初期パスワードとは？しょきぱすわーど
初期パスワードとは、機器やアカウントの導入時にあらかじめ設定されている、出荷時・発行時のパスワード。製品ごとに共通の値が取扱説明書や事業者のサイトで公開されていることも多く、変更しないまま運用すると、その値を試すだけで誰でも管理者として入れる状態が続くことになる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
機器は誰でも初期設定できる必要があるため、出荷の時点で決まった値が入っている。社内に閉じていた時代は放置しても実害が出にくかったが、複合機やルータ、カメラがそのままインターネットから到達する構成が増え、初期値のまま公開された機器が探索の主要な標的になった。支援士では、導入時の設定変更を手順として担保できているかが問われる。
具体例
Shodanのような公開機器の検索サービスでは、管理画面が外部から見える機器を条件で絞り込める。支店へ置いた無線LANルータや複合機を初期値のまま運用していると、設定を書き換えられたり、スキャンした書類の転送先を変えられたりする入口になる。
試験での引っ掛け
「個別に発行された強いパスワードなら変更しなくてよい」は誤り。強度ではなく、紙やメールという発行経路に値が残り続けることが問題なので、初回ログイン時の強制変更を仕組みとして入れることが原則の対策になる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）解説で登場
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問11（IPA）
ネットワークカメラなどのIoT機器ではTCP23番ポートへの攻撃が多い理由はどれか。
正解：TCP23番ポートはIoT機器の操作用プロトコルで使用されており、そのプロトコルを用いると、初期パスワードを使った不正ログインが成功し、不正にIoT機器を操作できることが多いから
要点：23番telnetは初期パスワードのまま侵入されやすい
TCP23番はtelnetの標準ポートで、多くのIoT機器が遠隔操作用に開けたまま出荷されてきた。telnetは通信が平文である上、初期のIDとパスワードが変更されないまま運用される機器が多いため、辞書的に少数の組合せを試すだけで侵入できてしまう。Miraiに代表されるボットはこの性質を利用して感染を広げた。対策は不要ポートの閉鎖と初期パスワードの変更である。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問6（IPA）解説で登場
マルウェアMiraiの動作はどれか。
正解：ランダムな宛先IPアドレスを使用してIoT機器などに感染を広げるとともに、C&Cサーバからの指令に従って標的に対してDDoS攻撃を行う。
要点：MiraiはIoT機器を弱い認証で乗っ取りDDoSのボット網を作る
MiraiはIoT機器を標的とするボット型マルウェアで、無作為に生成した宛先へTelnetなどで接続を試み、初期設定のままの認証情報を使って侵入し感染を広げる。感染機器はC&Cサーバの指令を待ち、命令に従って標的へ大量のトラフィックを送るDDoS攻撃に加担する。ソースコードが公開されたため多数の亜種が生まれ、対策としては初期パスワードの変更と不要な管理サービスの停止が基本となる。
出典：令和7年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問7（IPA）解説で登場
マルウェアMiraiの動作はどれか。
正解：ランダムな宛先IPアドレスを使用してIoT機器などに感染を広げるとともに、C&Cサーバからの指令に従って標的に対してDDoS攻撃を行う。
要点：MiraiはIoT機器を乗っ取りC&C指令でDDoSを行うボット
Miraiは、初期パスワードのまま運用されているルータやネットワークカメラなどのIoT機器へtelnet等で不正ログインして感染を広げるボットです。感染機器は無作為に生成した宛先IPアドレスへ探索を続けて感染を拡大させつつ、C&Cサーバからの指令を待ち受け、指示された標的へ一斉にDDoS攻撃を仕掛けます。2016年に大規模なDNSサービス障害を引き起こしたことで知られます。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。