はじめに：「パスワードを忘れるのが怖い」あなたへ
「通販サイト、SNS、銀行、動画配信……。全部違うパスワードにするなんて無理！」
「覚えられないから、全部同じ『いつものパスワード』でいいや」
その気持ち、痛いほどよく分かります。しかし、セキュリティの世界において、この「パスワードの使い回し」こそが、最も危険な行為であることをご存知でしょうか？
ハッカーたちは、あなたのパスワードを一生懸命「解読」したりはしません。もっと効率的な方法、それが『パスワードリスト攻撃（クレデンシャル・スタッフィング）』です。
この記事では、なぜ「使い回し」が命取りになるのか、その恐怖のメカニズムと、人間が楽をするための対策について解説します。
ハッカーは「解読」なんてしない
映画などで、ハッカーが黒い画面に向かって猛スピードでタイピングし、パスワードを解析するシーンがありますが、現実はもっと地味で残酷です。
彼らは、セキュリティの甘い「どこかの小さなサイト」から漏洩したIDとパスワードのリスト（名簿）を、裏ルートで入手します。
そして、そのリストに載っている鍵（パスワード）を使って、Amazon、楽天、Twitter、銀行など、手当たり次第に「他の有名サイト」でログインを試すのです。
「マスターキー」を作ってはいけない
これを現実世界で例えてみましょう。
- 使い回しをしていない状態：
「家の鍵」「車の鍵」「会社の鍵」「金庫の鍵」がすべて別々の形をしています。
もし家の鍵を落としても、車や金庫は無事です。 - 使い回しをしている状態：
すべてのドアが「たった1本の同じ鍵」で開くようになっています。
もし、あまり行かない「近所の倉庫（セキュリティの甘いサイト）」で鍵を盗まれたら？ その鍵一本で、あなたの家も車も金庫も、すべて開けられてしまいます。
これがパスワードリスト攻撃の正体です。
「私は大手サイトしか使わないから安心」ではなく、「あなたが昔登録した、今はもう見ていないサイト」から鍵が漏れ、今使っている大事なサイトが攻撃されるのです。
ドミノ倒しを防ぐ唯一の方法
では、どうすれば良いのでしょうか？ 答えはシンプルですが、実行は難しいと思われがちです。
「サイトごとに、全く違うランダムなパスワードを設定する」
「だから、それが覚えられないんだって！」という声が聞こえてきそうです。ご安心ください。今の時代、人間がパスワードを覚える必要はありません。
対策：パスワード管理ツールに「脳みそ」を預ける
Google ChromeやiCloud、あるいは専用の「パスワード管理アプリ（1Passwordなど）」を使いましょう。
- 覚えるのは1つだけ： 管理ツールを開くための「マスターパスワード」1つだけを死ぬ気で覚えます。
- あとはお任せ： 個別のサイトのパスワードは、ツールに「自動生成」させて保存します。`xK9#mP2$z` のような複雑な文字列を、人間が覚える必要はありません。
まとめ：あなたの「記憶力」に頼らないで
パスワードリスト攻撃は、あなたの「記憶力」と「面倒くさいという心」につけ込む攻撃です。
「全部同じパスワード」は、泥棒に合鍵を配っているのと同じ。
今日から、文明の利器（管理ツール）に頼って、すべてのサイトで違う鍵を使うようにしましょう。それが、あなたのデジタルライフを守る最強の盾となります。
