パスワード・認証
パスワードの使い回しが危険な理由、リスト型攻撃の仕組みを図解
パスワード・認証メール漏洩チェッカー
この記事の結論漏れたのが「10年前に退会したサービスのパスワード」でも、同じパスワードを今も別のサービスで使っていれば、そこから乗っ取られます。対処は「全部覚え直す」ではなく、「覚えるのをやめて、管理機能に任せる」ことです。
リスト型攻撃とは
漏洩事件で流出した「メールアドレスとパスワードの組み合わせ」の一覧（リスト）を使って、別のサービスに片っ端からログインを試す攻撃です。英語では credential stuffing（クレデンシャル・スタッフィング）と呼ばれます。
攻撃側は自動化されたプログラムで、何百万件の組み合わせを何十ものサービスに試します。人間が手でやっているわけではないので、「自分は狙われるほど有名じゃない」は通用しません。リストに載っているかどうかだけが問題です。
なぜ古い漏洩でも危ないのか
漏洩事件データベースには、2012年のDropbox、2013年のAdobeなど、10年以上前の事件が今も登録されています。当時のパスワードを「もう使っていない」なら問題ありません。しかし多くの人は、気に入ったパスワードを何年も、複数のサービスで使い続けています。
攻撃側は、古いリストでも「今も使い回している人」が一定の割合でいることを知っています。だから古いリストも売買され、使われ続けます。
無理なく使い回しをやめる手順
- 1パスワード管理機能を使う。iPhoneの「パスワード」アプリ、AndroidやChromeのGoogleパスワードマネージャーなど、すでに持っているもので十分です。新しいアプリを入れる必要はありません。
- 2重要な5つから変える。メール（Gmail等）、Apple ID／Googleアカウント、ネット銀行、よく使う通販、SNS。この5つを、管理機能が自動生成する長いパスワードに変えます。
- 3同時に2段階認証をONにする。パスワードが漏れても、スマホの確認コードがなければログインできません。
- 4残りは「次にログインしたとき」に変える。一気にやろうとすると挫折します。ログインの機会があったら、そのときに管理機能で生成したものに変えれば十分です。
よくある誤解
- 「複雑なパスワードなら使い回してもいい」→ 複雑さは総当たり攻撃への対策で、リスト型攻撃には無意味です。漏れたパスワードはそのまま使われます。
- 「末尾の数字を変えれば別のパスワード」→ 攻撃プログラムは「末尾の数字を変えたパターン」も試します。
- 「パスワード管理アプリが漏れたら全部終わり」→ 主要な管理機能は端末側で暗号化されており、運営側も中身を見られない設計です。使い回しのリスクのほうがはるかに大きいのが実情です。
自分のアドレスがどの事件のリストに載っているかは、無料チェックで確認できます。パスワードを含む事件があれば、その事件のサービスで使っていたパスワードを、今どこで使い回しているかを思い出すところから始めてください。