使ってはいけないNGパスワード一覧｜123456・誕生日・名前がなぜ危険か【実データ付き】

以前、知人のSNSアカウントが乗っ取られる場面を目の当たりにしました。フィッシングやマルウェアが原因ではなく、理由はとてもシンプルです。パスワードが「yamada1980」だったからです。苗字と生年西暦を組み合わせた、本人にとっては覚えやすいパスワードでした。しかし、攻撃者の辞書には真っ先に載っているパターンです。

「危険なパスワードは避けるべき」という指摘はよく見かけますが、具体的にどのパスワードがどれほど危険なのかを数値で示す情報は意外と少ないものです。そこで今回の記事では、パスワード漏洩データベース「Have I Been Pwned」の「Pwned Passwords」で、よく使われるNGパスワードが現実にどれだけ漏洩しているかを調べました。

---

NGパスワード TOP10

Have I Been Pwned（HIBP）は、世界中のデータ侵害から収集された、重複を除いても10億件を超える漏洩パスワードを照合できるサービスです。運営者のTroy Hunt氏は「Pwned Passwords」APIを公開しており、あるパスワードが漏洩データの中に何回出現したかを照会できます。この記事では、代表的な弱パスワードがPwned Passwordsで何件確認されているかを調べました（2026年6月時点）。

1位にランクインした「123456」は、漏洩データの中で実に2億999万件確認されています。SNSやECサイト、金融サービスなど世界中のプラットフォームから流出したデータの中で、このパスワードが2億回以上も使用されていたことになります。さらに、2位の「123456789」は8094万件、「password」という単語をそのまま用いたパスワードは5225万件という結果になりました。

NGパターン①：単純な数列・キーボード順

パスワードの漏洩事例で最も多いのは、数字の連番やキーボードの並び順をそのまま使ったものです。攻撃者は「123456」「123456789」「qwerty」「asdfgh」などのパターンを最初に試します。こうした手法は『辞書攻撃』の中核であり、セキュリティツールが真っ先にチェックするリストに必ず含まれています。

上の表は、エントロピー（情報理論における「パスワードの強さ」）と、SHA-256アルゴリズムを用いたRTX 4090（GPU）による総当たり攻撃での解読時間を算出したものです。「123456」のエントロピーは19.9ビットにとどまり、解読時間は「瞬時」となりました。21ギガハッシュ/秒の処理能力を持つGPUなら、計算上は一瞬で総当たりできてしまいます。「password」（37.6ビット）や「iloveyou」（37.6ビット）も、計算上は平均5秒前後で総当たりできる水準です。

キーボード順のパスワードが危険な理由について説明します。物理的な配列によって指の動きは「qwerty」「asdf」「zxcvbn」のように限定されるため、攻撃ツール側もこれらのパターンを標準辞書として組み込んでいます。したがって、自分独自に考案したと思えるキーボードパターンであっても、すでに攻撃者の辞書に登録済みである可能性が高いと認識しておくことが重要です。

NGパターン②：誕生日・名前・電話番号

19901215という誕生日の例をPwned Passwordsで調べると、3,135件の漏洩データに該当することが確認できました。件数だけを見れば少ないと感じるかもしれません。しかし、本当に重要なのは漏洩の多寡ではなく、個人情報を基にした標的型攻撃に対して無防備であるという点です。

攻撃者がSNSプロフィールから誕生日を把握しているケースでは、「19901215」や「1215tanaka」「tanaka1215」「t1215」のようなバリエーションを自動生成するツールが存在します。この手法はスピア型辞書攻撃（targeted dictionary attack）と呼ばれ、標準的な辞書攻撃よりもはるかに効率的に特定個人のパスワードを解読できるという特徴があります。

NGパターン	例	リスク	攻撃手法
生年月日	19901215	高（SNSで公開されがち）	標的型辞書攻撃
苗字・名前	yamada123	高（検索で判明する）	標的型辞書攻撃
電話番号	09012345678	中〜高（共有される）	個人情報逆引き
ペット・家族の名前	pochi2020	中（SNS調査で発覚）	標的型辞書攻撃
記念日・学校名	waseda2019	中（プロフィールに記載）	標的型辞書攻撃

NIST SP 800-63B-4（デジタルアイデンティティガイドライン、2025年7月に最終版公開）では、認証サービスを提供する組織に対し、ユーザー名やサービス名といったコンテキスト固有のワードを含むパスワードを禁止するよう求めています（出典: NIST SP 800-63B-4）。そのため、誕生日や名前をパスワードに設定することは、最高水準のセキュリティ標準において「禁止されるべきパターン」として明確に位置付けられています。

NGパターン③：サービス名・会社名をそのまま使う

パスワードとして「google」「amazon」「facebook」「twitter」などのサービス名を用いる事例は、想像以上に多数確認されています。Pwned Passwordsで調べると、「google」が140万件、「amazon」が37万件の漏洩件数に含まれていたことが判明しました。

サービス名がパスワードに含まれていると、そのサービスへのログインを狙った攻撃に狙われやすくなるため、特に危険です。Googleアカウントのパスワードが「google123」である場合を想定すると、Googleのログインフォームに対して辞書攻撃を実行する際、攻撃者は「google」から始まるパターンを確実に試します。この手法はコンテキスト攻撃（context-based attack）と呼ばれ、対象サービスの名称を含む変形パスワードを最優先で試行するのが特徴です。

NGパターン④：パスワードの使い回し

厳密に言えば「パスワードの種類」に関する問題ではありませんが、パスワードの使い回しは最も深刻なリスクの一つです。 強力なパスワードを作成していても、複数のサービスで同一のパスワードを利用している場合、1件のデータ侵害が発生するとすべてのアカウントが危険にさらされます。

この攻撃手法は「クレデンシャルスタッフィング（credential stuffing）」と呼ばれます。特定のサービスから流出したIDとパスワードの組み合わせを利用し、他のサービスへの不正ログインを大量かつ自動的に試行するものです。日本国内でも、ECサイトや会員サービスへの不正ログイン被害の多くにこの手法が使われています。

IPAが公開している「情報セキュリティ10大脅威2024」では、「インターネット上のサービスへの不正ログイン」が2016年から9年連続で選ばれています（2024年版から個人向けは順位なしの五十音順）。その主な原因の一つとして、パスワードの使い回しによる悪用が挙げられています（出典: IPA 情報セキュリティ10大脅威2024、2026年6月確認）。

NGパターン⑤：短すぎるパスワード（8文字未満）

NIST SP 800-63B-4（2025年7月最終版）では、パスワードを単独の認証手段として使う場合の最低長を15文字と定めています。 多要素認証の一部として使う場合に限り短くしてもよいとされますが、その場合も8文字が下限です。 また、最大長は少なくとも64文字まで受け付けることが推奨されています。

エントロピー計算に基づくと、8文字で全記号を含む95種類の文字を使用した場合、RTX 4090によるSHA-256総当たり攻撃でも計算上は平均2日弱で解読できてしまいます。一方、12文字にすると同条件で平均数十万年規模になります。このように、文字数の差が解読時間に与える影響は指数関数的です。1文字増やすだけで難易度が数十〜数百倍に跳ね上がるため、パスワードの長さ確保が重要です。

絶対NGリスト：漏洩件数で見る「危険パスワード」20選

この記事では、Pwned Passwordsで調べた件数を基に、実際に多くの侵害データに混入しているNGパスワードを整理しています。以下のパスワードを現在お使いの場合は、ただちに切り替えることをおすすめします。

順位	NGパスワード	HIBP漏洩件数（2026年6月時点）	NGパターン
1位	123456	2億999万件	数列
2位	123456789	8094万件	数列
3位	12345678	7038万件	数列
4位	password	5225万件	辞書語
5位	admin	4208万件	管理者名
6位	qwerty	3079万件	キーボード順
7位	1234567890	1978万件	数列
8位	111111	1592万件	繰り返し
9位	abc123	1298万件	アルファベット+数字
10位	password1	964万件	辞書語+数字
11位	iloveyou	700万件	辞書語
12位	dragon	441万件	辞書語
13位	monkey	396万件	辞書語
14位	sunshine	250万件	辞書語
15位	welcome	247万件	辞書語
16位	google	140万件	サービス名
17位	letmein	140万件	辞書語
18位	amazon	37万件	サービス名
19位	birthday	26万件	辞書語（記念日）
20位	yahoo	13万件	サービス名

漏洩件数は Have I Been Pwned の Pwned Passwords で確認した2026年6月時点の値です（データの追加により増えることがあります）。

パスワード漏洩の確認方法

「Have I Been Pwned」（haveibeenpwned.com/Passwords）を利用すると、パスワードを直接入力して漏洩チェックを実行できます。この機能は前述のk-anonymityの仕組みに基づいており、入力したパスワードの平文がサーバーに送信されることなく安全に確認できる仕組みです。

HIBPのPwned Passwordsページでは、検索窓にパスワードを入力するだけでその漏洩件数を調べることができます。表示結果が「0 times」であれば、現在のデータベースには該当する記録がないことを示しますが、これをもってパスワード自体が安全だと断定するわけではありません。あくまで「現時点で記録されていない」という状態を表しているだけです。

パスワードマネージャーの中には、漏洩確認機能を標準搭載している製品が存在します。1Passwordの「Watchtower」機能は、保存済みパスワードをHIBPと定期的に照合し、漏洩が判明した場合にアラートを出します。NordPassにも同様の「Data Breach Scanner」機能が用意されています。漏洩確認の方法については、パスワード漏洩確認方法の完全ガイドも併せてご参照ください。

安全なパスワードの作成と管理

「どのようなパスワードが安全なのか」という点についてですが、NIST SP 800-63B-4の推奨事項は非常にシンプルです。

• 文字数は最低15文字以上とし、サービスが許す限り長く設定することをおすすめします。
• 辞書に載っている単語だけを単体で使わないようにしてください。
• よく使われるパスワードや、すでに侵害が確認されているパスワードは避けるべきです。
• 「aaaa」のような繰り返し文字や、「1234」のような連続文字も避けてください（Rev.4の例示からは外れましたが、旧版で拒否対象の例に挙げられていたパターンです）。
• ユーザー名・サービス名・コンテキスト固有のワードをパスワードに含めることは避けてください。

ここで現実的な課題が生じます。 上記の条件を満たす「15文字以上のランダムな文字列」を、利用するサービスの数だけ記憶して管理することは人間には不可能です。 NordPassの2024年の調査では、1人あたり個人用アカウントだけで平均168件のパスワードを持っているという結果でした（出典: NordPass調査（2024年5月発表））。

この課題に対処するには、パスワードマネージャーの導入が現実的な解決策となります。同ツールはランダムで強力なパスワードを自動生成し、各サービスごとに異なる認証情報をクラウド上で暗号化して管理します。これにより、利用者はマスターパスワード1つを記憶するだけで、あらゆるサービスへ安全にログインできる状態を実現できます。

パスワードマネージャー選びのポイント

パスワードマネージャーの選定にあたっては、次の点を押さえておくことが重要です。

サービス	日本語対応	漏洩チェック	月額（個人）	特徴
1Password	完全対応	Watchtower	約$2.99〜	日本語サポートあり・最多機能
NordPass	一部対応	Data Breach Scanner	約$1.39〜	シンプルで低価格
Bitwarden	対応	HIBP連携	無料〜約$1.65/月	オープンソース・無料枠あり
Dashlane	限定	あり	約$5.42〜	VPN機能付き

最新の正確な価格は1Password公式サイト・NordPass公式サイトでご確認ください。

迷った場合は、1Passwordの利用をおすすめします。このツールは完全な日本語対応を実現しており、iPhone、Android、Windowsの全プラットフォームで高品質なアプリとして利用できます。さらに、Watchtowerによる継続的なセキュリティ監視と、日本語でのサポート体制も整っています。パスワード管理ツールの具体的な選び方については、パスワード管理アプリおすすめ比較【2026年版】も併せてご確認ください。

セキュリティ重視の選び方

パスワードマネージャーを選ぶうえで、サービス側のセキュリティへの取り組みも確認しておきたいところです。その目安の一つが、WebサイトのHTTPレスポンスに含まれるセキュリティヘッダー（HSTS・CSP・X-Frame-Optionsなど）です。

たとえばHave I Been PwnedのWebサイトは、HSTSによるHTTPS強制（preload指定あり）、CSPによるスクリプト制御、X-Frame-OptionsによるClickjacking防止などを設定しています（2026年10月確認）。ただし、ヘッダーの設定はサイトの更新で変わりますし、「Webサイトのフロントエンド設定」の一側面にすぎず、パスワード管理機能そのものの安全性とイコールではありません。暗号化方式や第三者監査の有無とあわせて、参考程度に見るとよいでしょう。

よくある質問

記号追加で「password」は安全？

「password!」「P@ssw0rd」のような変形は安全ではありません。これらは「ルールベース攻撃（rule-based attack）」と呼ばれる手法で最初に試される変形パターンの定番です。P@ssw0rdのような一般的な置き換えパターンは、パスワード解析ツールの標準ルールにも含まれています。辞書語を使う限り、どれだけ記号を加えても安全とは言えません。

日本語をパスワードに使うのは安全？

日本語の単語は英語圏の攻撃辞書に収録されにくく、理論上は辞書攻撃に対する耐性が高いとされています。一方で、「sakura」や「hanako」のようにローマ字表記された日本語は、英語の辞書にも含まれるケースがあります。さらに、日本語入力を前提とした辞書攻撃も実際に存在します。そのため、日本語を使っているからといって安心せず、パスワードの長さと複雑さを優先して設定することが重要です。

パスワード定期変更で安全か

多くの利用者が気になっている定期変更についてですが、現在のセキュリティ標準では、定期変更は推奨されていません。NIST SP 800-63B-4の指針を確認すると、パスワードの侵害が確認されていない限り、その定期変更を強制しないことが明確に示されています。根拠なく頻繁に変更を行うと、ユーザーが「Passw0rd1→Passw0rd2」のような推測されやすいパターンを使い始める原因となり、結果としてセキュリティリスクが高まるという懸念があります。パスワードの変更が必要となるのは、実際に侵害が確認されたタイミングです。この点について詳しく知りたい場合は、「パスワードの定期変更は不要？総務省・NISTの新常識」の記事を参照してください。

パスワードマネージャーが漏洩したら？

パスワードマネージャーはゼロ知識暗号化（Zero-Knowledge Encryption）を採用しているため、サービス側がユーザーのパスワードの平文を確認できないよう設計されています。暗号化処理はデバイス上で実行され、サーバーには暗号化済みのデータのみが保存される仕組みです。1PasswordやBitwardenで、ユーザーの保管庫データが流出した事例は2026年10月時点で報告されていません（2026年4月にBitwarden CLIのnpm配布版が一時改ざんされる事案がありましたが、保管庫データへの影響はないと発表されています）。仮に侵害が発生した場合でも、正しく設定されていればマスターパスワードなしで解読することは事実上不可能です。詳細についてはパスワード管理アプリは危険？安全性を徹底解説をご覧ください。

自分のパスワードが今すぐ漏洩しているか確認

Have I Been Pwned（haveibeenpwned.com/Passwords）にパスワードを入力すると、k-anonymityの仕組みによって安全に漏洩件数を確認できます。 さらに、メールアドレスを登録すれば、アカウント単位の侵害履歴も把握できます。 iPhoneの場合は、iOS 18以降なら「パスワード」アプリの「セキュリティ」から、漏洩が見つかったパスワードを確認できます（iOS 17以前は「設定 → パスワード → セキュリティに関する勧告」）。

まとめ

Have I Been PwnedのPwned Passwordsで、よく使われるNGパスワードの漏洩件数を調べました。「123456」が2億999万件、「password」が5225万件という結果は、想像以上に衝撃的でした。これほど多くの侵害データに含まれているパスワードを使い続けることは、鍵のかかっていないドアを放置するのと変わりません。

あなたの状況	今すぐやること	理由
数字・辞書語パスワードを使っている	今すぐ変更＋PM導入	HIBP上位20位に入る可能性が高い
同じパスワードを複数サービスで使っている	パスワードマネージャー導入	クレデンシャルスタッフィング対策
強いパスワードだが管理が大変	1PasswordまたはNordPassへ集約	漏洩モニタリング機能あり（日本語表示は1Passwordのみ）
すでにPMを使っているが漏洩が心配	HIBP・PM内の漏洩チェックを実行	定期的な確認が侵害の早期発見に有効

パスワード管理の安全性を高めるため、まずはHIBPでパスワードを確認を実践してください。長期的な対策としては、ランダムパスワード生成機能や漏洩モニタリング機能を搭載したパスワードマネージャーの導入をおすすめします。

パスワードの安全な作成方法は安全なパスワードの作り方【2026年版】で解説しています。また、パスワード管理に関する全体像を理解したい方は、安全なパスワードの管理方法7選も併せてご確認ください。