パスワード使い回しは自爆スイッチ　二段階認証で鍵をもう1本

まず初めに

結論から言う。パスワード1個であらゆるサービスを守ろうとするな。それは家の鍵を1本だけ作って、玄関にも金庫にも車にも使い回すようなものだ。1本盗まれたら、全部開く。二段階認証は、鍵をもう1本増やす話ではない。盗まれた鍵だけでは開かない錠に替える話だ。※個人の感想です

何が起きているのか

パスワードの漏洩は、利用者の不注意だけで起きるわけではありません。利用しているサービス側から流出することもあります。

流出したパスワードは一覧としてまとめられ、他のサービスで同じ組み合わせを機械的に試す攻撃に使われます。同じパスワードを複数のサービスで使い回していると、1か所の流出がすべてに波及します。攻撃者にとって、この「使い回しを狙って総当たりする」手口は、人間が一つずつ攻撃するよりもはるかに効率がよく、無数のアカウントに対して自動で試し続けられます。

なぜ重要なのか

メールアカウントは、他のサービスのパスワード再設定の窓口になっています。

つまり、メールを乗っ取られると、そこから連鎖的に他のサービスも乗っ取られます。二段階認証を最初にかけるべきなのがメールなのは、このためです。メール一つを守ることは、そこにぶら下がる何十ものサービスを同時に守ることと同じ意味を持ちます。

私たちへの影響

二段階認証を設定していない状態では、次のことが起こり得ます。

• 通販サイトで勝手に買い物をされる
• SNSのアカウントを乗っ取られ、知人に詐欺のメッセージが送られる
• クラウド上の写真や書類を見られる

いずれも、パスワード1つが破られただけで到達されてしまいます。特にSNSの乗っ取りは、被害が自分だけで終わりません。乗っ取られたアカウントから知人へ送られる詐欺メッセージは、「よく知っている相手からのメッセージ」という理由だけで警戒心を通り抜けてしまいます。

設定の手順

サービスによって名称は違いますが、たどる場所はほぼ共通です。

1. アカウント設定またはセキュリティ設定を開く
2. 「二段階認証」「2段階認証プロセス」「二要素認証」「ログイン認証」などの項目を探す
3. 画面の指示に従って、認証アプリまたはSMSを登録する
4. 回復用コードを必ず保存する（紙に印刷するか、パスワード管理ツールに入れる）

手順4を飛ばすと、スマートフォンを失くしたときに自分もログインできなくなります。ここだけは省略しないでください。設定自体は、慣れれば1サービスあたり数分で終わります。「時間がないから後で」を理由に先延ばしにする価値はありません。

初心者が知っておくべきこと

方式によって安全性が違います。安全な順に並べると次のようになります。

1. セキュリティキー・パスキー — 偽サイトでは原理的に使えないため、フィッシングに強い
2. 認証アプリの6桁コード — 電話番号の乗っ取りの影響を受けない
3. SMSで受け取る6桁コード — 設定は簡単だが、電話番号を乗っ取られると突破されうる

ただし、SMSであっても、設定していない状態よりははるかに安全です。難しく考えて先延ばしにするより、まずSMSで有効にしてしまうほうが実害を減らせます。完璧な方式を選ぼうとして結局何も設定しない、が一番よくある失敗です。

「めんどくさい」をどう減らすか

二段階認証が広まらない一番の理由は、危険性が伝わっていないからではなく、単純に一手間増えるのが面倒だからです。この面倒さを減らす方法はいくつかあります。

多くのサービスは、「この端末は信頼する」と登録しておくと、次回以降は同じ端末からのログインでコード入力を省略できます。自分のスマホやパソコンなど、日常的に使う端末だけを信頼済みにしておけば、毎回コードを打つ必要はありません。また、複数のサービスの認証コードを1つの認証アプリにまとめておけば、SMSを待つより速く、アプリを開くだけでコードを確認できます。最初の設定さえ済ませてしまえば、日々の手間はほとんど増えません。「毎回コードを打つのが面倒」を理由に設定自体を諦めるのは、最初の一手間だけを見て、後の安心を手放しているのと同じです。

職場・学校のアカウントも対象に入れる

個人のメールやSNSだけでなく、勤務先や学校が発行したアカウントも二段階認証の対象として意識してください。仕事用のメールやクラウドストレージが乗っ取られると、被害は自分だけでなく、所属する組織全体に広がります。組織によっては認証方法があらかじめ決まっている場合もあるため、個人の判断で設定を変える前に、情報システム部門の案内を確認するのが安全です。

今後どうなりそうか

パスワードそのものを使わないパスキーへの移行が、主要サービスで進んでいます。

当面はパスワードと二段階認証の併用が続くと考えられますが、対応サービスではパスキーを登録しておくと、より安全で入力の手間も減ります。二段階認証を今整えておくことは、この先パスキーへ移行する場合の土台にもなります。

回復用コードをどう保管するか

回復用コードは、スマートフォンを紛失したり故障したりしたときに、自分のアカウントへ戻ってくるための唯一の手段になります。スマートフォンの中だけに保存すると、その端末自体を失ったときに使えなくなるため、意味がありません。紙に印刷して自宅の安全な場所に保管する、あるいはパスワード管理ツールのような別の場所に記録するなど、スマートフォンとは物理的に別の経路で保管してください。保管場所を家族と共有しておくかどうかは、家庭の事情に応じて判断する部分です。「あとで整理する」は、この作業に関しては一番危険な先延ばしです。

IT Postの見方

IT Postでは、二段階認証は「余裕があればやること」ではなく、メールについては必須の設定だと考えます。理由は単純で、被害が本人だけにとどまらないからです。乗っ取られたアカウントは、知人へ詐欺を送る踏み台に変わります。「自分は大した情報を持っていないから狙われない」という言い訳は、この手口の前では意味を持ちません。攻撃は人を選んで行われるのではなく、機械的に総当たりされるだけだからです。数分の設定を惜しんで、あとで何時間もかけて後始末をする羽目になるのは、割に合わない取引です。※個人の感想です