4桁の暗証番号、実は何通りで突破される？
iPhoneもAndroidも「待たせる仕組み」で守られている。けれど本当の弱点は、桁数じゃないところにあります。
📋 目次
「1234」「0000」「1111」――あなたのスマホの暗証番号は、もしかしてこの中に入っていませんか？ 4桁の暗証番号は理論上、たった10,000通りしかありません。「そんなに少ないなら一瞬で見破られるのでは」と不安になった人も、逆に「まあ普通は大丈夫でしょ」と油断している人も、実はどちらも半分だけ正解です。この記事では、画面ロックの「理論上の弱さ」と「実際の強さ」、そして本当に注意すべき弱点がどこにあるのかを、数字の根拠つきでやさしく解説します。読み終える頃には、自分のスマホの暗証番号を見直したくなるはずです。
結論を先に言うと、画面ロックの安全性は「桁数」だけで決まるものではありません。端末の中には、あなたが気づかないところで何重もの防御が組み込まれています。一方で、その防御をすり抜けてしまう一番の原因は、実は皮肉にも私たち自身の「番号の選び方」にあります。順番に見ていきましょう。
この記事で紹介する解析時間や手法は、法執行機関などが用いる専門機材に関する公開情報をもとにした一般的な解説です。他人のスマートフォンを本人の同意なくロック解除しようとする行為は、不正アクセス禁止法などに抵触するおそれがあります。あくまで「自分の端末の設定を見直すための知識」としてお読みください。
🔢 そもそも4桁PIN、理論上は何通り？
「たった1万通り」は本当に弱いのか、まず数字で確認します。
え、そんなに少ないの？
スマホの画面ロックでおなじみの4桁PINコードは、0000から9999までの10,000通りしかありません。6桁にすれば1,000,000通り、Androidのパターンロック（3×3の9つの点をなぞる方式）は理論上は約39万通りとされていますが、実際に人が選ぶパターンはもっと偏っていることが知られています（詳しくは後述します）。
数字だけ見ると心もとなく感じるかもしれません。試しに、桁数を増やしたときに組み合わせがどれだけ増えるかを図にしてみました。
📊 桁数が1つ増えるだけで、組み合わせは10倍に
豆知識：パターンロックは「見た目ほど」多くない
Androidのパターンロックは理論上約39万通りですが、実際には「左上から書き始める」「短い距離で完結させる」など人間の癖が出やすく、現実に使われるパターンの多様性はPINほど広くないと指摘されています。桁数や種類の多さだけで安心はできません。
ここまでは単純な「組み合わせの数」の話です。では、この10,000通りを総当たりで試されたら、スマホは本当に一瞬でロック解除されてしまうのでしょうか。答えは「NO」です。次の章で、その理由を見ていきましょう。
⏳ なぜ一瞬で破られない？「待たせる」仕組み
スマホは、あなたが思っている以上に「待たせる」ことが得意です。
もし1秒に何百回も試せたら、10,000通りは一瞬
もしパソコンでパスワードファイルを解析するときのように、1秒間に何百万回も試行できるなら、4桁PINの10,000通りなど一瞬で終わってしまいます。しかし実際のiPhone・Androidでは、そんなことは起きません。理由は、端末側が意図的に「試行のたびに待たせる」仕組みを持っているからです。
iPhoneの場合、パスコードの照合は「Secure Enclave」と呼ばれる専用の暗号処理チップが担当しています。入力されたパスコードは端末固有のID（UID）と組み合わせてから照合されるため、原理的にこの処理は端末そのものの上でしか実行できません。そのうえで、間違えるたびに次のような遅延がハードウェアレベルでかけられます。
⏱️ iPhoneのパスコード試行制限（Apple公式セキュリティガイドより）
1〜5回目の失敗
待ち時間なし。すぐに再入力できます。
6回目の失敗
1分間、入力を受け付けなくなります。
7回目の失敗
5分間ロックされます。
8回目の失敗
15分間ロックされます。
9回目の失敗
1時間ロックされます。
10回目の失敗
3時間ロックされ、以降は端末の初期化が必要になります。「データを消去」がオンの場合は、この時点で全データが消去されます。
ポイントは、この設計が「1万通り試すのに何年かかるか」という発想そのものを無意味にしていることです。総当たりは10回失敗した時点でほぼ詰んでしまう＝そもそも最後まで試せない仕組みになっているのです。Androidでも考え方は同じで、数回の失敗でGoogleアカウントによる本人確認に切り替わったり、指紋認証であれば5〜10回程度の失敗で一時的にロックされたりします（挙動は機種やAndroidのバージョンによって異なります）。
「データを消去」設定は強力な保険
iPhoneの「設定」→「Face IDとパスコード」→「データを消去」をオンにしておくと、10回連続で失敗した端末は自動的に初期化されます。第三者による総当たりをほぼ無意味にできる一方、家族や子どもが誤って何度も入力ミスをする環境では注意が必要です。
余談ですが、多くの企業や政府機関が業務用スマホに6桁以上のパスコードや英数字混在を義務付けているのは、こうした試行回数制限の仕組みを差し引いてもなお、理論上の組み合わせ数そのものが多いほど安全マージンが大きくなるためです。個人のスマホでも、同じ考え方を取り入れておいて損はありません。
ここまでで「理論上は少ない組み合わせでも、正規の手順ではほぼ突破できない」ことがわかりました。では、ニュースなどで見かける「スマホを解析した」という話は、いったいどういう仕組みなのでしょうか。
🧰 それでも突破される現実：専門機器の実力
「絶対安全」ではない例外について、正確に知っておきましょう。
法執行機関が使う「フォレンジックツール」の存在
GrayKeyという名前を聞いたことがあるかもしれません。Grayshift社が開発し、警察や捜査機関に販売されている端末解析用の専用機器です。こうしたツールは、公開されていないOSの脆弱性を利用して、通常なら働くはずの遅延やロックアウトの仕組みを回避し、ハードウェアレベルで高速に試行を繰り返すとされています。
報道されている情報によれば、こうした専用機器は4桁PINであれば数分程度で解析できるケースがある一方、桁数を増やしたり英数字を混在させたパスコードにするほど所要時間は大きく伸び、6文字以上の英数字混在パスコードは現行のツールでは事実上解読が困難とも報じられています。つまり「桁数を増やす・数字だけでなく文字も混ぜる」という基本的な対策は、こうした専門的な攻撃に対しても依然として有効だということです。
この種のツールは非常に高価で、主に法執行機関が令状に基づいて使用するものです。一般的な個人が日常的に警戒すべき脅威ではありません。ただし、端末を紛失・盗難された場合に、悪意ある第三者がこうした技術や類似の解析サービスを利用する可能性がゼロとは言い切れません。「自分には関係ない」と切り捨てず、桁数を伸ばしておく価値は十分にあります。
Apple側もこうした解析ツールへの対抗策を続けています。近年のiOSでは、端末が一定時間（報告によれば72時間程度）操作されないと自動的に再起動し、Secure Enclaveが保護状態にリセットされる仕組みが導入されました。再起動直後の端末は生体認証が一時的に使えずパスコード入力が必須になるなど、解析側にとって不利な状態がつくられています。攻撃側と防御側のいたちごっこは、今もアップデートのたびに続いているのです。
なお、フォレンジック業界にはGrayKeyのほかにCellebriteという大手企業のツールも存在し、両者は捜査機関向けに競い合っています。報道によれば、最新のOSバージョンに対しては解析の成功率が下がる、あるいは限定的になるケースも増えており、「専門機器だから何でも解析できる」というわけでは必ずしもありません。OSのアップデートを後回しにしないことも、間接的なセキュリティ対策の一つといえます。
🎯 最大の弱点は番号でなく「選び方」
機械の速さより先に、人間の癖が突破口になっています。
実は、機械よりも先に破られる原因がある
ここまで見てきた専門機器は、あくまで「令状を持った捜査機関」レベルの話でした。一般的な生活の中でPINが破られるとしたら、その原因の多くは総当たりではなく「推測」です。オーストラリア放送協会（ABC）が漏えいパスワード情報サイト「Have I Been Pwned」に蓄積された約2,900万件のデータを分析したところ、驚くべき偏りが見つかりました。
📈 4桁PINの人気ランキング（Have I Been Pwnedデータ分析より）
| 順位 | PIN | 全体に占める割合 | |
|---|---|---|---|
| 1位 | 1234 | 10人に約1人が使用 | |
| 2位 | 1111 | ぞろ目の代表格 | |
| 3位 | 0000 | 初期設定のまま、も多い |
※ Have I Been Pwnedに蓄積された漏えいデータをもとにした分析結果です。上位数十パターンだけで全体のかなりの割合を占めるとされています。
つまり「1234」を試すだけで、10,000通り総当たりする必要すらなく、約10人に1人のスマホが開いてしまう計算になります。危険なPINには、いくつかの典型的な傾向があります。
連続数字型
「1234」「4321」「2345」のように、テンキーを順になぞるだけのパターン。最も推測されやすい代表例です。
ぞろ目型
「0000」「1111」「7777」のように同じ数字を繰り返すもの。覚えやすさと引き換えに真っ先に狙われます。
生年月日・記念日型
「0101」のような日付や、「19XX」「20XX」の年号。持ち主を知る人物には特に推測されやすい組み合わせです。
テンキー配置型
「2580」（テンキーの縦一列）のように、押しやすさから多くの人が独立に選んでしまう配置依存のパターンです。
もう一つ、機械の力を借りない「アナログな盗み見」のリスクも見逃せません。2010年にペンシルベニア大学の研究チームが発表した論文では、タッチパネルに残る指の脂の跡（スマッジ）を斜めからの光で撮影・解析するだけで、90%以上の確率でパターンやパスコードを再現できたと報告されています。特にパターンロックは指の軌跡がそのまま画面に残りやすく、この手法に弱いとされています。対策としては、定期的に画面の指紋汚れを拭き取る、指紋が目立ちにくい保護フィルムを使う、といった単純な工夫も一定の効果があるとされています。
🔺 結局、一番現実的な脅威はどれ？
※ 下にいくほど「今日から自分の身に起こりうる」現実的なリスク、上にいくほど「起こる頻度は低いが対策の限界がある」特殊なリスクです。多くの人にとって本当に備えるべきは①と②です。
肩越しに見られる「ショルダーサーフィン」にも注意
電車やカフェでPINを入力する瞬間を、後ろや横から覗き見されるケースも古典的ながら現役の脅威です。紛失・盗難時の被害シナリオについては、姉妹記事「スマホを落としたら全部見られる？覗き見＋紛失の最悪シナリオと完全対策」でさらに詳しく解説しています。
⚖️ PIN・パターン・指紋・顔、結局どれが安全？
それぞれの得意・不得意を一覧で比較します。
📊 認証方式ごとの強度比較
| 認証方式 | 総当たり耐性 | 盗み見耐性 | なりすまし耐性 | 利便性 |
|---|---|---|---|---|
| 4桁PIN | ||||
| 6桁PIN | ||||
| パターンロック | ||||
| 指紋認証 | ||||
| 顔認証 |
※ スコアは本記事で紹介した各種調査・報告をもとにした執筆時点の目安です。端末の機種やセンサー性能によって実際の強度は変わります。
指紋認証・顔認証は総合的に高スコアですが、弱点がないわけではありません。顔認証は精巧な写真やマスクで突破された事例が過去に報告されており（近年のiPhone・多くのAndroid端末は赤外線による立体的な深度センサーで対策済みですが、簡易的なカメラのみの顔認証機能は依然として弱いとされています）、指紋認証も高精細な写真から型を再現する研究が存在します。そのため生体認証を使う場合でも「これさえ設定すれば万全」と過信せず、次の章のチェックリストに沿ってバックアップのパスコードもあわせて見直しておくことをおすすめします。
現実的な最適解は「生体認証＋強固なバックアップパスコード」
多くのスマホがそうなっているように、普段は指紋や顔で素早くロック解除し、再起動時や生体認証が使えないときのバックアップとして「推測されにくい」パスコードを設定しておくのが、利便性と安全性を両立する現実的な組み合わせです。
✅ 今日からできる画面ロック強化チェックリスト
5分あれば全部見直せます。
🔢 桁数を見直す
- 4桁のままなら → 6桁以上に変更
- 数字だけで不安なら → 英数字混在のカスタムパスコード
🚫 危険な番号を避ける
- 「1234」「0000」などぞろ目・連番 → 今すぐ変更
- 誕生日・記念日 → 知人に推測されるため避ける
👆 生体認証を活用
- 指紋・顔認証を有効化 → 人前でのPIN入力回数を減らす
- バックアップのパスコードは推測されにくいものに
🧯 万一に備える
- 「データを消去」設定を検討 → 総当たりを無力化
- 画面ロックのタイムアウトを短く設定
❓ 6桁と英数字混在のパスコード、どちらがいい？
可能であれば英数字混在のカスタムパスコードがより安全です。ただし入力の手間が増えるため、まずは「6桁化」と「危険なパターンを避ける」の2点から始めるだけでも大きな効果があります。
❓ パターンロックは本当に危険？
スマッジ攻撃（指の跡からの推測）に弱いという研究結果があるため、覗き見のリスクが高い環境（電車内など）で頻繁に使う人は、数字のPINや生体認証への切り替えを検討する価値があります。
❓ 生体認証さえ設定すればPINはもう気にしなくていい？
いいえ。生体認証が使えない場面（再起動直後・指が濡れている時など）では必ずパスコード入力に切り替わるため、バックアップのパスコード自体を強くしておくことが引き続き重要です。
❓ スマホのPINとキャッシュカードの暗証番号、同じ番号にしてもいい？
おすすめしません。スマホには連絡先や写真、キャッシュレス決済アプリなど多くの個人情報が集まっています。銀行の暗証番号と同じにしてしまうと、片方が推測・流出したときにもう片方まで危険にさらされます。考え方は「パスワードの使い回し」と同じで、サービスごとに別の番号を使うのが基本です。
①6桁以上、またはカスタムパスコードに変更した ②「1234」などの推測されやすい番号を使っていないか確認した ③生体認証を有効化した ④「データを消去」設定を確認した――この4つができていれば、画面ロックの実力は大きく底上げされています。
パスコードの話が出たところで、実は「使い回し」も画面ロックとは別の角度から危険な習慣です。ネットサービスのパスワードを使い回している人がどれくらいのスピードで突破されてしまうのか、詳しくは姉妹記事「パスワード使い回しの危険性と対策【2026最新】10桁でも1秒で破られる理由とは？」で解説しています。また、パスコードに加えてアカウント側の防御を固めたい方は「二段階認証・パスキーの設定方法を解説」も参考になります。iPhoneユーザーの方は「iPhoneのセキュリティ設定は完璧ですか？」で他の設定項目もあわせて見直せます。
コメント