「うちは小さい会社だから狙われない」――そう思っていませんか？実は、中小企業こそサイバー攻撃のターゲットになりやすいと言われています。大企業と違いセキュリティ担当者がいないケースが多く、パスワードの管理も個人任せになりがちです。
この記事では、業務の現場でありがちな「危ないパスワード」の具体例を挙げながら、専門知識がなくても今日から実践できるパスワード管理の基本をお伝えします。
中小企業でよく見る"危険なパスワード"の実態
情報セキュリティの研修では「推測されやすいパスワードは避けましょう」と言われますが、具体的にどんなパスワードが危険なのでしょうか。実際の現場でよく見かけるパターンを挙げてみます。
- 会社略称＋年度：
abc2026、Yamada2025など。会社のWebサイトを見れば略称はすぐ分かるため、攻撃者が最初に試す組み合わせです。 - 部署名＋連番：
sales123、jinji001など。組織図が公開されている企業では部署名も容易に推測できます。 - チーム全員で同じパスワード：共有アカウントに一つのパスワードを設定し、メンバー全員で使い回すケース。誰がいつログインしたか追跡できず、情報漏洩時の原因特定が不可能になります。
- 季節パスワード：
spring2026、natsu2025など。定期変更ルールに対応するため季節名を使うパターンですが、変更のタイミングと組み合わせれば簡単に推測できます。
攻撃者はこうしたパターンを熟知しています。「辞書攻撃」と呼ばれる手法では、よく使われる単語・企業名・年度などを組み合わせたリストを自動的に試行します。つまり、人間が「覚えやすい」と思うパスワードは、攻撃者にとっても「当てやすい」パスワードなのです。
短いパスワードはどれくらい危険なのか
パスワードの長さは、セキュリティに直結します。現在の一般的なハードウェアを使った場合、ランダムな英数字パスワードの解読にかかる時間はおおよそ以下の通りです。
- 6文字：数秒〜数分で突破される
- 8文字：数時間〜数日程度
- 12文字以上：現実的な時間では解読不可能（数百年以上）
ただし、これはあくまで「ランダムな文字列」の場合です。先ほど挙げたような予測可能なパスワードは、辞書攻撃により文字数に関係なく一瞬で破られる可能性があります。sales12345 は10文字ありますが、攻撃者のリストには確実に含まれています。
ビジネスにおけるリスクを具体的に考えてみましょう。もし社内システムのパスワードが破られた場合、顧客情報の流出、取引先への被害拡大、さらには損害賠償や信用失墜といった事態に発展します。パスワード一つの問題が、会社の存続を左右することもあるのです。
ランダムで十分な長さのパスワードを作るには、ToolMarcheのパスワード生成ツールのような自動生成ツールを活用するのが確実です。人間が「ランダムに」考えたつもりのパスワードには、無意識の偏りが必ず含まれます。
パスワードマネージャーが使える会社・使えない会社
導入できる環境なら迷わず導入
パスワード管理の理想は、パスワードマネージャー（1Password、Bitwardenなど）を全社的に導入することです。メリットは明確です。
- 各サービスごとにランダムで長いパスワードを自動生成・保存できる
- 社員がパスワードを覚える必要がなくなる
- 管理者がアクセス権限を一元管理できる
- 退職時のアカウント無効化がスムーズにできる
導入する場合は、マスターパスワードだけは十分に強固なものを設定してください。パスワード生成ツールで20文字以上のランダムパスワードを生成し、それだけは紙に書いて金庫に保管する、という運用がおすすめです。
導入が難しい場合の現実的な運用
予算やIT環境の制約でパスワードマネージャーを導入できない企業も少なくありません。その場合でも、いくつかの工夫で安全性を大きく高められます。
1. パスフレーズ方式を採用する
ランダムな日本語の単語を3つ以上組み合わせる方法です。たとえば「みかん・新幹線・水曜日」から mikan-shinkansen-suiyoubi のようなパスワードを作ります。意味のつながりがない単語を選ぶのがポイントです。25文字ありながら覚えやすく、辞書攻撃にも強い実用的な方法です。
2. パスワード台帳を物理的に管理する
「パスワードを紙に書くなんて危険では？」と思われるかもしれませんが、鍵付きの引き出しやキャビネットに保管するパスワード台帳は、実は合理的な選択肢です。ネットワーク経由の攻撃には完全に耐性がありますし、中小企業のオフィス環境では物理的なセキュリティの方が管理しやすいことも多いです。ただし、台帳のコピーは絶対に禁止し、持ち出しルールを明確にしてください。
3. システムごとに固有のルールを設ける
基本のパスフレーズに、サービスごとの接頭辞・接尾辞を付ける方法です。たとえば基本が mikan-shinkansen なら、メールシステムには ml-mikan-shinkansen、会計システムには ac-mikan-shinkansen とするイメージです。完全なランダムには劣りますが、使い回しを防ぐ現実的な対策になります。
見落としがちな落とし穴：退職者アカウント
パスワード管理の議論では「強いパスワードを作ること」に注目が集まりがちですが、実務で最も被害に直結しやすいのは退職者アカウントの放置です。
特に危険なのは以下のケースです。
- 共有アカウントのパスワードが変更されない：チームで共有しているサービスのパスワードを、退職者が知ったまま放置されるケース。悪意がなくても、退職者の個人端末から情報が漏洩するリスクがあります。
- 誰も管理していないサービスアカウント：「前任者が契約したクラウドサービス」のログイン情報を誰も把握していない状態。パスワードの変更もできず、不正利用されても気づけません。
- 個人メールアドレスで登録された業務アカウント：退職後にパスワードリセットされると、リセットメールが元社員の個人メールに届いてしまいます。
社員が退職する際には、以下のチェックリストを必ず実行してください。
- 個人アカウント（メール、社内システム、VPN等）の無効化
- 共有アカウントのパスワード変更
- 退職者がアクセス権を持っていたクラウドサービスの棚卸し
- 多要素認証の登録デバイスから退職者の端末を削除
- 物理的な鍵・入館カードの回収
このチェックリストを人事部門と情シス（または管理担当者）が共有し、退職手続きのフローに組み込んでおくことが重要です。
まとめ
業務で使うパスワードを安全に管理するためのポイントを振り返ります。
- 予測可能なパスワードは絶対に避ける。会社名・部署名・年度を含むパスワードは、攻撃者が最初に試すパターンです。パスワード生成ツールを使い、ランダムな文字列を作成しましょう。
- 12文字以上を徹底する。短いパスワードは、どんなに複雑でも現代のコンピューターには通用しません。長さこそが最大の防御です。
- パスワードマネージャーか、現実的な代替策を導入する。理想はツール導入ですが、パスフレーズ方式や物理台帳でも、使い回しの防止と十分な長さを確保できます。
- 退職者対応のフローを整備する。強いパスワードを設定しても、退職者がアクセスできる状態では意味がありません。人事手続きの一部としてアカウント管理を組み込んでください。
セキュリティ対策は一度に完璧を目指す必要はありません。まずは今使っているパスワードを見直すところから始めてみてください。