解説 · セキュリティの基本
パスワードマネージャーは安全？
オンラインの暮らし全部の鍵を、一つの道具に預ける前に問うべき、まっとうな質問です。答えはこうです。信頼できるものなら、いま多くの人がしていることよりはるかに安全です。ただし LastPass の侵害は、どれを選ぶかが大切だと示しました。仕組みと、気をつけるべき点を見ていきます。
最終更新：July 10, 2026 · Privacy Intact チームによる執筆。評価方法もご覧ください。
パスワードマネージャーが実際に守ってくれる仕組み
マネージャーはすべてのログイン情報を暗号化された「保管庫」に収めます。肝心なのはゼロ知識暗号化です。保管庫はあなた自身の端末で、マスターパスワードによって施錠・解錠され、運営会社が持つのは常にスクランブルされた状態だけ。会社はパスワードを読めず、そしてここが肝心ですが、サーバーに侵入した攻撃者にも読めません。盗み出せるのは、マスターパスワードがなければ判読不能なものだからです。
セキュリティの仕組みは、一文で言えばこうです。会社はデータを保管するが、決して中身は見られない。これだけ多くを預かっても、良いマネージャーが信頼できるのはそのためです。
「でも、一つの保管庫って単一障害点では？」
最もよくある不安ですが、リスクを逆に捉えています。ほぼ全員にとって本当の危険は、保管庫が解読されることではなく、パスワードの使い回しです。同じパスワードを10か所で使えば、たった1回の漏えいが、攻撃者にその10個すべてを渡してしまいます。実際、多くの人はそうやって乗っ取られます。
マネージャーの仕事はまさに、その使い回しをなくすことです。アカウントごとに、覚えなくていい長くてランダムなパスワードを割り当てます。たしかにリスクは一つの保管庫に集まりますが、それはゼロ知識暗号化のかかった保管庫であり、強いマスターパスワードがあれば、置き換える前の弱くて繰り返されたパスワードよりはるかに解読しにくいものです。差し引きは、圧倒的に利用者に有利です。
LastPass の教訓：どのマネージャーかが効く
ここで一つ注意点があります。長く定番の一つだった LastPass は、2022〜2023年に大規模な侵害を受け、攻撃者が2,500万人を超えるユーザーのパスワード保管庫の暗号化されたコピーを盗み出しました。さらに、古い保管庫の多くは脆弱なパスワード強化設定を使い、ウェブサイトのアドレスを暗号化せずに保存していたため、セキュリティ研究者はその後、盗まれたデータを大規模な暗号資産の窃取と結び付けています。暗号化のおかげで、強いマスターパスワードはおおむね持ちこたえましたが、弱いものは総当たり攻撃にさらされ、その規模の大きさは警鐘となりました。
受け取るべきは、すべてのマネージャーを疑えということではなく、マネージャーの設計と実績は、そのセキュリティの一部だということです。堅実な暗号化の初期設定を使い、ユーザーの保管庫を攻撃者に渡していないものを選びましょう。当サイトの選定はどれもその基準をクリアしていて、LastPass は当サイトがすすめないものです。
現実のリスク（と、その潰し方）
- 弱いマスターパスワード。すべてはそこにかかっています。ランダムな単語をいくつかつないだ長いパスフレーズを、マネージャー専用に使い、メールやメモには決して書かないこと。
- 二要素がない。マネージャーの二要素認証をオンにして、マスターパスワードが漏れても、それだけでは保管庫を開けられないようにしましょう。
- フィッシング。マネージャーは偽ドメインでは自動入力しません（これは静かな強みです）。ただし、それらしい偽ページに自分でマスターパスワードを打ち込めば、漏れてしまいます。「今すぐログイン」と急かすメッセージほど、落ち着いて。
- 感染した端末。すでにマルウェアがキー入力を見張っているなら、マネージャーでも守れません。だからこそ、基本的な端末の衛生管理とアップデートは、いまも大切です。
結論
信頼できるパスワードマネージャーは、セキュリティに対して最も効果が大きく、最も手間の少ないアップグレードの一つです。しかもお金を払う必要はありません。本当にやるべき宿題は、信頼できるものを選ぶことと、マスターパスワードを守ることだけです。
FAQ
パスワードマネージャーの安全性、よくある質問
パスワードマネージャーは使っても安全？
はい。大多数の人にとって、信頼できるパスワードマネージャーは、パスワードを使い回したり覚えたりするより、はるかに安全です。ゼロ知識暗号化を使うので、運営会社自身も保管庫を読めず、サーバーを侵害した攻撃者にも読めません。マスターパスワードがなければ、データは無意味です。慎重に選ぶべきは「どれを使うか」で、その設計と実績が判断材料になります。
パスワードを1か所にまとめるのは危なくない？
そう感じますが、実は逆です。ほとんどの人にとって現実的な脅威は、保管庫が解読されることではなく、パスワードの使い回しです。1つ漏れたパスワードが10個のアカウントを開けてしまう、というやつです。マネージャーは、覚えなくていい強くて固有のパスワードをアカウントごとに与えることで、まさにそれを解決します。ゼロ知識暗号化と強いマスターパスワードがあれば、その「ひとつのカゴ」は、とてもしっかり施錠されたカゴになります。
LastPass では何が起きたの？
LastPass は、かつては定番のおすすめでしたが、2022〜2023年に大規模な侵害を受け、攻撃者が2,500万人を超えるユーザーのパスワード保管庫の暗号化されたコピーを盗み出しました。さらに、古い保管庫の多くは脆弱なパスワード強化設定を使い、ウェブサイトのアドレスを暗号化せずに保存していたため、セキュリティ研究者はその後、盗まれたデータを大規模な暗号資産の窃取と結び付けています。教訓は「パスワードマネージャーは危険だ」ではありません。設計と実績が大切だということ、そしてユーザーの保管庫を流出させていないマネージャーを選ぶべきだということです。流出させていないものは、たくさんあります。
いちばん大事なポイントを一つ挙げるなら？
マスターパスワードです。すべてを開けるたった一つの鍵なので、長く、固有で、ほかのどこでも使い回さないものでなければなりません。ランダムな単語をいくつかつないだパスフレーズがよく効きます。これにマネージャーの二要素認証を組み合わせれば、本気の攻撃者でも締め出せます。