パスワードにカンマを入れると流出しても安全？｜Xで883万回表示 Grokも肯定した小ネタは効果なし効くのはパスキー

公開日： 2026.11.12

Table of Contents

2026年11月12日にXに投稿された「パスワードには必ずコンマ（カンマ、「,」）を入れよう。いつか流出しても、CSVが壊れるから」というポストが、883万回以上表示されています（11月12日時点）。返信でX（旧Twitter）のAI「Grok」も「Sim（はい）」と認めたため、信じた人もいそうです。結論から言うと、パスワードにコンマを入れても、流出への対策としての効果はほぼありません。本当に効くのは、サイトごとに違うパスワードを使うことと、パスキーや二段階認証に切り替えることです。

Sempre coloque uma vírgula (,) em suas senhas.

Se algum dia acabar em um vazamento, quebrará o CSV.

Confima @grok?

— William Alves | Fala Will (@lavemowill) 2026年11月12日

ポストの中身 Grokは「引用符を使わないCSVなら列がずれる」と肯定

ポストはポルトガル語で書かれていて、「パスワードにはいつもコンマを入れよう。流出したらCSVが壊れる。そうだよね、Grok？」という内容です。

CSVは、表のデータを「,」で区切って並べた文字だけのファイルです。たとえば「メールアドレス,パスワード」のように1行に書くので、パスワードの中にコンマがあると、そこで列が分かれたと読まれてしまう、という理屈です。

これに対してGrokは、「CSVが欄を引用符で囲んでいなければ、パスワードのコンマで列がずれてファイルが乱れる。流出データを読み込もうとする人を邪魔する古典的なやり方だ」と答えました。この返信も121万回以上表示されています（11月12日時点）。

理屈の一部は合っています。ただ、流出したときに自分のアカウントが守られるかというと、話は別です。理由は3つあります。

理由1：まともなサービスはパスワードを元に戻せない形で保存

きちんとしたサービスは、パスワードをそのまま保存せず、「ハッシュ」と呼ばれる元に戻せない文字列に変えて保存しています。ログインのときは、入力されたパスワードを同じ方法で変換して、保存してある文字列と同じかどうかを比べます。

この場合、流出するのはハッシュのほうです。ハッシュはコンマを含まない決まった文字の並びなので、パスワードにコンマを入れていても、流出したファイルにコンマは出てきません。コンマが意味を持つのは、パスワードを平文のまま保存している、管理の甘いサービスから流出したときに限られます。なお、ウイルスがブラウザーに保存されたパスワードを盗む場合は平文のまま抜かれますが、これもコンマでは防げません。

理由2：コンマを含む欄は「”」で囲むのがCSVの決まり

CSVの書き方を定めたRFC 4180では、コンマや改行を含む欄は「”」で囲むことになっています。「”abc,123″」のように囲めば、中のコンマは区切りとして扱われません。

表計算ソフトやプログラムの多くは、この決まりどおりに書き出し、読み込みます。列がずれるのは、決まりを守らない雑な作り方をした場合だけです。決まりを守らない書き出しがあったとしても、それはソフト側の不具合として直されるもので、守りに使えるものではありません。

理由3：列のずれはその1行で終わり数行のプログラムで直せる

仮に、平文のパスワードが雑なCSVで流出したとします。それでも、コンマのせいで崩れるのは、そのパスワードの1行だけです。ほかの何百万行は普通に読めます。

崩れた行も、列の数が多い行だけを拾って、余ったぶんをパスワードの列にまとめれば元に戻せます。攻撃する側にとっては、数行のプログラムで直せる程度の手間です。CSVが壊れることを当てにして、自分のアカウントを守ることはできません。

そもそも、流出するデータはCSVとは限りません。データベースをまるごと書き出したものや、JSONなど別の形式で出回ることもあります。

同じネタは、10月4日にも英語のポストで広まっていました。ドイツのIT系サイト「GIGA」は10月7日にそれを取り上げて、「すぐに忘れるべき自称セキュリティ術」と紹介しています。

記号が1文字増える効果はあるただしコンマでなくても同じ

コンマを入れる意味がまったくないわけではありません。記号を1文字足せば、そのぶん総当たりで当てるのに必要な組み合わせは増えます。ただ、それは「!」や「#」でも同じで、コンマである必要はありません。

また、サイトによってはパスワードにコンマを使えないことがあります。使えない記号を入れようとして登録でつまずくくらいなら、文字数を増やすほうが確実です。

本当に効く対策は、使い回しをやめることと、パスキー・二段階認証

流出で実際に被害が広がるのは、同じパスワードをいくつものサイトで使い回しているときです。1つのサイトから流出したメールアドレスとパスワードの組み合わせを、ほかのサイトで片っ端から試す「リスト型攻撃」が使われるからです。

・サイトごとに違うパスワードにする。覚えきれないので、iPhoneの「パスワード」アプリなどのパスワードマネージャーに作らせて、保存させる
・記号を混ぜることより、長さを優先する
・パスキーに対応したサイトでは、パスキーに切り替える
・パスキーがないサイトでは、二段階認証（ワンタイムコードや認証アプリ）を有効にする

米国立標準技術研究所（NIST）が改訂したパスワードの指針（SP 800-63B-4）も、「大文字・数字・記号を混ぜる」といった決まりを課すことをやめるよう求めています。そのうえで、少なくとも64文字までの長いパスワードを受け付けるよう求めています。複雑にするより長くするほうが、覚えやすく、破られにくいという考え方です。

パスキーは、パスワードの代わりに、スマートフォンやパソコンの顔認証・指紋認証・画面ロックのPINでログインするしくみです。サイト側にはパスワードにあたる秘密の情報が保存されないので、サイトから流出しても、そこからログインされることはありません。偽のサイトでは使えないので、フィッシング詐欺にも強い方法です。

コンマの話は、流出に気をつけようというきっかけとしては悪くないネタです。AIがそれらしく認めても、そのまま信じずに、自分のパスワードが使い回しになっていないか見直すほうが確実な守りになります。

情報流出があったときの相談先や、ほかのセキュリティの記事は、下の関連記事からどうぞ。

Source: William Alves（@lavemowill）のポスト／GIGA／RFC 4180／NIST SP 800-63B