はじめに
インターネットのサービスが増えると、すべてのパスワードを覚えることは難しくなります。その結果、同じパスワードを複数のサービスで使い回したり、覚えやすい短い文字列を設定したりすると、一つの情報漏えいから複数のアカウントを不正利用されるおそれがあります。
安全なパスワード管理では、すべてを自分で記憶しようとする必要はありません。サービスごとに異なる長いパスワードを設定し、パスワードマネージャーで保管したうえで、多要素認証を組み合わせることが基本です。
この記事では、パスワード管理で防ぐべき問題と、日常で実践できる管理方法を解説します。読み終えると、複数のサービスを無理なく安全に使うための管理方法と、漏えいが疑われたときの対応を判断できるようになります。
パスワード管理で防ぐべき3つの問題
パスワード管理で特に防ぎたいのは、使い回し、推測されやすいパスワード、漏えい後の放置です。
同じパスワードの使い回し
同じパスワードを複数のサービスで使っていると、一つのサービスからIDとパスワードが漏えいしただけで、別のサービスにもログインを試される可能性があります。これは、漏えいした認証情報をほかのサービスへ機械的に試す「パスワードリスト攻撃」につながります。
重要度が低いと思っていたサービスから漏えいし、メール、買い物、決済などの重要なアカウントへ被害が広がることもあります。サービスごとに異なるパスワードを使うことが、被害を一つのアカウントに限定する基本です。
短く推測されやすいパスワード
名前、誕生日、電話番号、単純な連番、よく使われる単語などは、利用者にとって覚えやすい一方、第三者にも推測されやすい文字列です。末尾の数字だけをサービスごとに変える方法も、元のパターンが分かるとほかのパスワードを推測されるおそれがあります。
パスワードは、文字種を無理に増やすことだけではなく、十分に長くし、個人情報や規則的なパターンを避けることが重要です。自分で覚える必要があるパスワードには複数の無関係な言葉を組み合わせた長いフレーズを使い、それ以外はパスワードマネージャーの生成機能を利用すると管理しやすくなります。
漏えいしたパスワードの放置
パスワードは、日付だけを基準に機械的に変更するのではなく、漏えいや不正利用の疑いがあるときに速やかに変更することが重要です。
サービスから漏えいの通知があった場合、不審なログイン履歴を見つけた場合、フィッシングサイトへ入力した可能性がある場合は、該当するパスワードを直ちに変更します。同じパスワードをほかのサービスでも使っていた場合は、それらも変更する必要があります。
パスワードを安全に管理する4つの基本
サービスごとに異なるパスワードを使う
一つのサービスで情報が漏えいしても、ほかのサービスへ被害を広げないために、パスワードはサービスごとに分けます。
人が多数の異なるパスワードをすべて覚えることは現実的ではありません。記憶だけに頼らず、パスワードマネージャーを前提にすると、使い回しを避けながら運用できます。
長く推測されにくいパスワードにする
自分で作る場合は、個人情報、辞書に載る単語一つ、キーボード上の並びなどを避けます。覚える必要がある管理用パスワードは、関連のない複数の言葉を組み合わせ、十分な長さを確保します。
Webサービス用のパスワードは、パスワードマネージャーで長いランダムな文字列を生成すると、覚えやすさのために強度を下げずに済みます。
パスワードマネージャーを利用する
パスワードマネージャーは、複数の認証情報を安全に保管し、必要なサービスで自動入力する仕組みです。Appleの「パスワード」アプリ（iCloudキーチェーン）、Google Password Manager、ブラウザーや専用アプリの管理機能などがあります。
専用の管理用パスワードを使う製品では、そのパスワードをほかのサービスで使い回しません。アカウント型のサービスでは管理アカウントにも多要素認証を設定し、アカウントを失った場合に備えて復旧方法やバックアップコードの保管場所も確認しておきます。
多要素認証を併用する
多要素認証は、パスワードに加えて、スマートフォンなどの所持情報や、指紋・顔などの生体情報を使って本人確認する方法です。
パスワードが漏えいしても、それだけではログインできない状態を作れるため、不正ログインへの耐性を高められます。メール、クラウドストレージ、決済、SNSなど、乗っ取られたときの影響が大きいサービスから優先して設定します。
パスワードマネージャーを使うときの注意点
パスワードマネージャーを利用しても、管理アカウントや利用端末が不正利用されれば大きな影響が生じます。次の点を確認してください。
- 専用の管理用パスワードがある場合は、ほかのサービスで使い回さない
- 管理アカウントへ多要素認証を設定する
- 復旧方法とバックアップコードを確認する
- OS、ブラウザー、アプリを最新の状態に保つ
- 自動入力の対象となるログイン先のドメインが正しいか確認する
- 家族や同僚と認証情報を共有する場合は、平文のメールやチャットではなく共有機能を使う
自動入力は便利ですが、いつもと違う画面や不審なリンクからログインを求められた場合は、保存済みの情報を手動で入力せず、サービスの公式アプリやブックマークからアクセスし直します。
パスワードの漏えいが疑われたときの対応
漏えいや不正ログインの可能性がある場合は、マルウェア感染が疑われる端末を避け、信頼できる端末から次の順で対応します。
- 該当サービスのパスワードを変更する
- 同じパスワードを使ったほかのサービスも変更する
- ログイン履歴と接続端末を確認する
- 不審なセッションや端末をログアウトさせる
- 多要素認証を設定または再設定する
- メールアドレスや電話番号などの復旧情報が変更されていないか確認する
メールアカウントが乗っ取られると、ほかのサービスのパスワード再設定にも悪用されます。複数のアカウントに異常がある場合は、メールアカウントを優先して確認します。
避けたいパスワード管理
次のような管理は避けます。
- 複数のサービスで同じパスワードを使う
- 名前、誕生日、電話番号、単純な連番を使う
- 末尾の数字だけを変えて管理する
- 保護されていないメモ、メール、チャットへ保存する
- 漏えいの有無を確認せず、日付だけで機械的に変更する
- 秘密の質問へ、第三者が調べられる答えを設定する
複雑なパスワードを一つだけ作って使い回すより、サービスごとに異なるパスワードをパスワードマネージャーで管理する方が、被害の拡大を防ぎやすくなります。
まとめ
安全なパスワード管理の基本は、サービスごとに異なる長いパスワードを設定し、パスワードマネージャーで保管することです。重要なサービスには多要素認証を設定し、パスワードが漏えいした疑いがある場合は速やかに変更します。
すべてのパスワードを自分で覚えようとすると、使い回しや単純化が起こりやすくなります。自分で覚える必要がある認証情報を最小限に絞り、それ以外は生成・保存・自動入力の機能を使うことで、安全性と使いやすさを両立できます。
関連記事
