使い回しが危険なのは、どこか1つのサービスからIDとパスワードが漏れると、攻撃者がその組み合わせを他のサービスに自動で試すからです（パスワードリスト攻撃）。あなたが気をつけていても、一番守りの弱いサービスが漏れた時点で、メール・通販・SNSがまとめて危険になります。
なぜ「少しだけ変える」もダメなのか
「hanako2024」を「hanako2025」にする、末尾にサービス名を付ける、といった規則的な変化は、攻撃のプログラムが自動で試すパターンです。サービスごとにまったく別のパスワードが必要です。
使い回しをやめる手順
- パスワードマネージャーを用意する（選び方）
- メール、Apple・Google・Microsoftアカウント、お金のサービスから順に、自動生成のパスワードに変える
- 変えたサービスから2段階認証をオンにする（設定のしかた）
- 残りは「ログインしたついで」に少しずつ変える
メールのパスワードは最優先：他のサービスの「パスワードを忘れた」はメールに届きます。メールを乗っ取られると、そこから他のアカウントも再設定されてしまいます。