パスワードの使い回しは、いつから危ないと言われてきた？定期変更の常識が変わるまでの年表

このワダイ、3行で

確認できた範囲では、使い回しの危険を国内の公的な文書で名指しした最も古いものは2013年3月のIPA『情報セキュリティ10大脅威 2013』で、2011年のIPAの呼びかけは報道で確認でき、それより前は確認できていません。
「定期的にパスワードを変えましょう」は、2013年の総務省の対策集では効果的とされていましたが、2016〜2017年に欧米で見直され、日本でも2018年に記述が消えたと報じられ、2024年の総務省サイトには「破られた事実がなければ変更の必要はありません」と書かれています。
いまの呼びかけの中心は「使い回さない」と2段階認証・パスキーで、2026年10月の『ゆうID』の2段階認証必須化は、編集部の見方では2013年の連続被害と同じ型の攻撃への対策です。

パスワードの使い回しは、複数のサービスで同じIDとパスワードの組み合わせを使うことです。1か所から漏れると、ほかのサービスにも入られるおそれがあります。

「パスワードは定期的に変えましょう」と言われた覚えがある人は多いと思います。ところが今、総務省のサイトには「パスワードが破られた事実などがなければ、変更する必要はありません」と書かれています。一方で、「同じパスワードを使い回さない」は、ずっと言われ続けています。

ほかのサービスで漏れたIDとパスワードの組を、別のサービスのログイン画面に次々と試す攻撃は、日本では「リスト型攻撃」（パスワードリスト攻撃とも）と呼ばれます。

このページでは「使い回しはいつから危ないと言われてきたのか」と「定期変更の常識はどう変わったのか」の2つを、確認できた資料の範囲で年表にして整理します（2026年10月25日時点）。

「使い回しは危ない」は、いつから言われてきた？
「定期的に変えて」は、どこから来て、なぜ消えた？
パスワードを増やす話から、パスワードを減らす話へ
年表で見ると
1. まだ分かっていないこと
2026年10月の『ゆうID』と、続く流出
いま、何をすればいい？
1. 主な出典
2. 更新履歴

「使い回しは危ない」は、いつから言われてきた？

先に答えを書きます。確認できた範囲では、2011年にIPAが呼びかけたことが報道で確認でき、2013年3月のIPA『情報セキュリティ10大脅威 2013』で文書として確認できました。そして2013年4月からの連続被害で、全国の話題になりました。2010年以前については、確認できませんでした。無かったとは言えません。調べきれていない、ということです。

2011年──海外の流出を受けたIPAの呼びかけ（報道で確認）

IPA（情報処理推進機構。情報セキュリティの注意喚起をしている団体）は、2011年6月の「今月の呼びかけ」で、大規模な流出が続く中でIDやパスワードを使い回すことが危険性をさらに増すと指摘した、とマイナビニュース（2011年6月6日）が報じています。対策には、オンラインバンキング向けのワンタイムパスワードなど（二段階認証など）の利用も入っていたそうです。IPAの原文は編集部では確認できていません。

2013年3月──文書で確認できた、いちばん古いもの

IPAの『情報セキュリティ10大脅威 2013』（2013年3月）の8位が「パスワード流出の脅威」です。同じIDとパスワードを使い回していると、1つのサイトからの漏えいが、複数のサイトでのなりすましにつながると書かれています（29ページ）。編集部がPDFの本文を直接確認できた中では、使い回しを名指しした最も古い国内の文書です。

2013年4月──国内のサイトで連続した

全国の話題になったのは、この年の春からです。2013年4月、ポータルサイト『gooID』（NTTレゾナント）が、不審なログインを受けて、4月2日に31,372アカウント、4月4日に新たに67,335アカウントをロックしました。ScanNetSecurityの報道（2013年4月10日）によると、攻撃のログに『gooID』で認めていない文字の種類や文字数が含まれていたことから、会社は「他社のサービスから流出したIDとパスワードの組を試している可能性が高い」と公表しています。ロックしたのは安全のための措置で、この数は、実際に不正ログインされた数ではありません。

こうした事例は、この年に続きました。INTERNET Watchのまとめ（2013年12月24日）では、関連ニュースは32本、取り上げられた会社は27社です。『Ameba』で243,266アカウント、『フレッツ光』の会員サイトで404万アカウントが凍結されたことなどが挙がっています。

その後──IPAの呼びかけとキャンペーン

IPAは2013年8月に使い回しをやめるよう呼びかけた、と@ITが報じています（IPAの原文のURLは開けませんでした）。サービスごとに違うパスワードにすること、覚えきれないときはリストで管理して暗号化することなどが挙げられたそうです。2014年9月には、IPAとJPCERT/CC（ネットの事故の対応や注意喚起をしている組織）が『STOP!! パスワード使い回し!!』というキャンペーンを始めた、と@ITとINTERNET Watchが報じています。

当時の使い回しの実態を示す数字として、総務省の対策集（あとで詳しく書きます）が、トレンドマイクロの2012年12月の調査を載せています。ログインが必要なサイトを1人平均で約14サイト使っていて、利用者の約7割が、3種類以下のパスワードを複数のサイトで使い回していた、という内容です（調査そのものは編集部では確認できていません）。IPAの2014年の調査（ITmediaの報道、2014年8月19日）では、金融関連サイトを使っている人のうち、複数の金融関連サイトで同じパスワードを使っている人が25.4%でした。これは区分ごとの数字で、使い回している人の全体の割合ではありません（調査の報告書の原文は編集部では確認できていません）。

使い回しがなぜ起きるのかについて、先ほどの2011年の報道では、サービスごとに別のIDやパスワードを設定すると覚えきれない、という説明が紹介されています。使い回しは、だらしないからというより、サービスの数に人の記憶が追いつかないことが背景にある、と編集部は見ています（これは編集部の整理です）。

「定期的に変えて」は、どこから来て、なぜ消えた？

こちらは「起源はここ」と1つには決められません。確認できた範囲で2つ並べます。

確認できたいちばん古い明文は、アメリカ国防総省の1985年の『Department of Defense Password Management Guideline』です。すべてのパスワードに最大の有効期間を設け、1年を超えないこと、とあります（原文）。日本の文書ではありません。
2003年にアメリカのNIST（米国立標準技術研究所）の担当者が書いた文書が、定期変更や複雑なパスワードを広めたと報じられています。書いた本人が2017年に「後悔している」と語ったと伝えられました（Consumer Reports）。ただし、文書の原文は編集部では確認できていません。

日本の公的な文書に「定期的に変更を」がいつ入ったのかは、確認できていません。

2013年の日本──定期変更は「効果的」と書かれていた

2013年12月、総務省は『リスト型アカウントハッキングによる不正ログインへの対応方策について』という、サイトを運営する事業者向けの対策集を出しました（公表日の12月18日は、ScanNetSecurityの報道によります）。対策は7つ並んでいて、使い回しの注意喚起、二要素認証（パスワードのほかにもう1つ確認の手段を足すこと）の導入、推測されやすいパスワードの拒否などと並んで、パスワードの有効期間の設定が入っています。

有効期間の設定について、対策集は、定期的に変えてもらうことが効果的としています。同じ文書には、頻繁に求めると簡単なパスワードを設定する傾向に陥りやすい、とも書かれています。そのため、一年や半年にするなど、情報の価値に応じて決めるのも一案、という書き方です。つまり、当時の公的な文書は、効果と副作用の両方に触れたうえで、定期変更を対策の一つに挙げていました。

ここからは編集部の見方です。対策集の趣旨は、流出したIDとパスワードの組が、いつまでも使えないようにすることだったと読めます。当時は「他社で漏れた組を流用される」攻撃が目の前で起きていたので、その見方で考えれば、筋が通っています。のちに見直されたのは、攻撃の形が見えてきたことと、人が実際にどうパスワードを変えるのかの研究が進んだことが大きいと考えられます。ただし、各機関がそう述べたわけではなく、編集部の整理です。「昔の人が間違っていた」という話ではありません。

2016〜2017年──欧米で見直された

アメリカ連邦取引委員会（FTC）：2016年3月2日、主任技術者（当時）のローリー・クレイナー氏が「Time to rethink mandatory password changes」（強制的なパスワード変更を考え直すとき）を公表しました。頻繁な変更を求められる人は、もともと弱いパスワードを選びやすく、予測されやすい形で変える、という内容です。漏えいや共有、フィッシング（偽サイトなどでパスワードをだまし取る手口）の疑いがあるときは変えるべきだ、とも書かれています（FTC）。
イギリスのNCSC：2016年10月5日の記事で、2015年のガイダンスが定期的な有効期限を勧めていないと明記し、理由を説明しました。変更を強制すると、新しいパスワードが古いものと似たり、使い回しや書き留め、忘れが増えたりする、といいます（NCSC）。
NIST：2017年6月のSP 800-63Bで、サービス側が利用者に任意に（たとえば定期的に）パスワードを変えさせるべきではない、と書きました。漏えいの証拠があれば変えさせること、文字の組み合わせの決まりを課さないこと、漏れたパスワードのリストと照合することも示されています。

日本──2018年の報道と、2024年の総務省サイト

日本では、2018年3月にこの話が広がりました。INTERNET Watch（2018年3月28日）は、日本経済新聞の3月26日付の報道を受けて、総務省の「国民のための情報セキュリティサイト」から「定期的にパスワードを変更しましょう」という記述が削除された、と伝えています。内閣サイバーセキュリティセンター（NISC）が、定期変更は不要という趣旨の文言を2017年ごろに加えた、とも報じられました（時期は報道によって食い違うため、「ごろ」としか書けません）。

注意したいのは、ここで確認できたのが「削除されたと報じられた」ところまでだという点です。当時の総務省サイトの旧版の本文は、編集部では確認できていません。そのため「総務省が2018年に定期変更不要へ改訂した」とは書けません。

総務省自身の言葉で確認できたのは、2024年5月にリニューアルされた『国民のためのサイバーセキュリティサイト』の現行ページです（リニューアルはINTERNET Watch（2024年5月27日）などが報じています）。「パスワードが破られた事実などがなければ、変更する必要はありません」とあり、定期的に変えることで、パスワードの作り方がパターン化して簡単になったり、使い回しをするようになったりすることの方が問題だ、と説明しています。そして、できる限り複数のサービスで使い回さないようにしましょう、と続きます。

昔と今の言い方を並べると

項目	昔の言い方	今の言い方
定期変更	2013年の総務省の事業者向け対策集は、有効期間の設定を「効果的」としつつ、頻繁すぎる変更の副作用にも触れていた	総務省（2024年のリニューアル後）は「破られた事実などがなければ、変更する必要はありません」。NIST SP 800-63B-4（2025年8月付のページ）は、定期変更を求めない（SHALL NOT）
文字の組み合わせ	2011年のIPAの呼びかけは、大文字・小文字・数字・記号を混ぜることなどを挙げていたと報じられた	NISTは、構成の決まりを課さない（2017年は「すべきでない」、2025年は「SHALL NOT」）
長さ	2011年の報道では「8文字以上」	NIST SP 800-63B-4は、パスワードだけで本人確認するなら最低15文字（SHALL）
使い回し	危険（確認できた範囲で2011年〜）	変わらず危険。総務省も「できる限り、複数のサービスで使い回さない」

NISTの文書は、サービスを作る側への決まりで、利用者に向けた呼びかけとは少し性格が違います。「SHALL」「SHOULD NOT」は、「しなければならない」「すべきでない」という意味で使われる言葉です。

パスワードを増やす話から、パスワードを減らす話へ

使い回しを避けるには、サービスの数だけ違うパスワードを覚えなくてはいけません。これが難しいので、「パスワードだけに頼らない」「パスワードそのものをやめる」という方向の話が並行して進みました。

2段階認証：パスワードのあとに、スマホに届く番号などでもう一度確かめる仕組みです。2011年2月にGoogleが、すべてのGoogleアカウント向けに任意で使える形で導入すると発表しました（INTERNET Watch）。先に紹介した2011年のIPAの呼びかけ、2013年の総務省の対策集、2014年のキャンペーンにも、それぞれ2段階認証や二要素認証が入っていました。
パスワードを使わない形：『Yahoo! JAPAN』は、2017年4月に新規のIDでパスワードを設定しない登録方法を始め、2018年5月18日には、パスワードでのログインを無効にする機能の提供を始めました。リスト型攻撃のリスクをなくすためと説明されています（2018年5月18日のプレスリリース）。
パスキー：パスワードを使わずにログインする仕組みです。2022年5月5日、Apple・Google・Microsoftが、FIDO Allianceなどが決めたこの標準への対応を広げると発表しました。「パスワードだけの認証はウェブ上で最大のセキュリティ問題の一つ」で、多数のパスワードの管理が複数サービスでの使い回しにつながりがちだ、と説明しています（FIDO Alliance）。国内では、2023年3月14日に『Yahoo! JAPAN ID』が対応すると発表した、と報じられています。

ただし、パスキーはすべてのサービスで使えるわけではありません。IPAも、サービス側の対応が必要だと注意しています。

年表で見ると

年・日付	できごと	確かさ
1985年	米国防総省のガイドライン。パスワードの最大有効期間は1年を超えないこと（確認できた最古の明文。アメリカ）	原文を確認
2003年	NISTの担当者が書いた文書が、定期変更などを広めたと後に報じられる（原文は未確認）	報道
2011年2月	Googleが2段階認証を任意で導入すると発表	報道
2011年6月	IPAが、大規模流出が続く中で使い回しの危険を呼びかけ	報道（原文は未確認）
2013年3月	IPA『情報セキュリティ10大脅威 2013』8位「パスワード流出の脅威」。使い回しに言及	原文を確認
2013年4月	『gooID』で不審なログイン。他社流出のIDとパスワードを試している可能性が高いと公表。国内で連続	報道
2013年8月	IPAが使い回しをやめるよう呼びかけ	報道（原文は未確認）
2013年12月	総務省の事業者向け対策集。使い回しの注意喚起、有効期間の設定（頻繁すぎる副作用にも言及）、二要素認証など7つ	原文を確認
2014年9月	IPAとJPCERT/CCが『STOP!! パスワード使い回し!!』を開始	報道
2016年3月	アメリカFTCの主任技術者が、強制的なパスワード変更を考え直すよう提起	原文を確認
2016年10月	イギリスNCSCが、定期的な有効期限を勧めない理由を説明	原文を確認
2017年4月	『Yahoo! JAPAN』が、新規のIDでパスワードを設定しない登録方法を開始	公式発表
2017年6月	NIST SP 800-63B。任意の（定期的な）変更や、構成の決まりを求めないよう示す	原文を確認
2018年3月	総務省サイトから「定期的にパスワードを変更しましょう」の記述が削除されたと報じられる（旧版の本文は未確認）	報道
2018年5月18日	『Yahoo! JAPAN』が、パスワードでのログインを無効にする機能の提供を開始	公式発表
2022年5月5日	Apple・Google・Microsoftがパスキー（パスワードレス標準）への対応拡大を発表	公式発表
2023年3月14日	『Yahoo! JAPAN ID』がパスキーに対応すると発表	報道
2024年5月	総務省サイトのリニューアル。「破られた事実などがなければ、変更する必要はありません」	現行ページを確認（リニューアル日は報道）
2025年8月	NIST SP 800-63B-4（2025年8月付のページ）。最低15文字、定期変更を求めない	原文を確認（公開日は未確認）
2025年10月15日	金融庁が証券会社向けの監督指針を改正し、フィッシングに耐性のある多要素認証の必須化を原則2026年6月末までに求める	金融庁の資料を確認
2026年10月	デジタル大臣の会見（6日）、警察庁の「Cyber Police Agency Letter」（8日）が、使い回しをやめることと多要素認証を呼びかけ。『ゆうID』は10月20日から2段階認証が必須に	公式発表

まだ分かっていないこと

使い回しを名指しした、2010年以前の日本の公的な文書があるかどうか
日本の公的な文書に「定期的に変更を」がいつ入ったのか
総務省サイトの2018年以前の旧版の本文と、記述が削除された正確な日付
NISCの文書で「定期変更は不要」が最初に入った版（2016年12月版とも2017年秋ともいわれ、報道で食い違っています）
IPAの2011年6月・2013年8月の呼びかけの原文
2003年のNIST文書の原文と、その中身
NIST SP 800-63B-4の公式な公開日

新しい資料が見つかったら、このページに書き足します。

2026年10月の『ゆうID』と、続く流出

2013年と同じ型の出来事は、いまも起きています。日本郵政は2026年10月19日、『ゆうID』で「外部で漏えいしたID・パスワードのリストを用いた」不正ログインが判明したと発表しました。日本郵便のお知らせによると、10月20日から『ゆうID』へのログイン時に2段階認証が必須になっています。発表の詳しい内容は、『ゆうID』の2段階認証必須化を整理したページにまとめています。

編集部の見方では、この対策は2013年の総務省の対策集が並べた対策の一つ（パスワード以外の確認手段を足す）に当たります。ほかのサービスで漏れた組を試す攻撃という点で、2013年の『gooID』のときと形が同じです。ただし、これは編集部の整理で、公式がそう述べたわけではありません。

2026年9月から10月にかけては、個人情報の流出が公式に発表される例が続いています。どんな流出があったのかは2026年9〜10月に公式発表された個人情報の流出・流出の可能性の一覧に、なぜ個人情報は漏れ続けるのかは個人情報はなぜ漏れ続ける？『銀のさら』の「最大650万件」は何の数字か、入口から整理にあります。このページは、その「漏れたあとに、使い回しがあると何が起きるか」の昔の側にあたります。

2026年10月6日のデジタル大臣の記者会見でも、パスワードの使い回しをやめることと、サービスごとに異なるパスワードを使うこと、多要素認証を使うことが呼びかけられました（デジタル庁）。確認できた範囲で2011年や2013年から言われてきた「使い回しはやめましょう」は、2026年のいまも、ほぼ同じ形で呼びかけられ続けていることになります。

いま、何をすればいい？

ここから先は、公的な機関が出している現在の呼びかけの紹介です。一人ひとりの状況で最適な方法は変わるので、各機関の案内も見てください。

使い回さない：総務省は「できる限り、複数のサービスで使い回さないように」としています。個人情報保護委員会も、一度漏れたパスワードは今後も使わないよう注意喚起しています（2018年10月2日の注意喚起）。
定期変更は必須ではない。ただし、漏れた疑いがあれば変える：総務省は、破られた事実などがなければ変更の必要はない、としています。FTCやNISTも、漏えいの疑い・証拠があるときは変えるという立場です。サービスから「再設定をお願いします」という案内があったら、公式のお知らせで確かめたうえで従ってください。
パスワード以外の確認手段を足す：警察庁の『Cyber Police Agency Letter 2026 Vol.19』（2026年10月8日）は、安全なパスワードを設定して使いまわさないこと、ワンタイムパスワード（1回だけ使える番号）などを用いた多要素認証も有効なことを挙げています（警察庁）。IPAも、使い回しを避けること、多要素認証、パスキーを勧めています（IPA、2025年8月28日）。
メールのリンクは安易にクリックしない：同じ警察庁の資料は、情報流出元の企業をかたる偽のメールの可能性があるためだとしています。

覚えきれないという悩みについては、パスワードを保管するアプリ（パスワードマネージャ）が、2013年の総務省の対策集でも、利用者の負担を減らす道具として紹介されていました。使うかどうかは、自分の使い方に合うかで決めてください。

主な出典

更新履歴

2026年10月25日　初版（根拠の確認は2026年10月20日。ゆうIDの記述は10月25日に公式の続報が無いことを確認）