目次

  1. 日本企業のパスワードランキング2025（上位20位）
    1. 「利便性」を優先か
    2. 日本固有の傾向
    3. 規則性のある配列
  2. 「デジタルネイティブ」でもセキュリティ意識変わらず
  3. 企業が直面するパスワード漏洩リスクと対策
    1. 複雑さと独自性の確保
    2. 多要素認証（MFA）の導入
    3. パスワードマネージャーの活用
    4. 次世代技術「パスキー」への移行

　NordPass と NordStellar が独立系のサイバーセキュリティ研究者は2024年9月から2025年9月にかけて公開されたデータ侵害およびダークウェブ上のリポジトリから集計された世界44ヵ国のパスワードデ
ータおよび関連するメタデータを統計的に分析しました。

　日本における「最もよく使われる」パスワードは以下の通りです。

  1. admin
  2. 123456
  3. password
  4. Freemima123
  5. 12345678
  6. yamamoto2580
  7. Chan8899
  8. rosycash
  9. 102030Abcd
  10. mokariku
  11. tootoo
  12. 1qaz2wsx
  13. Kanazawa2
  14. 123456789
  15. mirror2009
  16. never4getyou
  17. 2020Sank
  18. p@assword123456
  19. apple555
  20. aabbccdd1234

　こうしたパスワードには次のような特徴があります。

　ランキングの1位から3位を占める「admin」「123456」「password」は、世界的なトレンドとも一致しています。NordPassの調査によれば、人々は依然として「セキュリティよりも利便性（覚えやすさ）」を優先する傾向にあります。

　特に1位の「admin」は、法人向けデバイスやシステムの初期設定として使われることが多く、企業におけるセキュリティ意識の低さを象徴しています。これらはハッカーにとって、鍵のかかっていないドアも同然です。世界的に見ても「123456」は過去7年間のうち6回も首位を獲得しており、ユーザーがいかに単純な数字の羅列を好むかが浮き彫りになっています。

　今回のランキングには、NordPassが指摘する「文化的な足跡（Cultural footprints）」が顕著に現れています。

　人名と地名の使用：6位の「yamamoto2580」や13位の「Kanazawa2」のように、名字や地名をパスワードに組み込むパターンです。NordPassの分析では、各国の一般的な名前や姓がパスワードに頻出することが確認されており、地理的・文化的背景がセキュリティの脆弱性に直結していることがわかります。

　12位の「1qaz2wsx」は、キーボードの配列をなぞったものです。一見複雑に見えますが、これも攻撃者にとっては予測しやすいパターンの典型です。

　私たちは、若い世代（Z世代など）はネットに詳しいため、セキュリティ意識も高いと考えがちです。しかし、今回のNordPassの調査によると、　全世代で「123456」などの単純な配列がトップを占めており、年齢に関わらず「脆弱な習慣」が共通していることが判明しました。IT教育を受けてきたはずの若い世代であっても、サイバーリスクに対する実効性のある行動（強いパスワードの設定）には繋がっていないのが現状です。

　今回のデータは、2024年9月から2025年9月までの間に発生した実際のデータ漏洩事件やダークウェブのリポジトリを分析した結果に基づいています。つまり、ここに並んでいるパスワードは「既に破られ、公開されたことがあるパスワード」なのです。

　企業として、そして個人として、この危機を脱するために今すぐ取り組むべき対策は以下の4点です。

　パスワードは8文字以上とし、大文字・小文字・数字・特殊記号を混ぜるべきです。さらに重要なのは、「パスワードの使い回し」を絶対にやめることです。一つのサービスで漏洩が起きても、他が守られていれば被害を最小限に抑えられます。

　パスワードが万が一破られても、スマートフォンなどへの通知による本人確認（MFA）を有効にしていれば、不正アクセスを阻止できる可能性が飛躍的に高まります。

　人間が何十もの複雑なパスワードを記憶するのは不可能です。NordPassのようなパスワードマネージャーを利用することで、安全なパスワードを生成・保存・管理し、セキュリティと利便性を両立させることができます。

　FIDOアライアンスが推奨する「パスキー」は、パスワード自体を使わない新しい認証方法です。指紋や顔認証を利用するため、フィッシング攻撃や漏洩リスクに非常に強いという特徴があります。