TOOL
暗証番号のバレやすさ診断
誕生日を暗証番号にしていると、財布を落としたときに免許証から当てられやすくなります。研究では、誕生日を知った人が6回試すと約12枚に1枚のカードが当たると推定されています。番号を入れると、推測されやすい形かどうかをその場で判定します。番号は送信も保存もしません。
誕生日・電話番号ともくらべる（入れなくても使えます）
免許証や名刺から知られやすい数字と同じ形になっていないかを調べます。ここに入れたものも保存しません。
番号はこのページの中だけで判定し、どこにも送りません。人前では入れないでください。気になるときは、本物と同じ作り方の別の番号（誕生日なら家族以外の人の誕生日、くり返しなら別の数字のくり返し）で試すと、近い結果になります。
同じ暗証番号を使っているものをタップしてください（番号は入れません）
帰省したときに、親といっしょに5分で見る手順です
- 番号は聞かずに、スマホを渡して親に自分で入れてもらう家族でも、番号は本人だけが知っている形にしておくと、もしものときに疑い合わずに済みます。この画面の「診断」で、親が自分で確かめます。
- 「誕生日・家族の誕生日・電話番号になっていない？」と聞く研究では、日付を暗証番号にした人のうち、自分の誕生日が29%、家族やパートナーの誕生日が26%でした。
- カードに番号を書いたメモを、財布にいっしょに入れていないか見る財布ごと盗まれると、メモがあれば番号を当てる必要もありません。
- いくつものカードやスマホで同じ番号を使っていないか、「使い回し」でタップしてもらう1つ知られると全部開いてしまいます。
- 変えるときは、銀行のATMか窓口で（手順は銀行によって違います）新しい番号は、親だけが覚えていれば十分です。
- 最後にひとこと：「銀行や警察が電話で暗証番号を聞いてきたら詐欺」電話や訪問で暗証番号を聞き、カードを預かろうとするのは、警察が注意を呼びかけている詐欺の手口です。特殊詐欺シミュレーターで、実際の流れを一度見ておくと安心です。
誕生日を暗証番号にすると、どれくらい当てられる？誕生日を知った人が6回試すと、約8.2%のキャッシュカードが当たると推定（財布12個に1個ほど）。
- どんな研究
- ケンブリッジ大学のBonneauらが、パスワードの流出データ（RockYou）とiPhoneの画面ロックの番号から、人が4桁の番号をどう選ぶかをモデルにし、銀行のカード利用者1,177人へのアンケート（Amazon Mechanical Turk、主に米国）と合わせて、キャッシュカードの暗証番号の推測しやすさを推定しました。
- わかったこと（数字）
- 誕生日を知らずに試す場合、3回で約1.4%、6回で約1.9%が当たる。最初に試すべき番号は1234、次が1990〜1986の西暦。
誕生日（推定の例は1983年6月3日）を知っていると、1983・6383・0306・0603・1234・0683の順に試すのが最もよく、6回で約8.2%が当たる。
よく使われる100個を「使えない番号」にすると、6回で当たる割合は約0.2%に下がる。ただし誕生日を知られている場合は約5.6%までしか下がらない。
日付を選んだ人のうち、自分の誕生日29%、家族やパートナーの誕生日26%、記念日25%。カードを2枚以上持つ人の34%が全部同じ番号、34%が銀行の暗証番号を別のものにも使い回していた。財布に誕生日がわかるものを入れている人は99%（415人中）。 - まだわからないこと
- 実際の暗証番号を集めたのではなく、ほかのデータとアンケートから推定した値です。対象は主に米国の人で、2012年の研究です。日本の人が同じように選ぶかは確かめられていません。和暦（昭和・平成など）を使う選び方も、この研究には入っていません。
- 出典
- Bonneau J, Preibusch S, Anderson R. A Birthday Present Every Eleven Wallets? The Security of Customer-Chosen Banking PINs. Financial Cryptography and Data Security 2012, LNCS 7397, pp.25–40. doi:10.1007/978-3-642-32946-3_3
スマホのPINは、4桁より6桁のほうが安全？10回まで試せる場合、当たったのは4桁4.6%・6桁6.5%。6桁にしても安全とは言えなかった。
- どんな研究
- ルール大学ボーフムなどのMarkertらが、スマホの画面ロック用だと伝えたうえで1,220人（Amazon Mechanical Turk）に4桁か6桁のPINを選んでもらい、推測のしやすさと、iPhoneが使わせない番号のリスト（ブロックリスト）の効果を調べました。
- わかったこと（数字）
- 10回まで試せる場合（iPhoneの上限）、当たったのは4桁で4.6%、6桁で6.5%。30回では7.6%と8.9%、100回では16.2%と13.3%。最初の40回くらいまでは6桁のほうが当たりやすかった。
6桁で最も多い123456は、2番目に多い番号の21倍も選ばれていた。
iPhoneのブロックリストは4桁で274個、6桁で2,910個。この大きさでは、試せる回数が少ない相手にはほとんど効果がなく、番号全体の10%ほどを使えなくすると、使いやすさと安全のバランスがよいと考えられる。 - まだわからないこと
- 実験のために選んだ番号で、本当に使っている番号ではありません。参加者はオンラインで集めた人で、日本の人は対象ではありません。
- 出典
- Markert P, Bailey DV, Golla M, Dürmuth M, Aviv AJ. This PIN Can Be Easily Guessed: Analyzing the Security of Smartphone Unlock PINs. IEEE Symposium on Security and Privacy 2020. doi:10.1109/SP40000.2020.00100（arXiv版）
結果の読み方
- とても危ない：1234・0000・誕生日など、推測する人が最初の数回で試す番号です。すぐに変えてください。
- 危ない：西暦・月日・くり返し・キーパッドの縦一列など、推測する人が先に試す形です。
- 少し注意：番号は当てにくいものの、指の動きが図形になり、後ろから見られると覚えられやすい形です。
- 目立った弱点なし：調べた形には当たりませんでした。誕生日や電話番号を入れていない場合は、それらと同じでないかも確かめてください。
「最初の数回で試される」などの目安は、研究で示された試す順番（1234が最初、誕生日を知っていれば西暦・月日などの誕生日の形が最初の6回）をもとにした目安です。判定の区切りはSEADICEが決めました。番号の安全をこのツールが保証するものではありません。
根拠と出典
- 「よく使われる100個」は、Bonneauらが「使えない番号にすべき」とした100個（0000、0101〜0103、1212、1234、2580、1956〜2015 など）をそのまま使っています。
- 誕生日の形は、研究で示された試し方（西暦・月日・日月・月+年など）に、日本でよく使う和暦（昭和・平成・令和の年）を足して調べます。和暦はSEADICEが足したもので、研究では調べられていません。
- キーパッドの形は、数字の並び（1 2 3 / 4 5 6 / 7 8 9 / 0）で縦・横一列、隣どうしをなぞる、四隅だけ、を調べます。
出典：Bonneau ら（2012）doi:10.1007/978-3-642-32946-3_3／Markert ら（2020）doi:10.1109/SP40000.2020.00100。数字と限界は上の「研究 2本」に省略せずに載せています。
よくある質問
- 暗証番号を誕生日にすると、どのくらい危ないですか？
- Bonneauらの研究では、免許証などで誕生日を知った人が6回試すと約8.2%のカードで当たると推定されています（財布12個に1個ほど）。誕生日を知らない場合の約1.9%の4倍ほどです。家族の誕生日や記念日も同じように避けてください。
- いちばん推測されやすい暗証番号は何ですか？
- 4桁では1234、6桁では123456です。1234の次に試されるのは1990〜1986などの西暦でした。6桁の123456は、2番目に多い番号の21倍も選ばれていました。
- 4桁より6桁のほうが安全ですか？
- 形しだいです。10回まで試せる場合、当たったのは4桁で4.6%、6桁で6.5%でした。6桁にするなら、くり返しや年月日でない番号にしてください。
- 入れた暗証番号はどこかに送られますか？
- 送られません。判定はブラウザの中だけで行い、保存もしません。気になる場合は、本物と同じ作り方の別の番号で試すと、近い判定になります。