流出したパスワードを別のサービスで試す
パスワードリスト攻撃とは、あるサービスなどから不正に入手したIDとパスワードの組み合わせを、別のサービスにも試す手口です。英語ではクレデンシャルスタッフィングとも呼ばれます。攻撃者は自動プログラムを使って、通販、メール、SNSなどにログインを試みます。自分の名前を狙った個別攻撃でなくても、使い回しがあると被害につながる可能性があります。
たとえば通販サイトで使ったメールアドレスとパスワードが漏れ、同じ組み合わせをメールやSNSでも使っていると、他のアカウントにもログインされる恐れがあります。メールが乗っ取られると、他サービスのパスワード再設定を受け取られることもあります。
なぜ使い回しが危険？
サービスごとに異なるパスワードを使えば、一つが漏れても他のサイトではその組み合わせを使えません。使い回すと、最初の漏えいに気づかないまま、何週間・何か月も後に別サービスで試されることがあります。長く複雑な文字列にするだけでなく、サイトごとに別にすることが重要です。
ログイン失敗の通知や、頼んでいない認証要求が何度も届いても承認しないでください。通知内リンクを押さず、公式サイトからログイン履歴を見ます。身に覚えのないログインがあればセッションを終了し、固有のパスワードへ変更して、2段階認証を設定します。
無理なく使い回しを止める
メール、金融・決済、通販、SNSなど重要なアカウントから順に固有パスワードに変えます。全てを覚えるのは難しいため、ブラウザーやOSのパスワード管理機能、信頼できるパスワードマネージャーを使う方法があります。マスターパスワードは長く、他では使っていないものにし、保存先アカウント自体にも2段階認証を設定します。
パスワード管理アプリは公式ストアや提供元の公式サイトから入手します。端末を紛失した場合の復旧方法も確認し、復旧コードは安全な場所に保管します。家族と共有するために、パスワードを見える場所に貼ったり、同じメモを何人にも送ったりしないようにしましょう。
対応サービスならパスキーも選択肢です。パスワードを入力する代わりに端末のロック解除などを使い、登録したサイトでログインします。機種変更や紛失時の移行・復旧方法を確認してから登録してください。パスキーでも端末の画面ロックや回復用メールを守ることが必要です。
確認方法：重要な3サービスの使い回しを点検
紙に「メール」「決済」「通販」と書き、同じパスワードを使っているものがないか思い出します。実際のパスワードは紙やAIチャットには書きません。使い回しがあればメールから固有のものへ変更し、次に決済、通販と進めます。パスワードマネージャーを使うなら、保存先の2段階認証と復旧方法も一緒に設定します。
パスワードを変える順番と注意点
変更する順番に迷ったら、他のサービスの再設定に使われるメール、決済・金融、通販、SNSの順に優先します。流出が分かっているサービスだけでなく、同じパスワードを使っている場所を対象にします。変更後は古いパスワードが残った端末やブラウザーの保存情報を確認し、ログアウト済みの端末で新しい情報を使っているか確かめます。
「最後に記号を足す」「サービス名を末尾につける」だけでは、元のパスワードから推測される可能性があります。サービスごとに別の長い文字列を使い、管理ツールに生成を任せると、覚えやすさのために同じ文字列へ戻るのを避けやすくなります。パスワードをメールやチャットで自分宛に送る方法は、メールが乗っ取られたときにまとめて読まれるため避けましょう。
パスワードマネージャーを選ぶときは、提供元、端末間同期、復旧方法、保存データの暗号化に関する説明を確認します。無料・有料にかかわらず、アカウントのマスターパスワードと2段階認証が重要です。復旧コードはパソコンのデスクトップに置きっぱなしにせず、紙や安全な保管場所に残します。
パスキーは便利ですが、全てのサービスが対応しているわけではなく、端末間同期や回復の仕様も異なります。登録後に古いパスワードを無効にできるか、予備のサインイン方法が何かを確認します。家族の共用端末に個人のパスワードを保存する場合も、別のWindowsユーザーや端末ロックを使い分けましょう。
変更後の確認も忘れずに
パスワード変更が完了したら、現在ログインしている端末以外のセッションを終了します。ログイン履歴に見覚えのない端末が残っていないか再度確認し、アカウントに登録された電話番号、メールアドレス、支払い方法、配送先が書き換えられていないか見ます。攻撃者がログイン後に復旧手段を自分のものへ変える場合があるためです。
同じメールアドレスを多くのサービスで使っている場合、メールの受信箱を検索して過去の登録サービスを洗い出す方法があります。ただし、受信箱を誰かに見せたり、メール内容を不用意に転送したりしないでください。使っていないアカウントは、ログインできるうちに退会や個人情報削除の手続きを確認します。
家族や友人から「パスワードを忘れたので教えて」と言われても、保存済みパスワードをそのまま送るのではなく、各自の端末でパスワード再設定を行うよう案内します。サービスごとに責任者が異なるため、共有アカウントの扱いは利用規約に従います。アカウントの数を減らし、復旧用連絡先を最新に保つことも、長期的な管理を簡単にします。
使わなくなったアカウントも整理
長く使っていないサービスは、登録したままの個人情報や古いパスワードが残っていることがあります。ログインできるものは退会方法や保存データの扱いを確認し、必要なデータを保存してから閉鎖します。どのサービスを登録したか分からない時は、メール受信箱で登録完了通知を検索し、一覧を安全な場所へ作りましょう。
変更作業は、安全なネットワークと普段使う端末から行います。公共の共有PCや他人のスマートフォンでパスワードを変えると、入力情報が残る可能性があります。ブラウザーが提供する漏えい警告機能を参考にしても、警告のリンクからではなく公式サービスへ直接移動します。
サービスによっては、パスワード変更時に過去のパスワードを再利用できない仕組みがあります。変更画面に「他の端末からログアウト」の選択肢があれば、漏えいが心配な場合は有効にします。変更完了メールは、公式の送信元かを確認し、心当たりのない変更通知が後から届かないか見ます。
パスワードを使い回さずに管理する方法と、追加認証の選び方はパスキーの基本も参考にしてください。
