NordPass vs LastPass 徹底比較【2026年版】── LastPass侵害から乗り換えるべきか？

TL;DR

• LastPassは2022年に深刻なデータ侵害を起こし、暗号化済みボルトデータが流出。 弱いマスターパスワードを使っていたユーザーは現在もリスクにさらされている可能性がある。
• NordPassはXChaCha20暗号化＋ゼロ知識設計で、2026年現在もセキュリティ侵害の報告はない。 個人プランは月額約$1.99（年払い）から利用可能。
• LastPassからNordPassへの移行は30分以内に完了できる。 CSVエクスポート→インポートの手順を本記事で解説する。

イントロダクション

「パスワードマネージャーを使っているから安全」──そう思っていたLastPassユーザーが2022年に直面した現実は、その前提を根底から覆すものだった。攻撃者はLastPassの開発者端末を侵害し、最終的にユーザーの暗号化されたボルトデータを盗み出した。「暗号化されているから大丈夫」という説明もあったが、セキュリティ専門家の多くは強く乗り換えを勧めた。

本記事はLastPassのセキュリティ事故を知っており、NordPassへの乗り換えを検討している個人・中小企業のIT担当者に向けた、2択に絞った判断フレームワークを提供する。NordPass単体のレビューはこちら、複数ツールとの総合比較はパスワードマネージャー比較2026年版を参照してほしい。

LastPass 2022年セキュリティ事故の概要と現状

事故の経緯

2022年8月、LastPassは開発者のラップトップ侵害を最初に公表した。この時点では「ソースコードの一部が流出したが、ユーザーデータへのアクセスはない」とされていた。しかし2022年11月、関連するサードパーティクラウドストレージへの侵害が発覚。同年12月の最終報告では以下が明らかになった。

• 暗号化されたボルトデータ（パスワード含む）が盗まれた
• URLや一部のメタデータは暗号化されていなかった
• MFAシード・APIキーなどのデータも影響を受けた

現在のリスク評価

侵害から3年以上が経過した2026年時点でも、以下のリスクは残存する。

1. マスターパスワードが弱い場合、ブルートフォースによる復号リスク ── LastPassの当時の公式デフォルトイテレーション数は100,100回だったが、過去に設定を更新していないアカウントでは5,000回以下の古い値が残っており、推奨値（310,000以上）を大幅に下回るユーザーが多かったと報告されている。
2. 盗まれたデータは攻撃者が保持し続ける ── 復号を後日試みる「offline cracking」の対象になり得る。
3. 流出URLから標的型フィッシングへの悪用 ── どのサービスにアカウントを持つかが判明している。

LastPassは2023年以降、インフラ刷新・マスターパスワード最低12文字の強制・PBKDF2イテレーション数を600,000回へ引き上げなど主要なセキュリティ改善を実施しており、現在の製品として再評価する余地はある。しかし、一度侵害されたという事実は変えられない。信頼性を最優先するならば乗り換えが合理的な選択だ。

機能比較表

暗号化方式の補足

LastPassが採用するAES-256は業界標準として十分に堅牢だが、NordPassが採用するXChaCha20はより新しいアルゴリズムで、実装上の落とし穴が少なく高速である点が特徴だ。実際の侵害リスクはアルゴリズムの強度よりも実装・運用の問題に起因することが多く、その点でNordPassは侵害履歴がないという事実が重要な評価軸になる。

NordPassの強み・弱み

強み

1. XChaCha20による先進的な暗号化 ── Google等が推進する次世代対称暗号。AES-256と同等以上のセキュリティを、より効率的に提供する。
2. 侵害履歴ゼロ（2026年3月現在） ── NordVPNグループ傘下で培われたセキュリティ文化。ゼロ知識を徹底している。
3. Cure53による独立監査 ── 信頼性の高いセキュリティ監査機関による外部検証を実施済み（2020年コンシューマー版・2021年Business版）。最新の監査レポートはnordpass.com/blog/nordpass-business-independent-security-audit/で公開されている。
4. UI/UXのシンプルさ ── 非技術者でも迷わず使えるクリーンなインターフェース。実務では「新入社員への展開が容易」という声が多い。
5. パスキー対応 ── パスワードレス認証への移行を見据えた対応が完了している。
6. EU GDPR準拠 ── リトアニア法人としてGDPRの厳格な基準に従う。日本企業のグローバル展開にも適合しやすい。

弱み

1. ビジネス向け高度機能がLastPassより薄い ── Active Directory連携やSCIMプロビジョニングはNordPass EnterpriseプランでAzure AD/Entra ID・Okta経由のSSO・SCIMが利用可能だが、OIDCアプリとSCIMの併用に技術的な制約があるなど、LastPass Enterpriseに比べ一部機能が発展途上な部分がある。
2. サードパーティ統合の数 ── LastPassはSSOプロバイダとの統合数が多い。NordPassは主要なIdP（Azure AD・Okta等）に対応しているが、統合実績の数ではLastPassを下回る（最新情報は公式サイトでご確認ください）。
3. 無料プランは1デバイス制限 ── 複数デバイス利用は有料プランが必要。

LastPassの強み・弱み（現状）

強み

1. 成熟したエンタープライズ機能 ── SCIM、Active Directory連携、詳細な管理ダッシュボードなど、大規模展開に必要な機能が揃っている。
2. 豊富なSSO統合 ── Okta、Azure AD、Google Workspaceなど主要IdPとの統合実績が多い。
3. 長年の実績によるUX安定性 ── 長期ユーザーにとっては操作感が完成されており、習熟コストなしに使い続けられる。
4. 広範なエコシステム ── ブラウザ拡張の挙動が多くのビジネスアプリと検証済み。

弱み

1. 2022年侵害という拭えない事実 ── 暗号化済みとはいえボルトデータが盗まれた事実は信頼性に影を落とし続ける。
2. 親会社変遷によるブランド信頼の低下 ── LogMeIn売却→GoTo傘下への移行が続き、製品の優先度とサポート品質への懸念がユーザーコミュニティで指摘されている。
3. 無料プランの実質的な機能縮小 ── 2021年のデバイス制限変更以降、無料での利用価値が大幅に低下した。
4. PBKDF2イテレーション数の歴史的問題 ── 侵害当時のデフォルトは100,100回だったが、過去の設定が引き継がれたアカウントでは5,000回以下のケースも報告されており、推奨値を大幅に下回っていた。

乗り換えるべきケース / 留まるべきケース

NordPassに乗り換えるべきケース

LastPassに留まるべきケース

In practice: 50名以下のスタートアップで情報セキュリティ担当を務めるチームからは「LastPassの侵害後にNordPassへ全社移行した。展開作業は1日で完了し、社員からの問い合わせも少なかった」という声が報告されている（出典: G2 NordPass Business レビュー）。

LastPass → NordPass 移行手順

移行は大きく「エクスポート→インポート」の2ステップで完了する。所要時間の目安は30分以内（パスワード数200件未満の場合）。

ステップ1: LastPassからCSVエクスポート

1. LastPass拡張機能またはWebアプリにログイン
2. 左メニュー「Advanced Options」→「Export」をクリック
3. マスターパスワードで本人確認
4. lastpass_export.csv がダウンロードされる

セキュリティ注意事項: CSVファイルはパスワードが平文で含まれます。ダウンロード後は安全な場所に保管し、インポート完了後は即座に削除してください。

ステップ2: NordPassアカウント作成

NordPassを無料で試す（14日間トライアル）からアカウントを作成する。

• メールアドレスとマスターパスワードを設定（16文字以上・ランダムを強く推奨）
• MFAを設定する（TOTPアプリまたはハードウェアキー）

ステップ3: NordPassへのインポート

1. NordPassデスクトップアプリ or Webアプリを開く
2. 左下「Settings」→「Import Items」をクリック
3. 「LastPass」を選択（専用パーサーが用意されている）
4. 手順1でダウンロードしたCSVをアップロード
5. インポートプレビューを確認し「Import」を実行

ステップ4: インポート後の検証

• パスワード数が一致しているか確認
• 重要なアカウント（メール・銀行・業務ツール）でログインテストを実施
• NordPassのパスワードヘルス機能で弱いパスワードを洗い出し、この機会に一新

ステップ5: LastPassのデータ削除とアカウント処理

1. LastPass Webアプリ → Account Settings → Delete or Reset Account
2. 削除前に「Trust on First Use」デバイス一覧を確認し、不審なデバイスがないか最終チェック

ビジネス利用の場合: チーム展開時はNordPass Businessの管理コンソールから「Invite Members」（一括メール招待）機能を使い、CSVまたはTXTでメールアドレスを一括アップロードしてメンバーへの招待とインポートガイドをまとめて送付できる。

まとめ

2022年のLastPass侵害は、どんなに優れたアルゴリズムを採用していても「実装・運用のミスがセキュリティを損なう」という現実を改めて示した。LastPassが現在も製品として機能していることは事実だが、一度盗まれたボルトデータは攻撃者の手に渡り続けている点は看過できない。

NordPassはXChaCha20暗号化・ゼロ知識設計・独立監査という3つの柱で、LastPassに代わる有力な選択肢となっている。特に個人・中小企業でシンプルかつ堅牢なパスワード管理を求めるユーザーにとって、乗り換えのコストパフォーマンスは高い。

移行を検討しているなら、まずは無料プランまたは14日間トライアルから試してみることを推奨する。

NordPassを14日間無料で試す →

関連記事

• NordPass単体レビュー2026年版
• LastPassの代替ツール一覧【2026年版】
• パスワードマネージャー総合比較【2026年版】

出典

1. LastPass公式インシデントレポート（2022年12月）: https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/
2. LastPass公式アップデート（2023年3月）: https://blog.lastpass.com/2023/03/security-incident-update-recommended-actions/
3. NordPass公式セキュリティページ: https://nordpass.com/security/
4. Cure53 NordPass監査レポート（Business版 2021年）: https://nordpass.com/blog/nordpass-business-independent-security-audit/
5. Cure53 NordPass監査レポート（コンシューマー版 2020年）: https://nordpass.com/blog/nordpass-security-audit-2020/
6. NIST SP 800-132（パスワードベースの鍵導出推奨）: https://csrc.nist.gov/publications/detail/sp/800-132/final
7. G2 NordPass Business レビュー: https://www.g2.com/products/nordpass-business/reviews
8. G2 LastPass レビュー: https://www.g2.com/products/lastpass/reviews
9. LastPass パスキーサポート発表（2025年8月）: https://blog.lastpass.com/posts/lastpass-now-supports-passkeys
10. LastPass Trust Center: https://www.lastpass.com/trust-center
11. NordPass メンバー招待ヘルプ: https://support.nordpass.com/hc/en-us/articles/360012847098-How-to-invite-members-to-join-my-organization