洩データに登場した回数を示します。

実物のパスワードを送らずに調べる仕組み

1. パソコン内で調べたい文字列をSHA-1ハッシュへ変換する
2. ハッシュの先頭5文字だけを照会先へ送る
3. 同じ先頭5文字を持つ候補一覧を受け取る
4. 残りの文字を手元で照合し、一致回数を確認する

この方式はHave I Been Pwned公式APIのk-anonymityモデルです。照会先へ元のパスワード全体を送らずに一致を確認できます。今回の検証は、記事用に作った公開ダミー文字列だけで実施しました。

なぜ記号を混ぜても破られるのか

攻撃者は、すべての文字を無作為に一から試すとは限りません。過去に漏れた文字列、辞書の単語、名前、年、末尾の数字、aを@へ変えるような定番置換を先に試します。

そのため「大文字・小文字・数字・記号を全部入れた」という条件を満たしても、Password1!のような作り方では独自性がありません。現在のNIST SP 800-63Bも、既知・一般的・侵害済みのパスワードをブロックリストで拒否する考え方を示しています。

0回でも使い回しが危険な理由

長くて独自の文字列でも、複数サイトへ使い回せば、1か所から漏れた瞬間に他サイトの鍵になります。強い文字列を一つ考えるより、サイトごとに別の鍵を持つことが先です。

変更の優先順位は、メール、金融、買い物です。メールを取られると、他サービスのパスワード再設定にも使われます。

今日変える3手順

0回だった長い文字列なら、そのまま自分のパスワードにしてもいい？

いいえ。記事で公開した時点で秘密ではありません。管理ツールで、サイトごとに新しい固有の文字列を生成してください。

1. 重要アカウントの使い回しを止める

• 最優先：メール
• 次：銀行、証券、決済
• 次：通販、携帯会社、クラウド

2. パスワード管理ツールへ任せる

サイトごとに長くランダムな文字列を自動生成し、保存します。自分で何十個も暗記する必要はありません。詳しい選び方と初期設定はパスワードマネージャー完全ガイドで確認できます。

3. パスキー、なければMFAを使う

対応サービスではパスキーを優先します。パスキーは共有するパスワードを前提とせず、フィッシング耐性を持つ認証方式です。未対応のサービスでは、固有パスワードに認証アプリなどのMFAを追加します。FIDO Allianceのパスキー解説も参照してください。

5分チェックリスト

• メールと他サービスで同じパスワードを使っていない
• 金融・決済・通販はそれぞれ固有のパスワード
• 管理ツールの自動生成を使っている
• 使えるサービスではパスキーを設定した
• パスキーがないサービスはMFAを有効にした

パスワード全体の作り方はパスワードの安全な作り方、パスキーの導入はパスキー入門もあわせて確認してください。

出典・確認先

• Have I Been Pwned API – Pwned Passwords
• NIST SP 800-63B
• CISA Secure Our World
• FIDO Alliance – Passkeys

検証日：2026年7月17日、再照合：2026年7月18日。漏洩データは更新されるため、回数は今後変化します。実際に使っているパスワードを、正体の分からない確認サイトへ入力しないでください。