漏洩回数ランキング「123456」は2億回、「sakura」も68万回流出していた

「自分のパスワードは大丈夫」と思っていませんか。

世界中で流出したパスワードを集めたデータベース「Pwned Passwords」に、日本人が使いがちなパスワード25個を照合し、それぞれ何回登場するかを調べました（2026年10月30日計測）。

結果、1位の「123456」は約2億1,046万回。日本らしい「sakura」でも約68万回、「pokemon」は約214万回でした。自分や家族が使っていないか、ランキングで確認してみてください。

漏洩回数ランキング

1位の「123456」と25位の「osaka」では、4万倍以上の差がありました。棒の長さは10倍ごとに同じ間隔で伸びる目盛（対数目盛）で表しています。

数字・英単語など日本らしい言葉

1. 1123456数字の並び2.1億回
2. 212345678数字の並び7,061万回
3. 3password定番英単語5,237万回
4. 4qwertyキー配列3,081万回
5. 5111111数字の並び1,594万回
6. 6abc123英数字の定番1,299万回
7. 7iloveyou定番英単語701万回
8. 81qaz2wsxキー配列583万回
9. 9a123456英数字の定番377万回
10. 10asdfghキー配列239万回
11. 11pokemonキャラクター名214万回
12. 12narutoキャラクター名164万回
13. 13sakura日本語ローマ字68万回
14. 14tigers野球57万回
15. 15pikachuキャラクター名44万回
16. 16suzuki名字39万回
17. 17doraemonキャラクター名25万回
18. 18giants野球18万回
19. 190101誕生日（4桁）16万回
20. 20totoroキャラクター名8万回
21. 21tanaka名字5万回
22. 22nippon日本語ローマ字4万回
23. 2319900101生年月日2万回
24. 24tokyo地名2万回
25. 25osaka地名4,780回

回数は、同じパスワードが別々の流出事件で見つかった回数の合計（延べ回数）です。2億人が使っているという意味ではありません。

結果からわかったこと

• 数字の並びは桁違い：「123456」は約2億1,046万回、2位の「12345678」も約7,061万回です。上位5件のうち3件が「数字を順に押すだけ」のパスワードでした。
• 好きなキャラの名前も筒抜け：「pokemon」約214万回、「naruto」約164万回と、日本発の作品名は100万回を超えています。世界中にファンがいるので、攻撃者が使う単語リストにも当然入っています。
• 「日本語なら安全」は思い込み：「sakura」は約68万回、野球の「tigers」は約57万回、名字の「suzuki」も約39万回でした。
• キーボードの並びもバレている：縦になぞる「1qaz2wsx」は一見ランダムですが、約583万回も登場しています。
• 回数が少なくても安全ではない：最下位の「osaka」でも4,780回漏れています。一度でも登場したパスワードは攻撃用のリストに載り、「先に試される候補」になります。「19900101」のような生年月日も、組み合わせが少ないので総当たりで簡単に試せます。

「覚えやすい」ものは「当てやすい」。漏洩回数は、そのまま攻撃者が試す順番だと考えてください。

調べ方と安全性

調査には、セキュリティ研究者の Troy Hunt 氏が運営する「Have I Been Pwned」の Pwned Passwords API を使いました（調査日：2026年10月30日）。

このAPIには、パスワードそのものを送りません。パスワードを「ハッシュ値」という別の文字列に変換し、その先頭5文字だけを送ります。返ってきた候補との照合は手元で行うため、どのパスワードを調べたかは相手のサーバーにも分かりません。当サイトのチェックツールも同じ仕組みで動いていて、ソースコードは GitHub で公開しています。

今日からやること

1. 自分のパスワードを確認する：ランキングにないパスワードでも、漏洩している可能性があります。流出チェッカーで確認してみてください。
2. 使い回しをやめる：1つ漏れると、同じパスワードを使っている全サービスが危険になります。
3. パスワード管理機能を使う：サービスごとに違う強いパスワードを自動で作り、覚えておいてくれます。パスワード管理機能付きのセキュリティソフトは下のランキングで紹介しています。
4. 二段階認証を設定する：パスワードが漏れても、それだけではログインされなくなります。