パスワードを変えたのにログインされることがある？
不審なログインに気づいてパスワードを変更したのに、相手がまだアカウントを操作しているように見える。そんな時に考えられる原因の一つが、ログイン状態を保つ「セッションCookie」や認証トークンの悪用です。パスワードは本人確認に使う鍵、Cookieはログイン後に「すでに本人確認済み」とサービスへ伝える通行証にたとえられます。
毎回パスワードを入力しなくても使えるのは、この仕組みのおかげです。一方、通行証が他人に渡ると、サービスの設定によってはパスワードを知らなくてもログイン状態を再利用される場合があります。すべてのサービスで起きるわけではなく、Cookieの期限や追加認証、端末確認の仕組みは異なります。
Cookieを盗まれると何が起きる？
攻撃者が有効なセッション情報を入手すると、対象サービスにログイン済みの利用者としてアクセスできることがあります。MITRE ATT&CKは、セッションCookieの盗難が認証情報を使わずにWebサービスへ入る手段になり、状況によっては多要素認証を通過した後の状態が悪用され得ると説明しています。これは攻撃手法の分類であり、通知が来た人全員に起きるという意味ではありません。
情報窃取型マルウェアへの感染、偽ログイン画面を使う中間者型フィッシング、悪意ある拡張機能などが関連する可能性があります。見覚えのないソフトを実行した、遠隔操作を許した、ブラウザーに不審な拡張機能を入れた後にログイン異常が出た場合は、別の安全な端末から対処を始めます。
まず試したい、ログイン状態を切る手順
公式アプリか、ブックマークなど自分で確認した正規サイトを開き、アカウントの「セキュリティ」「ログイン中の端末」「最近のアクティビティ」を確認します。知らない端末や場所があれば詳細を記録し、「すべての端末からログアウト」「他のセッションを終了」などの操作を探します。サービスによっては個別端末だけをログアウトする画面があります。
次に、他と使い回していない新しいパスワードへ変更し、復旧用メール・電話番号、二段階認証、連携アプリの許可一覧も点検します。メールの転送や受信ルールが変更されていないかも確認しましょう。ログアウト操作が見つからない時は、公式ヘルプで「全端末からログアウト」「セッションを無効化」を検索し、サービスの案内に従います。
感染が疑われるときは、先に端末を確認
パソコンにウイルス警告が出た、心当たりのないソフトを入れた、添付ファイルを実行したなど、端末そのものに不安がある時は、その端末から重要アカウントへ再ログインしないでください。信頼できる別端末からパスワード変更とセッション終了を行い、問題の端末はネットワークから切り離して、Windows セキュリティなど正規の保護機能やメーカーの案内で確認します。
身に覚えのない購入、送金、カード利用があれば、メール内の連絡先ではなく金融機関・カード会社の公式窓口へすぐ相談します。必要ならサービス提供元にも連絡し、日時や表示内容を残します。パスワードや確認コードを誰かに伝えたり、遠隔操作アプリを入れたりしないでください。
確認方法：自分のログイン端末を棚卸し
よく使うメール、Google、Microsoft、Apple、SNSの公式セキュリティ画面を開き、端末名、ブラウザー、最終利用日時を記録します。旅行中の接続や自分の別ブラウザーが違う地域・名前で表示されることもあるため、表示だけで即座に不正と決めつけず、持っている端末と照らし合わせましょう。
知らない項目があれば、公式のログアウト機能を使ってからパスワードを変更し、復旧用連絡先と二段階認証を確認します。確認した日をメモしておけば、次に警告が届いた時に変化を見つけやすくなります。
セッション終了後に再確認したいこと
端末一覧に出る「場所」は、正確な住所とは限りません。携帯電話会社やVPNの接続出口によって、実際の利用場所と違って見えることがあります。端末名、ブラウザー、時刻、普段使うネットワークを合わせて確認し、自分の操作と合わないかを判断します。位置だけを見て不正と決めつけず、確かな心当たりがない時は公式サポートへ相談してください。
「すべての端末からログアウト」を実行しても、サービスにより反映までの時間や対象外となるアプリが異なる場合があります。変更後は、セキュリティ画面をもう一度開き、セッションが終了したかを確かめます。認証アプリや外部アプリの接続を個別に解除する必要があるサービスもあります。ボタンが見つからない時は、サービス名と公式ドメインを確認し、公式ヘルプの現行手順を使います。
Cookieの盗難が疑われる時に、ブラウザーのCookieを手作業で探して削除する必要はありません。アカウントの「他のセッションを終了」機能や公式のセキュリティ手順を優先します。技術的なファイルを消しても、相手側へ渡ったトークンが無効になるとは限らないためです。端末のスキャンや不審アプリの調査は、信頼できる保護機能またはメーカーの案内に沿って行いましょう。
仕事用のアカウントや共有サービスでは、個人設定だけでセッションを無効化できない場合があります。組織の管理者や提供元へ連絡し、本人確認に必要な情報と不審な日時を伝えます。相談時にパスワードや確認コードを送る必要はありません。まず問い合わせ先が公式のものかを確認し、折り返し先も自分で調べた番号を使ってください。
今日からできる追加チェック
サービスから「全端末ログアウト」を実行した後は、自分のスマートフォンやPCにも再ログインが必要になる場合があります。手元に復旧用メールや認証アプリがあるか確かめてから実行し、ログアウト後に正規の画面へ戻れるか確認します。再ログイン通知が届いた場合も、本文のリンクを押さず、アプリを自分で開いて進めてください。
家族で共有しているタブレットや、仕事で使うブラウザーにアカウントを残していないかも確認します。自分が使っていない端末が一覧に出る場合、家族の端末なのか、古い機種の名前なのかを先に照合します。分からないものを残して不安な場合は、提供元の公式窓口へ問い合わせ、セッションの終了と端末の再登録方法を確認します。
同じアカウントで複数のサービスにログインしている場合、ひとつのパスワード変更で全部がログアウトされるとは限りません。GoogleやMicrosoftなどのアカウントを使って別サイトへログインした場合も、各サービス側のセッション管理を確認します。重要なメール、金融、クラウド保存先から優先して点検しましょう。
