「パスワードって、みんなどうやって保管しているんだろう？」という疑問に、信頼できる調査データで答え、そこから安全な保管法を考えます。結論を先に言うと、いちばん多い保管方法ほど、攻撃者に悪用されやすいのが実態です。
データで見る「みんなの保管方法」
国や調査によって数字は前後しますが、信頼できる複数の調査はおおむね同じ傾向を示します。
Security.org の年次調査では、米国の成人で半数以上がマネージャー以外（記憶・ブラウザ・紙など）の方法に頼っていると報告されています。ブラウザ保存も増えていますが、ブラウザ保存している人の多くは専用マネージャーとの安全性の違いを認識していない、という結果も出ています。
なぜ「みんなと同じ」が危ないのか
定番の保管法は、そのまま使い回し・弱いパスワード・紛失につながりやすく、これは攻撃者がもっとも得意とする領域です。
「記憶で管理」しようとすると、人は覚えられる範囲に収めるため、同じ・似たパスワードを使い回します。すると、どこか1つのサービスが漏れただけで、攻撃者は同じ組み合わせを他のサービスで次々と試す（クレデンシャルスタッフィング）。漏洩DBのパスワードの大半が使い回しだという事実は、「覚えやすさ」を優先した結果が、そのまま被害の連鎖になることを示しています。
保管方法ごとの安全性
よく使われるが危うい
- 記憶：覚えられる数に限界 → 使い回し・弱い文字列に流れる
- 紙／付箋：紛失・盗み見・消失に弱い。台数が増えると破綻
- ブラウザ保存：何もしないよりは良いが、端末乗っ取りに弱く、監視・共有機能が弱い
- 表計算ファイル/メモアプリに平文：1ファイルの流出で全部漏れる
安全な方法
- パスワードマネージャー：サービスごとに強い別パスワードを自動生成・保管。偽サイトには自動入力しない＝フィッシングに強い
- パスキー：そもそも盗める文字列を持たないログイン
- MFA：パスワードが漏れても2つ目の認証要素で悪用を止める
- 紙はリカバリーコードだけ：マネージャーのリカバリーコード等に用途を限定する
ポイントは、**「記憶や紙をやめる」のではなく「覚える必要そのものを無くす」**こと。マネージャーが全部を別パスワードにして覚えてくれるので、人間は1つの強いマスターパスワード（＋その保護）だけに集中できます。
当サイトの視点：危うい保管は一部の人ではなく多数派の問題
注目すべきは、危うい保管が一部の不注意な人の話ではなく、多数派の現状だという点です。だからこそ、個人の心がけではなく仕組みで改善するのが効きます。まずパスワードマネージャーで全アカウントを別パスワード化し、メール・クラウドなど、ほかのアカウントの復旧に使う重要アカウントはパスキーとフィッシング耐性のあるMFAで固める。これだけで、上のデータが示すよくある弱点の大半をなくせます。
状況別：どの保管方法を選ぶか
「専用マネージャーが一番」と分かっていても、使う端末や家族の事情で現実的な選択は変わります。続けられるものを選ぶのが前提です。
| あなたの状況 | おすすめの保管先 | 理由 |
|---|---|---|
| iPhone・Macだけを使う | iPhone標準の「パスワード」アプリ（iCloudキーチェーン） | 追加の契約なしで自動生成・自動入力・漏えい警告まで使える |
| Android・Chromeが中心 | Googleパスワードマネージャー | Chromeと端末に組み込み済みで、パスワードチェックアップが使える |
| WindowsとiPhoneなど、OSが混在 | 専用のクラウド型マネージャー | OSをまたいで同じ保管庫を使える |
| 家族とアカウントを共有する | 共有機能のある専用マネージャー | LINEやメールでパスワードを送らずに済む |
| 機械が苦手な家族 | OS標準の保存機能＋復旧用の情報だけ紙に | 操作が少なく続けやすい。紙は自宅の決まった場所に1枚 |
| 仕事のアカウント | 会社が指定する保管方法 | 個人のマネージャーに業務用を混ぜない |
OS標準の保存機能も、記憶・紙・メモアプリよりずっと安全です。迷ったら、今使っている端末の標準機能から始め、OSをまたぐ必要が出たら専用マネージャーへ移る、という順番で十分です。
自分の保管状況を確認する方法
今の保管のしかたに危ないところがないかは、10分ほどで確認できます。
保存済みパスワードの診断を実行する
Chromeでは右上のプロフィール →「パスワード」（または「︙」→「パスワードと自動入力」→「Google パスワード マネージャー」）→ 左の「チェックアップ」。漏えい・使い回し・弱いパスワードが一覧で出ます。iPhoneでは「パスワード」アプリの「セキュリティ」に、同じ種類の警告がまとまっています。
平文の置き場を探す
メモアプリ、スマホの写真（スクリーンショット）、LINEの自分宛てトーク、Excelやテキストファイルを「パスワード」「pass」などで検索します。見つかったら専用の保存先に移し、元のファイルはゴミ箱まで消します。
使い回しを重要なアカウントから直す
1でまとめて警告が出ても、全部を一度に直す必要はありません。メール、Apple ID／Googleアカウント、銀行、通販の順に、別のパスワードへ変えます。
新しく作るパスワードの強さを確かめる
自分で決める必要があるもの（マスターパスワードなど）は、パスワード強度チェッカーで長さと推測されやすさを確認します。
よくある間違いと直し方
- 定期変更で末尾の数字だけ変える：変更前のパスワードから簡単に推測されます。漏えいの通知があったときだけ、まったく別のものに変えます。
- 「強いパスワードを1つ作って全部に使う」：強さに関係なく、1か所の漏えいで全部が危険になります。サービスごとに別にします。
- マネージャーに移したあと、元のメモやExcelを残したまま：取り込んだら元の平文は消します。
- 復旧コードをマネージャーの中にだけ保存する：マネージャーに入れなくなったときに取り出せません。復旧コードだけは紙など別の場所にも置きます。
具体例：保管のしかたが被害の大きさを左右した事件
当サイトの事件記事から、保管と使い回しが被害に直結した例を2つ挙げます。
- 宅ふぁいる便（2019）：運営側がログインパスワードを平文で保管しており、約481万件の個人情報とともに流出しました。利用者が同じパスワードを他サービスでも使っていると、そこでも悪用されるおそれがありました。利用者側でできた対策は、サービスごとに別のパスワードにしておくことです。
- 7pay（2019）：二段階認証がなく、ID＋パスワードだけでログインできる構成でした。他から漏れたパスワードを使い回していると、そのまま入られうる設計です。利用者側では、使い回しをやめることと、二段階認証があれば有効にすることが効きます。
どちらも、運営側の設計に問題があっても、利用者がサービスごとに別のパスワードを使っていれば、ほかのサービスへの被害の広がりを止められたという点が共通しています。
次に読む
- 漏れていないか確かめる：パスワード漏洩の確認方法（Have I Been Pwned など）
- 実践：パスワードマネージャーの選び方（覚える必要を無くす基本の対策）
- 素朴な疑問：パスワードをGoogleドライブに保存するのは安全か
- 次の一歩：パスキーとは / 多要素認証（MFA）の選び方
- 仕組み（作る側）：パスワードの安全な保存方法（ハッシュ化とソルト）
出典
- Security.org「Password Manager Annual Report (2024)」: security.org
- Bitwarden「World Password Day Global Survey (2024)」: bitwarden.com
- Verizon「2024 Data Breach Investigations Report (DBIR)」: verizon.com
- NIST「SP 800-63B-4 Digital Identity Guidelines: Authentication and Authenticator Management（2025年8月）」: pages.nist.gov
- Google「パスワードが漏洩していないか、セキュリティが弱くないかを確認する（パスワード チェックアップ）」: support.google.com
- Apple Platform Security「Password security recommendations」: support.apple.com