こんにちは。デジタル整理＆AI活用を支援しているらくらスタイルです。
「パスワード、全部同じにしてる」。ご相談の中で、照れ笑いしながら教えてくださる方が、本当に多いんです。覚えやすいし、ログインでつまずかないし、ラクですもんね。わたしも、めんどくさがりなので、その気持ちはよく分かります。
でも、使い回しは、思っている以上に危ないんです。今日は、その理由を「鍵」のたとえで、やさしく解説します。
パスワードは「家の鍵」と同じ
玄関、物置、自転車、全部同じ鍵だったら？
想像してみてください。玄関の鍵も、物置の鍵も、自転車の鍵も、車の鍵も、金庫の鍵も、全部同じ鍵だったら。便利ですよね。持ち歩く鍵は1本で済みます。
でも、その1本をなくしたり、コピーされたりしたら、どうなるでしょう。家も、物置も、自転車も、車も、金庫も、全部開けられてしまいます。
パスワードの使い回しは、これと全く同じ状態なんです。
何が起きるの？ 「リスト型攻撃」のしくみ
漏れた鍵を、あちこちで試される
あるサービスから、IDとパスワードの組み合わせが漏れたとします。悪い人たちは、その組み合わせを持って、ほかの有名なサービスのログイン画面に、片っ端から入力して試します。
これを「パスワードリスト攻撃」、あるいは「リスト型攻撃」と呼びます。漏れた鍵が、ほかの家の玄関に合うかどうか、順番に試して歩くイメージです。
使い回していると、当たってしまう
もし、別のサービスでも同じパスワードを使っていたら、ログインに成功してしまいます。つまり、あなたが何も悪くなくても、どこかのサービスの流出が原因で、別のサービスが破られる、ということが起こります。
IPAは2013年に、パスワードリスト攻撃による不正ログインの被害を受けて、使い回しをやめるよう呼びかけました。強固なパスワードでも使い回せば防げない、として、すべてのサービスで異なるパスワードを設定するように勧めています。ずいぶん前から言われている、基本中の基本なんです。当時の様子は、[マイナビニュースの記事](https://news.mynavi.jp/article/20130802-ipa8/)にまとまっています。
なぜ使い回してしまうの？
「忘れてしまうから」が最も多い理由
2014年のIPAとJPCERT/CCのキャンペーンでは、使い回しの理由として最も多かったのは「パスワードを忘れてしまうから」で、64.1パーセントでした。
つまり、悪気があるわけではなく、覚えきれないから、使い回してしまう。とても自然なことです。だからこそ、気合いで覚えようとするのではなく、「覚えなくていい仕組み」を作るのが解決策です。
使い回しが危ない理由を、もう少し身近な場面で、考えてみましょう。
想像してみてください。あなたは、10個のサービスに登録していて、すべて同じパスワードを使っています。ある日、そのうちの1つのサービスで、IDとパスワードが流出したというニュースが流れました。
あなたは、「あのサービス、ほとんど使っていないし、大丈夫だろう」と思います。でも、悪意のある人たちは、そのIDとパスワードを、ほかの有名なサービスにも試します。通販サイト、動画配信、メール、SNS。10個のうち、使い回している全部が、同じように破られるおそれがあります。
使っていないサービスが、きっかけになることもあります。使っていないのに、情報だけが残っていて、流出して、巻き込まれる。まさに、先月のブログで取り上げた「使っていないWebサービスの棚卸し」が、ここにつながってきます。
また、使い回しには、もうひとつ怖い点があります。それは、「どこから漏れたのか、分かりにくい」こと。10個のサービスのうち、どこが原因なのかが分からないと、対応にも時間がかかります。全部のパスワードを変えなければいけなくなり、手間も気持ちの負担も、膨らみます。
反対に、サービスごとにパスワードが違えば、どうなるでしょう。流出したサービスのパスワードだけ変えれば済みます。ほかのサービスは、影響を受けません。この違いは、とても大きいです。
では、「完全に別々のパスワード」を、どうやって管理すればいいのでしょうか。ここは、多くの方が悩むところです。
選択肢1：完全に覚える。
サービスが少なければ、可能です。ただ、10個、20個と増えると、現実的ではありません。
選択肢2：紙に書いて保管する。
次の次の記事でくわしくお話ししますが、置き場所に気をつければ、有効な方法のひとつです。
選択肢3：スマホやブラウザの保存機能に任せる。
覚えなくていいので、とてもラクです。ただし、スマホの画面ロックなど、土台の守りが必須です。
選択肢4：上記を組み合わせる。
日常のサービスは保存機能に任せて、メールとお金に関わるサービスだけ、自分で覚えるか、紙に控える。この組み合わせが、使いやすさと安全性のバランスがよい方法です。
どの方法を選ぶにしても、共通して大切なことがあります。それは、「同じパスワードを使い回さない」という大原則を、ゆるめないこと。方法は、自分に合うものを選べば良いのです。
また、パスワードを変えるタイミングについても、触れておきます。定期的に全部変えなくてはいけない、と思っている方もいますが、それよりも大事なのは、「流出が疑われるときに、すぐ変える」ことです。普段は、長くて使い回していないパスワードを使い続け、お知らせが来たときだけ、そのサービスのパスワードを変更する。この運用が、現実的です。
そして、パスワードを変えるときは、必ず、公式のアプリやブックマークから開いた画面で行うこと。メールのリンクから入ると、偽サイトに誘導される危険があるからです。
最後に、使い回しをやめることは、家族を守ることにもつながります。家族で共有しているサービスが、1人のパスワードの使い回しから破られてしまえば、家族みんなに影響します。家族で、一緒に見直す機会を作ってみてはいかがでしょうか。
使い回しをやめると、何が変わる？
被害が「そのサービスだけ」で止まる
サービスごとに別のパスワードにしておけば、1つが漏れても、ほかのサービスには広がりません。火事が起きても、隣の部屋に燃え移らない、防火扉のような役割です。
流出のお知らせが来ても、慌てなくて済む
「どこかで漏れた」と聞いても、変えるのはそのサービスだけ。他のサービスは影響を受けません。気持ちの余裕が、まったく違います。
どこから始める？ 優先順位
全部のパスワードを一度に変えるのは大変です。順番をつけましょう。
1番目：メールアドレスのパスワード
メールは、ほかのサービスのパスワードを再設定するときの受け皿です。ここが破られると、連鎖的に他も危なくなります。最優先で、ほかと違うものにします。
2番目：お金に関わるサービス
クレジットカード、通販、決済アプリ、ネットバンク。ここも優先度が高いです。
3番目：SNSやクラウド
LINE、Google、Apple、SNS。写真や連絡先など、大事な情報が入っています。
4番目：それ以外
ポイントサービスや情報サイトなど。余裕があるときに、少しずつ変えていきます。
今日のミニ作業
ステップ1：メールのパスワードが使い回しか考える
メールのパスワードが、他のサービスと同じ、あるいは似ていないか、思い出してみます。
ステップ2：使い回している場合は、メモに書く
「メールのパスワード、使い回し中」とメモするだけで十分です。明日の記事で、新しいパスワードの作り方を紹介します。
ステップ3：パスワードは書かない
メモには、「使い回している」という事実だけ。パスワードそのものは、書かないでください。
面倒くさがりの視点
「全部違うパスワードなんて、覚えられない」。そう思いますよね。わたしもそうです。だから、覚えなくていい方法を使います。
11月13日と14日の記事で、覚えやすいのに破られにくい作り方と、安全な保管方法を紹介します。使い回しをやめるのは、実はそれほど大変ではありません。
まとめ
- パスワードの使い回しは、全部の鍵を同じにしているのと同じ
- 漏れたIDとパスワードは、ほかのサービスで試される（リスト型攻撃）
- 使い回しをしていると、無関係なサービスまで破られる
- 使い回してしまう一番の理由は「忘れてしまうから」
- 優先順位は、メール、お金、SNSとクラウド、それ以外の順
- 今日は、メールのパスワードが使い回しかどうかを確認する
今日のひとこと
「全部変えなきゃ」と気負わないでください。メールだけ、今日変える。それだけでも、守りは大きく変わります。残りは、少しずつ、気が向いたときに。
らくらスタイルは「日常にもっと便利と、ワクワクを」を目指して、ご相談内容に合わせてお手伝いをいたします。気軽にご連絡ください
ほかの記事は、[らくらスタイルのブログ](https://rakura.net/blog/)でもどうぞ。
明日のタイトルは『覚えやすくて破られにくいパスワードの作り方』です。お楽しみに！ ※内容が変更になった場合はご容赦ください。
#パスワード #使い回し #リスト型攻撃 #不正ログイン #個人情報流出 #セキュリティ設定 #デジタル整理 #AI #パソコン #スマホ #便利 #新潟
