JPCERTコーディネーションセンター（JPCERT/CC）が、ウェブサービスで使用するパスワードを使い回すことの危険性を啓発するキャンペーン「STOP! パスワード使い回し! キャンペーン 2019」やっています。
単一のIDとパスワードの組み合わせを複数のサイトで使いまわしている場合、管理がザルなサイトからうっかり情報をお漏らしされると、パスワードリスト攻撃により、根こそぎ被害を受けるリスクがあります。
パスワードリスト攻撃とは、ID・パスワードの組み合わせのリストを、管理がザルなサイトから攻撃者が入手し、その組み合わせでログインできるかどうか複数のサイトで試みる手口。
このパスワードリスト攻撃による被害事例は、ユニクロ（19年4月）、クロネコヤマト（19年7月）などがある。
念のため申し上げておくと、ユニクロやクロネコヤマトはパスワードリスト攻撃による「被害者」です。
諸悪の根源は、ID・パスワード情報をお漏らししたサイトで、どこのどいつだという話なのだが、管理がザルなだけにパスワードの保護もしていなければ、不正アクセスにも気付けないダメな企業なので追いようがない。
唯一追跡する方法としては、自身が利用するサイトごとに異なるパスワードを設定することである。
自分は利用するサイトごとに異なるパスワードを設定している。
ある日、「あなたのアカウントをハックした」旨の脅迫メールが届いた。文中にはその証拠としてパスワードが記載されていたのだが、この情報のおかげで、お漏らししたサイトを特定することができた。（当事者はお漏らしの事実を受け入れないのだが・・・・）
こんなメリットもあるので、パスワードの使いまわしはやめましょう。
JPCERT/CCでは「安全なパスワードの条件」として、以下の設定方法を推奨している。
■パスワードの文字列は、長めにする（12文字以上を推奨）
■インターネットサービスで利用できるさまざまな文字種（大小英字、数字、記号）を組み合わせると、より強固になる
■推測されやすい単語、生年月日、数字、キーボードの配列順などの単純な文字の並びやログインIDは避ける
■他のサービスで使用しているパスワードは使用しない