「パスワードって、みんなどうやって保管しているんだろう？」——その答えを、信頼できる調査データで確認し、そこから“安全な保管法”を逆算します。結論を先に言うと、いちばん多い保管方法ほど、攻撃者に効いてしまうのが実態です。
データで見る「みんなの保管方法」
国や調査によって数字は前後しますが、信頼できる複数の調査はおおむね同じ絵を描きます。
Security.org の年次調査では、米国の成人で半数以上がマネージャー以外（記憶・ブラウザ・紙など）の方法に頼っていると報告されています。ブラウザ保存も増えていますが、ブラウザ保存している人の多くは専用マネージャーとの安全性の違いを認識していないという結果も出ています。
なぜ「みんなと同じ」が危ないのか
定番の保管法は、そのまま使い回し・弱いパスワード・紛失につながりやすく、これは攻撃者がもっとも得意とする領域です。
「記憶で管理」しようとすると、人は覚えられる範囲に収めるため、同じ・似たパスワードを使い回します。すると、どこか1つのサービスが漏れただけで、攻撃者は同じ組み合わせを他のサービスで次々と試す（クレデンシャルスタッフィング）。漏洩DBのパスワードの大半が使い回しだという事実は、「覚えやすさ」を優先した結果が、そのまま被害の連鎖になることを示しています。
保管方法ごとの“ほんとうのところ”
定番だが危うい
- 記憶：覚えられる数に限界 → 使い回し・弱い文字列に流れる
- 紙／付箋：紛失・盗み見・消失に弱い。台数が増えると破綻
- ブラウザ保存：何もしないよりは良いが、端末乗っ取りに弱く、監視・共有機能が弱い
- 表計算ファイル/メモアプリに平文：1ファイルの流出で全部漏れる
安全な土台
- パスワードマネージャー：サービスごとに強い別パスワードを自動生成・保管。偽サイトには自動入力しない＝フィッシングに強い
- パスキー：そもそも盗める文字列を持たないログイン
- MFA：パスワードが漏れても“もう一枚”で止める
- 紙は“最後の鍵”だけ：マネージャーのリカバリーコード等に用途限定
ポイントは、**「記憶や紙をやめる」のではなく「覚える必要そのものを無くす」**こと。マネージャーが全部を別パスワードにして覚えてくれるので、人間は1つの強いマスターパスワード（＋その保護）だけに集中できます。
当サイトの視点：データは“例外”ではなく“多数派”の問題を映す
注目すべきは、危うい保管が一部の不注意な人の話ではなく、多数派の現状だという点です。だからこそ、個人の精神論ではなく仕組みで一段引き上げるのが効きます。まずパスワードマネージャーで全アカウントを別パスワード化し、メール・クラウドなど“鍵の親”にあたる重要アカウントはパスキーとフィッシング耐性のあるMFAで固める。これだけで、上のデータが示す“定番の弱点”の大半を外せます。
次に読む
- 実践：パスワードマネージャーの選び方（“覚える必要を無くす”土台）
- 素朴な疑問：パスワードをGoogleドライブに保存するのは安全か
- 次の一歩：パスキーとは / 多要素認証（MFA）の選び方
- 仕組み（作る側）：パスワードの安全な保存方法（ハッシュ化とソルト）
出典
- Security.org「Password Manager Annual Report (2024)」: security.org
- Bitwarden「World Password Day Global Survey (2024)」: bitwarden.com
- Verizon「2024 Data Breach Investigations Report (DBIR)」: verizon.com
よくある質問
Q結局、いちばん多い保管方法は何ですか？
代表的な調査では「記憶」がもっとも多く、世界全体で約54%が記憶に頼っているとされます（Bitwarden, 2024）。次いで紙やメモ（約33%）、ブラウザ保存も増えています。一方で専用のパスワードマネージャーの利用は米国の成人で約36%にとどまります（Security.org, 2024）。つまり、半数以上が『覚える・書く・ブラウザ任せ』のいずれかで、これは使い回しや紛失と相性が悪い方法です。
Q紙に書いて保管するのは絶対にダメですか？
『絶対ダメ』ではありませんが、おすすめしません。手元の紙は、リモートの攻撃者には届かない一方で、紛失・盗み見・引っ越しや災害での消失に弱く、台数が増えると破綻します。職場ではメモした付箋を失くす事故も多く報告されています。どうしても紙に頼るなら、平文の一覧をクラウドに置くことだけは避け、マネージャーのリカバリーコードなど“最後の鍵”に用途を限定するのが現実的です。
Qブラウザのパスワード保存機能では不十分ですか？
何もしないよりは大きく前進ですが、専用のマネージャーより守りは限定的です。端末にログインできる人や、端末を乗っ取られた場合に中身へ届きやすく、漏えい監視やフィッシング対策、安全な共有といった機能も弱い傾向があります。ブラウザ保存している人の多くが、専用マネージャーとの安全性の違いを認識していないという調査もあります。重要アカウントは専用マネージャー＋パスキー/MFAへ寄せるのが安全です。