漏洩データで検証「sakura123」は10万回。ありがちな変え方は、もう漏れていた

漏洩のニュースが続くたびに「パスワードを変えましょう」と呼びかけられます。一方で、「変えても意味がない」という声も聞こえてきます。

実際のところ、どうなのでしょうか。前回の漏洩回数ランキングと同じ流出パスワードのデータベースで、よくある「変え方」27通りを照合してみました（2026年11月2日計測）。

結論から言うと、意味がないのは「似たパターンに変えること」でした。「sakura」を「sakura123」に変えても約10.7万回、「password」を「P@ssw0rd」にしても約642万回、すでに流出データに載っています。

検証1：「sakura」をよくある方法で変えてみた

前回のランキングで約68万回だった「sakura」を、数字を足す、大文字にする、記号を入れる、といったよくある方法で変えて調べました。棒の長さは、10倍ごとに同じ間隔で伸びる目盛（対数目盛）です。

1. 1sakura変更前68.4万回
2. 2sakura123末尾に12310.7万回
3. 3sakura12末尾に127.7万回
4. 4sakura1末尾に17.4万回
5. 5Sakura頭を大文字3.8万回
6. 6Sakura123大文字＋1233.3万回
7. 7sakura01末尾に012.2万回
8. 8sakura1234末尾に12341.2万回
9. 9Sakura1大文字＋17,241回
10. 10sakura!末尾に記号3,338回
11. 11sakura2020末尾に年号3,038回
12. 12Sakura1!大文字＋数字＋記号982回
13. 13sakura0101末尾に誕生日470回
14. 14sakura123!123＋記号373回
15. 15s@kuraaを@に245回
16. 16sakura2026末尾に今年2回

検証2：「password」の定番アレンジ

「大文字・小文字・数字・記号を全部入れて」と言われて作りがちな「P@ssw0rd」も調べました。

1. 1password変更前5,237万回
2. 2password1末尾に1964万回
3. 3P@ssw0rd大文字＋記号＋数字642万回
4. 4Password1大文字＋1346万回
5. 5password123末尾に123227万回
6. 6p@ssw0rdaを@、oを0に94.2万回
7. 7Password123!大文字＋123＋記号29.5万回
8. 8password2020末尾に年号7.1万回
9. 9password2026末尾に今年58回

回数は、同じパスワードが別々の流出事件で見つかった回数の合計（延べ回数）です。

結果からわかったこと

• 末尾に数字を足すだけでは、ほぼ意味がない：「sakura123」は約10.7万回、「sakura1」は約7.4万回。元の「sakura」より少ないとはいえ、10万回単位で漏れています。「password1」に至っては約964万回です。
• 大文字や記号の入れ方も定番化している：「P@ssw0rd」は約642万回、「Password1」は約346万回。aを@に、oを0に置き換えるのは、攻撃者が最初に試す置き換えです。
• 回数が少なくても、安全とは限らない：「sakura2026」は2回、「s@kura」は245回でした。でも攻撃に使われる道具は、「辞書の単語＋数字や年号」「記号への置き換え」といった変え方を自動で組み合わせて試します。データに載っていないことと、当てにくいことは別の話です。

年号付きは「今年だけ」少ない

「password＋年号」を年ごとに比べると、はっきりした傾向が出ました。

1. password201511,605回
2. password202071,095回
3. password202316,582回
4. password20246,369回
5. password2025869回
6. password202658回

今年の「password2026」は58回ですが、6年前の「password2020」は約7.1万回です。年号付きのパスワードは、時間がたつほど漏れて増えていきます。今年は少なく見えても、数年後には当たり前に攻撃リストに載っていると考えたほうが安全です。

では、どう変えればいい？

総務省の「国民のためのサイバーセキュリティサイト」では、流出や乗っ取りの事実がなければ、定期的に変える必要はないとしています。定期的に変えさせると、かえって「sakura1→sakura2」のような単純なパターンや使い回しが増えてしまうからです。

大事なのは「いつ変えるか」より「どう作るか」です。

そして、流出が分かったときは、すぐに変える。このときも、似たパターンではなく、まったく新しいパスワードにします。

つまり「パスワードを変えても意味ない」の正体は、「似たパスワードに変えても意味ない」でした。変えることそのものではなく、変え方の問題です。

調べ方と安全性

前回と同じく、セキュリティ研究者の Troy Hunt 氏が運営する「Have I Been Pwned」の Pwned Passwords API を使いました（調査日：2026年11月2日）。

このAPIには、パスワードそのものを送りません。パスワードを「ハッシュ値」という別の文字列に変換し、その先頭5文字だけを送ります。照合は手元で行うため、どのパスワードを調べたかは相手のサーバーにも分かりません。当サイトのチェックツールも同じ仕組みで動いていて、ソースコードは GitHub で公開しています。

今日からやること

1. 今のパスワードを確認する：流出チェッカーで、流出データに載っていないかを調べます。載っていたら、そのパスワードはすぐに変えます。
2. 「足すだけ」の変更をやめる：末尾の数字や年号を変えるだけのパスワードは、まったく新しいものに作り直します。
3. パスワード管理機能に任せる：サービスごとに違う、長くてランダムなパスワードは、人の頭では覚えきれません。スマホやブラウザの機能、またはパスワード管理機能付きのセキュリティソフトを使います。おすすめは下のランキングで紹介しています。
4. 二段階認証をオンにする：パスワードが漏れても、それだけではログインされなくなります。

あわせて読みたい：【漏洩対策ガイド】企業の発表を待たずに、今日できる7つの防衛策