パスワードマネージャー入門｜選び方・移行手順・マスターパスワードの決め方

連日のように報じられる企業からの個人情報流出ニュースを目にして、「自分のパスワードは大丈夫だろうか」「もし流出したら他のサービスまで乗っ取られるのではないか」と不安を感じている方が急速に増えています。

企業側のサーバーからデータが漏洩した場合、個人がその流出自体を止めることはできません。しかし、サービスごとに異なるパスワードを設定していれば、流出したパスワードを使った他のサービス（ネット銀行、証券口座、SNS、メインメールなど）への不正ログインを防ぎやすくなり、パスワード流出の影響をそのサービスに限定できます。

とはいえ、利用するWebサービスの数は人によって異なりますが、増えるほど、すべてで異なる長いパスワードを自力で記憶するのは現実的ではなくなります。そこで有力な手段となるのが「パスワードマネージャー（パスワード管理ツール）」です。

この記事では、総務省の「国民のためのサイバーセキュリティサイト」、NIST（米国国立標準技術研究所）のガイドライン、各サービスの公式情報を根拠に、パスワードマネージャーの選び方、推測されにくいマスターパスワードの作り方、ブラウザからのデータ移行手順、初心者がハマりやすい落とし穴までを解説します。

この記事で行うこと
前提条件・対象読者
1. Quick Reference：主要パスワードマネージャーの特徴比較
2. なぜ「パスワードの使い回し」が最も危険なのか？
1. 2-1. リスト型攻撃（クレデンシャルスタッフィング）の脅威
2. 2-2. 総務省・NISTが「定期変更不要・使い回し防止」を示す理由
3. ブラウザ標準保存と専用パスワードマネージャーの違い
4. 失敗しないパスワードマネージャーの選び方（タイプ別）
5. 忘れにくく推測されにくい「マスターパスワード」の決め方
1. 5-1. 短い複雑な文字列より、複数の単語をつなげたパスフレーズ
2. 5-2. エマージェンシーキット（復旧キー）の安全なアナログ保管
6. ブラウザからパスワードマネージャーへの移行実践手順
7. よくある間違い・トラブル対処（アンチパターン）
8. よくある質問（FAQ）
まとめ
次に読むおすすめ記事
参考情報

この記事で行うこと

パスワードの使い回しがなぜ致命的なリスクになるのかを理解する
ブラウザ標準の保存機能と専用パスワードマネージャーの違いを把握する
主要なパスワードマネージャー（Bitwarden、1Password、KeePassXC、OS標準）の客観的な特徴を比較する
推測されにくいマスターパスワードの作成法と、復旧用キーの保管方法を理解する
Chromeなどのブラウザから安全にパスワードを移行し、平文CSVの漏洩罠を防ぐ手順を実践する

前提条件・対象読者

複数のWebサイトやアプリで同じパスワードを使い回してしまっている方
パスワードマネージャーの導入を検討しているが、どれを選べばよいかわからない方
Google Chromeなどのブラウザにパスワードを保存しているが、セキュリティに不安を感じている方
情報の基準日：2026年11月（各公式ドキュメントの記載に基づきます。画面の操作は実機での再現確認までは行っていないため、画面名称やメニュー位置は更新により異なる場合があります）

1. Quick Reference：主要パスワードマネージャーの特徴比較

パスワードマネージャーは、運営方針やデータの保管場所によって大きく3つのタイプに分かれます。自身の用途や重視するポイントに合わせて選択してください。

ツール名	タイプ	主な暗号化方式	特徴・メリット	注意点・考慮事項
Bitwarden	クラウド同期型（オープンソース）	AES-CBC 256 / Argon2id / PBKDF2	無料プランでもデバイス数・パスワード数は無制限（公式料金ページ）。オープンソースで、自己ホストの手順も公式に公開されています。	高度な設定（Argon2idへの変更等）は手動で行う必要がある。
1Password	クラウド同期型（商用）	128bit Secret Key（公式）	マスターパスワードに加え、128ビットの `Secret Key` でアカウントを保護する仕組みを公式に説明。家族向けプランあり。	無料プランはなく、14日間の無料トライアルがあります（公式料金ページ、2026年11月確認）。
KeePassXC	ローカル完結型（完全オフライン）	KDBX 4形式（Argon2に対応）	クラウドを一切介さず、暗号化データベースファイル（`.kdbx`）をローカルで自前管理。	複数端末間の同期（クラウド連携やファイル移動）を自分で設定する必要がある。
OS標準（Appleパスワード / Googleパスワード）	プラットフォーム統合型	OS・サービスの仕様による	追加インストールなしで使えるものが多い一方、対応OS・ブラウザや機能は提供元ごとに異なります。	異なるOS間（例：Windows PCとiPhone）での併用時に操作や同期の制限が生じやすい。

2. なぜ「パスワードの使い回し」が最も危険なのか？

2-1. リスト型攻撃（クレデンシャルスタッフィング）の脅威

パスワードを複数のサービスで使い回していると、どれか1つのサービスでセキュリティ侵害が発生した瞬間、連鎖的にすべてのアカウントが危険に晒されます。

攻撃者は、あるサイトから流出したID（メールアドレス）とパスワードの組み合わせリストを入手すると、自動化ツールを使って他の主要サービス（Amazon、楽天、Google、証券会社、ネット銀行、各種SNSなど）へ一斉にログインを試みます。これを「リスト型アカウントハッキング（クレデンシャルスタッフィング攻撃）」と呼びます。

仮に強固で複雑なパスワードを設定していたとしても、使い回している限り、セキュリティの甘い小規模な通販サイトや過去に登録した古いサービスから流出した時点で、本丸のアカウントまで容易に突破されてしまいます。

2-2. 総務省・NISTが「定期変更不要・使い回し防止」を示す理由

かつては「パスワードは3ヶ月ごとに定期変更しましょう」と指導されていました。しかし現在、総務省の「国民のためのサイバーセキュリティサイト」では、サービス側から流出した事実がない限りパスワードを定期的に変更する必要はなく、使い回しのない固有のパスワードを使うことが推奨されています。NIST SP 800-63Bでも、サービス提供者側に対して「利用者にパスワードの定期的な変更を求めてはならない（ただし漏えいの証拠がある場合は変更を強制する）」と規定されています。

定期変更を強制すると、利用者は記憶の負担に耐えかねて「末尾の数字を1つ増やすだけ」「覚えやすい単純な文字列にする」「他のサイトと同じものを使い回す」といった行動に走り、かえってセキュリティが下がる場合があるためです（総務省、NISTとも同様の趣旨を述べています）。

総務省とNISTの記載を踏まえた要点は以下のとおりです。

定期変更よりも「サービスごとに異なるパスワードを設定すること」を最優先する
複雑さ（記号を無理に混ぜる）よりも「十分な長さ」を確保する
パスワード単体に依存せず、可能な限り「二段階認証（2FA / パスキー）」を併用する

3. ブラウザ標準保存と専用パスワードマネージャーの違い

Google ChromeやMicrosoft EdgeなどのWebブラウザにもパスワード保存機能が備わっています。「ブラウザの保存機能だけで十分ではないか？」という疑問を持つ方も少なくありません。

日常の利便性においてはブラウザ保存も優れていますが、セキュリティ設計には明確な違いが存在します。

3-1. インフォスティーラー（情報窃取型マルウェア）耐性の差

近年急増しているサイバー攻撃が「インフォスティーラー（情報窃取型マルウェア）」です。悪意のある広告や偽のインストーラーなどを通じてPCに侵入し、ブラウザの内部ストレージ（SQLiteデータベース等）に保存されたパスワードやログインCookieを丸ごと盗み出します。

Chromeなどのブラウザ保存は、OSのログイン認証（Windows HelloやTouch ID）と統合されているものの、同一ユーザー権限でマルウェアが動作した場合、保存された情報が盗み出される可能性があります（詳細は自サイト解説記事 https://snowsystem.net/chrome/chrome-infostealer-security-guide/ を参照）。

一方、専用のパスワードマネージャーは、ブラウザとは別のアプリや拡張機能として暗号化した保管庫にデータを保存し、一定時間でロックする設定などを使えます。ただし、端末そのものがマルウェアに感染した場合は、専用ツールであっても安全とは言い切れません。専用ツールを使う場合も、OSの更新、不審なファイルを実行しない、保管庫自体への二段階認証といった基本対策が前提になります。

3-2. クラウド同期・端末を選ばないクロスプラットフォーム性

ブラウザ保存の場合、「会社のWindows PC」「自宅のMac」「個人のiPhone」「家族共用のAndroidタブレット」といった複数環境を跨いで利用する際に、同期や入力支援が分断されがちです。

専用パスワードマネージャーであれば、OSやブラウザ（Chrome、Safari、Firefox、Edge等）を問わず同一の保管庫にアクセスでき、スマートフォンアプリや拡張機能を通じてどの環境でも同一の操作感で自動入力が行えます。

3-3. ゼロ知識暗号化（Zero-Knowledge）の仕組み

Bitwardenは、公式ドキュメントで「ゼロ知識（zero knowledge）の暗号化」であり、保管庫データは保存前に暗号化されると説明しています。1Passwordも、アカウントをパスワードと128ビットのSecret Keyの2つで保護する仕組みを公式に説明しています。

ユーザーのパスワードデータは、クラウドサーバーへ送信される前に、手元の端末内でマスターパスワードから生成された鍵によって暗号化されます。サーバー側には暗号化された無意味な文字列（暗号文）しか保管されず、復号するための鍵は利用者の手元にしか存在しません。

そのため、万が一パスワードマネージャーを運営する企業のサーバーが不正アクセスを受けてデータが流出したとしても、第三者が保管庫の中身をそのまま閲覧することは、設計上できない仕組みだと説明されています。ただし、マスターパスワードが推測されやすいとこの前提は弱まります。

4. 失敗しないパスワードマネージャーの選び方（タイプ別）

4-1. クラウド同期型（Bitwarden・1Password）

もっともバランスが良く、初心者から上級者まで広く推奨されるタイプです。

Bitwarden（ビットワーデン）:
オープンソースで開発されており、ソースコードが公開されています。
基本的な保管・無制限の端末間同期が無料プランで利用可能です。
鍵派生関数（KDF）として、従来の PBKDF2 に加え、メモリを多く使う設計の Argon2id も選択できます（公式ドキュメントでは、初期設定はPBKDF2で、Argon2idは代替として利用可能と説明されています）。
1Password（ワンパスワード）:
商用サービスで、無料プランはありません。
マスターパスワードに加え、アカウント作成時に発行される128ビットの Secret Key（シークレットキー）を端末内に保持する二重防御構造を採用しています。
パスワードの脆弱性診断、漏洩検知、家族間での安全な共有機能（1Password Families）が充実しています。

4-2. ローカル完結型（KeePassXC）

「いかなるデータも外部のクラウドサーバーに預けたくない」というセキュリティ意識の高いユーザー向けの選択肢です。

パスワードデータベース（.kdbx ファイル）を自分のPCのローカルディスク内で保持します。
クラウドサービス側の障害の影響を受けにくい点が特徴です。
スマートフォンなど他端末と同期したい場合は、Syncthing等のローカル同期ツールや自前のクラウドストレージを組み合わせる運用技術が求められます。

4-3. OS標準連携型（Appleのパスワード機能・Googleパスワードマネージャーなど）

OSやブラウザに組み込まれたパスワード管理機能です。追加インストールなしで使えるものが多い一方、対応するOS・ブラウザの範囲や機能、暗号化の仕様は提供元ごとに異なります。
利用する環境の公式ヘルプで、保存先と同期の仕組みを確認してから選んでください。

5. 忘れにくく推測されにくい「マスターパスワード」の決め方

パスワードマネージャーを利用する上で、唯一人間が記憶しなければならないのが「マスターパスワード」です。マスターパスワードを忘れてしまうと、ゼロ知識暗号化の仕様上、運営元であってもデータを復旧することはできません。

5-1. 短い複雑な文字列より、複数の単語をつなげたパスフレーズ

総務省は、覚えなければならないパスワードについて、無関係な（文章にならない）複数の英単語をつなげ、その間に数字列を挟む方法を挙げています。NIST SP 800-63Bは、サービス側に文字種を混ぜる複雑性ルールを課さないことを求めています（サービス側の要件として、単要素認証で使うパスワードは15文字以上、多要素認証の一部として使う場合は8文字以上）。これらを踏まえ、記号を詰め込んだ短い文字列より、長めのパスフレーズを選ぶ方が実用的です。

❌ 推奨されない例（短く複雑だが忘れやすく推測ツールに弱い）
P@ssw0rd!12

⭕ 推奨されるパスフレーズ例（単語4つをハイフンやスペースで結合・16文字以上）
coffee-bridge-winter-guitar
ringo-aozora-densha-77

以下はあくまで形式の例です。そのまま使わず、自分だけが思いつく単語で作ってください。

5-2. エマージェンシーキット（復旧キー）の安全なアナログ保管

1Passwordの「Emergency Kit」やBitwardenの「2段階認証復旧コード」など、サービスによっては、アカウント作成時に緊急復旧用のPDFやコードが発行されます。

このエマージェンシーキットを「PCのデスクトップ」や「クラウドストレージのメモ帳」に平文で保存してはいけません。PCが侵害された際にマスターキーごと奪われてしまうためです。

紙に印刷して物理的に保管する:
プリンターで印刷し、自宅の金庫、通帳入れ、重要書類入れなど、空き巣や紛失のリスクが低い物理的な場所に保管します。
オフラインの暗号化USBメモリに退避する:
印刷環境がない場合は、日常的にPCに接続しない専用のUSBメモリに保存し、引き出し等に厳重に保管してください。

6. ブラウザからパスワードマネージャーへの移行実践手順

現在Google Chromeにパスワードを保存している状態から、専用パスワードマネージャー（ここではBitwardenを例とします）へ移行する手順をステップ順に解説します。

6-1. 手順1：ブラウザからパスワードをCSVエクスポートする

パソコンでChromeを開き、右上のメニューから「パスワードと自動入力」→「Googleパスワードマネージャー」を開きます。
左側の「設定」を選び、「パスワードをエクスポート」の右にある「ファイルをダウンロード」を選択します（Chromeヘルプの記載に基づく手順です）。
WindowsまたはMacの端末認証（PINコードや生体認証、ログインパスワード）を要求されるので認証します。
ファイル名（例：Chrome パスワード.csv）を指定してダウンロードします。

6-2. 手順2：パスワードマネージャーへインポートする

BitwardenのWeb保管庫（Web Vault）にログインします。
Web保管庫の「ツール」から「データをインポート（Import data）」を開きます（表記は言語設定により異なります）。
ファイル形式でChrome（csv）を選択します（Bitwardenの公式インポートガイド「Import from Chrome, Edge, & Chromium Browsers」を参照してください）。
先ほどエクスポートした .csv ファイルを選択し、「データをインポート」を実行します。
保管庫にすべてのログイン情報が正しく反映されたことを確認します。

6-3. 手順3：エクスポートした平文CSVを削除する

ここが見落とされやすいステップです。

エクスポートされたCSVファイルには、保存していたIDとパスワードが暗号化されていない「平文（プレーンテキスト）」で出力されます。このファイルがPC内に残っていると、マルウェア感染やPCの盗難などの際に第三者に読み取られるおそれがあります。Bitwardenの公式インポートガイドでも、インポート完了後にエクスポート元のファイルを削除するよう案内されています。

# Windowsの通常の削除（ゴミ箱へ移動）だけでは不十分です
# 削除後は、ゴミ箱も空にしてください

インポートの成功を確認したら、ダウンロードしたCSVファイルを右クリックして削除します。
ゴミ箱を開き、「ゴミ箱を空にする」を実行します。

6-4. 手順4：ブラウザ側の自動保存を停止し、専用拡張機能に一本化する

ブラウザの保存機能とパスワードマネージャーが同時に動作していると、ログイン時に二重でポップアップが表示され混乱の原因になります。

ChromeのGoogleパスワードマネージャーの設定で、パスワードの保存や自動入力に関する項目をオフにします（項目名はChromeのバージョンにより異なります）。
Chromeウェブストアから、導入したパスワードマネージャーの公式拡張機能（Bitwarden等）をインストールします。
拡張機能にログインし、ブラウザのツールバーにピン留めして運用を開始します。

7. よくある間違い・トラブル対処（アンチパターン）

7-1. ❌ マスターパスワードをメモ帳やクラウドノートに保存する

マスターパスワードを忘れるのが不安だからといって、クラウド型のメモアプリやPCのテキストファイルに平文でメモするのは避けてください。メモ側のアカウントやPCが侵害された際に、保管庫の鍵が知られてしまうおそれがあります。記録する場合は、前述のアナログ紙保管を徹底してください。

7-2. ❌ エクスポートしたCSVファイルをデスクトップに放置する

データ移行時に作成したCSVファイルを「バックアップ用」としてPC内に残しておくのは避けてください。パスワードマネージャー自身の暗号化バックアップ機能（暗号化JSON等）を利用するのが安全な手法です。

7-3. ❌ パスワードマネージャー自体に二段階認証（2FA）を設定していない

パスワードマネージャーのアカウント自体がマスターパスワード単体で保護されていると、万が一マスターパスワードが推測・漏洩した場合に保管庫全体が破られます。

パスワードマネージャーのログイン設定でも、認証アプリ（Google Authenticator等）やハードウェアセキュリティキー（YubiKey等）を用いた二段階認証（2FA）を有効化しておくことをおすすめします。

8. よくある質問（FAQ）

Q1. サービスの障害や停止に備えて何ができますか？

オフライン時の動作や、データのエクスポート機能はサービスごとに異なります。Bitwardenは公式ドキュメントにオフライン利用のページがあり、料金ページでも暗号化エクスポートが機能として挙げられています。導入前に、利用するサービスの公式ヘルプでオフライン時の動作とエクスポート方法を確認し、必要に応じて暗号化した形でバックアップを取ってください。

Q2. 無料プランと有料プランの違いは何ですか？

Bitwardenの公式料金ページ（2026年11月確認）では、無料プランでも無制限のデバイス・無制限のパスワードに対応しています。Premiumは年額19.80ドル（月額換算1.65ドル）と表示され、内蔵の認証機能（TOTP）、ファイル添付、緊急アクセス、セキュリティレポートなどが追加されます。為替や改定で変わる場合があるため、最新の料金は公式ページで確認してください。1Passwordは無料プランがなく、14日間の無料トライアルがあります（公式料金ページ）。