シルバーウィーク前に見直したい「パスワード運用の"当たり前"」 NIST新要件から管理ソフトの穴まで

シルバーウィークを前に、企業の認証基盤とパスワード運用の見直しをするのはいかがだろうか。NISTの最新要件や管理ソフトの自動入力リスクなどを解説し、連休前に組織や現場が実施すべきチェックポイントを整理する。

[ITmedia]

　2026年のシルバーウィークが迫っている。長期休暇は攻撃者にとって格好の狙い目だ。セキュリティ担当者が不在になる期間を狙って侵入を試み、休み明けに被害が発覚するというパターンは毎年繰り返されている。

　連休前は、自社の認証基盤と従業員のパスワード運用を棚卸しする絶好のタイミングだ。本稿では過去の調査や取材記事を手掛かりに、いま押さえておくべき論点を整理する。

そもそも、みんなのパスワードはこれほど"甘い"

　まず現状認識から始めたい。パスワード管理サービスを提供するNord Securityが2025年11月に発表した「Top 200 Most Common Passwords」によると、7回目となる今回の調査でも、世界で最も使われているパスワードは「123456」だった。トップ10には「admin」「password」「12345678」といった、セキュリティ担当者なら頭を抱えるような文字列が並ぶ。

　より衝撃的なのは日本の状況だ。1位は「admin」、2位が「123456」、3位が「password」。単純な数字列だけでなく、管理者アカウントの初期値と思われる文字列が首位を占めている点は、企業内の運用状況を推察する上で示唆的だ。「P@ssw0rd」のように記号を混ぜた例も増えているが、置換パターンが単純なため辞書攻撃で容易に突破されるだろう。

2025年、最も使われたパスワードトップ10　まだ使用している人は急ぎ変更を

　長期休暇前にまず担当者が確認すべきは、自社の管理者アカウントや共有アカウントに、この手の文字列が残っていないかだ。デフォルトのまま運用が引き継がれているケースは想像以上に多い。

NISTは方針転換したが、企業はついていけているか

　パスワードポリシー自体も、大きな転換点を迎えている。米国国立標準技術研究所（NIST）は「NIST Special Publication 800-63B」を更新し、大文字、小文字、数字、記号を組み合わせる、いわゆる「混在ルール」を課してはならないと明確に定義した。形式的な複雑性が安全性につながらず、むしろ利用者に予測可能なパターンを選ばせてしまうという反省からだ。同ガイドラインは長さについても言及し、パスワードのみでの単一要素認証の場合は最低15文字を義務付けている。

「英数・記号の混在」はもう古い　NISTがパスワードポリシーの要件を刷新

　ところが、Arctic Wolf Japanが2025年10月に公開した年次「人的リスクレポート」の2025年版は、この方針転換に企業側が追い付いていない実態を浮き彫りにした。「強力なパスワードの条件」を尋ねたところ、ITリーダーの74％（日本では69％）が「独自性（文字や数字、特殊記号の組み合わせ）」を挙げており、NISTが明確に否定した混在ルールが依然として「強い」と信じられていることが分かる。

　一方で日本のITリーダーは、長さを重視する傾向がグローバル平均を上回っており、この点は評価できる。ただし同調査では、席を離れる際に「常にPCをロックする」と答えた日本のエンドユーザーはわずか13％（グローバルでは33％）にとどまるなど、日常運用の甘さも指摘されている。同社のリサ・テトロー氏は、この背景に日本社会の"文化的な信頼の深さ"があると分析している。

NISTが禁じたパスワード慣行、いまだ多数派　要件に逆行する企業の現実

　IT部門としては、パスワードポリシーの文言そのものを見直すタイミングに来ている。「大文字と数字を含めること」といった旧来の指示を残していないか確認しておきたい。

処方箋としての「パスワード管理ソフト」　ただし新たな穴も

　では、現実的な処方箋は何か。多くのセキュリティ識者が挙げるのが、パスワード管理ソフトの活用だ。セキュリティライターの宮田健氏は、2025年を「パスワード管理ソフト元年」と位置付け、その有用性を繰り返し発信してきた。

　宮田氏が特に強調するのは、パスワード管理ソフトが単にパスワードを覚えてくれるだけでなく、「正しいドメインに対してのみ」自動入力するという特性だ。フィッシングサイトはドメインが本物と異なるため、普段自動入力されるはずのパスワード欄が空欄のままになる、これが偽サイトを見抜く強力なヒントになる。証券口座の不正ログイン被害が続く中で、この機能の価値は改めて見直されるべきだろう。

頼むからパスワード管理ソフトよ流行れ　筆者が激押しするワケ

　宮田氏は特に、IT部門のシステム管理者、サービスを開発するエンジニア、そして経営層の3者にこそ、いち早く導入してほしいと訴えている。管理者が理解していなければ社内展開は進まず、エンジニアが理解していなければ「パスワード欄にペーストできない」ような自社サービスを作ってしまう。経営層に至っては、そもそも認証情報が最重要資産だ。

　ただし、パスワード管理ソフトも万能ではない。2025年8月に開催されたセキュリティイベント「DEF CON 33」では、独立系セキュリティ研究者のマルク・トート氏が「クリックジャッキング」を駆使してパスワード管理ソフトの自動入力機能から情報を窃取する手法を発表した。正規サイトに不正なコードを混入させ、透明なフォームを重ねてクリックを誘発することで、パスワード管理ソフトに「これは正しいドメインの正しいフォームだ」と誤認させる攻撃だ。トート氏によれば、著名な複数の製品が影響を受け、ベンダーへの問い合わせで「修正の計画がない」という回答があった製品も存在したという。

著名パスワード管理ソフトも歯が立たない“古くて新しい攻撃”とは？

　対策としては、ブラウザ拡張機能の権限を「クリック時のみ」に制限する設定が緩和策として紹介されている。連休前に、自社推奨のパスワード管理ソフトについて、この設定を全社に周知しておくことは有効だ。宮田氏は加えて、有事の際に別製品へ乗り換えられるよう「エクスポート／インポート」の手順を一度体験しておくことも推奨している。

連休前チェックリスト

　以上を踏まえ、シルバーウィーク前に確認したいポイントを整理する。

• 組織として：
1. 管理者アカウントや共有アカウントに「admin」「password」などのデフォルト値が残っていないか
2. パスワードポリシーが旧来の「混在ルール前提」のままになっていないか。長さ重視への転換を検討する
3. MFA（多要素認証）の適用範囲に漏れがないか（特に休暇中もアクセスされる可能性のあるVPN、管理コンソール）
4. パスワード管理ソフトの全社導入、補助制度の検討
• 現場担当者として：
1. 自身が使うパスワード管理ソフトの拡張機能設定を「クリック時のみ」に見直す
2. クレジットカード情報の自動入力は当面オフにする選択肢もある
3. パスキー対応サービスへの移行を進める
4. 休暇中にフィッシングメールが届いた場合の報告フローを再確認する

　Arctic Wolfの調査では、フィッシング被害に遭ったITリーダーの5人に1人が「その事実を報告していない」という結果も出ている。休み明けに被害が発覚した際、責める文化ではなく報告しやすい風土を整えておくのが理想だ。

　長期休暇は、日常業務に押されて後回しになりがちなセキュリティ運用を見直す貴重な機会でもある。連休明けに慌てないために、いま一度、自社と自分自身のパスワード運用を棚卸ししておきたい。