パスワードは既に漏れているかも？ 「Google アカウント」から始める乗っ取り防止：半径300メートルのIT

攻撃者が狙うのは組織の穴ではなく、そこに属する「人」のアカウントです。パスワードは既に漏れているかもしれない今、まず何から手を付ければいいのでしょうか。多くの人が使うGoogle アカウントを例に、半年に一度は実行したい点検の手順を紹介します。

[宮田健，ITmedia]

　サイバー空間は相変わらず混迷を極めています。最新の脅威に対抗するためには、私たちも常にアップデートしていかねばなりません。組織に属する方であれば、ある程度は組織がセキュリティの面倒を見てくれますが、一歩オフィスから離れてしまえば、守ってくれるものはほとんどありません。そして、攻撃者は組織そのものよりも、そこに属する「人」に狙いを定めています。技術的な脆弱（ぜいじゃく）性だけを狙うのではなく、過信や不安、想像の範囲を超えた方法を使い、巧みにあなたをだまします。

　もちろん、それを防ぐための技術も発展しています。「生成AIは攻撃者にスピードとテクニックをもたらす」とよく言われますが、防御するわれわれにも力になってくれるはずです。ただし、それも私たち自身がしっかりと守ろうと考えてこそです。今回は、攻撃者が真っ先に狙う、皆さんが守るべき「アカウント」のセキュリティについて考えてみたいと思います。

小さな穴を突くよりも、「そこにある正式なアカウント」のほうが便利

　あなたのアカウントは狙われています。アカウントを狙う理由は、システムに入り込むために、裏口を探し小さな穴をこじ開けるのではなく、堂々と真正面から正式な手段で入り込めるからです。

　あるシステムに正面からログインできるアカウントが数万単位で存在する場合、攻撃者はその一つを手に入れるだけで最初の足がかりを得てしまいます。これが、インターネットを利用する皆さんに、これまで口を酸っぱくして「強いパスワードを使うようにしましょう」と言ってきた理由です。

　おそらく2026年も、最も使われるパスワードは「123456」や「abcdef」「password」辺りだと発表されるでしょう。攻撃者もそれを分かっていますので、かつてはそのような弱いパスワードと、既知のメールアドレスを組み合わせ、総当たりでログイン試行をしていました。しかし、最近では既知のID、パスワードを“一発で”なりすましログインする事例が増えています。つまり、どこかでパスワードが漏れているのです。

　そのため、現在では「多要素認証を必ず使いましょう」ということがセットで述べられています。これであれば、パスワードが漏れていたとしても、一発でなりすましログインができないはずです。が、これも限界があります。

　アカウントを守るためには、時代に合わせ対策もアップデートしていかねばなりません。セキュリティに詳しい人ならともかく、普通の人はなかなかその意識がまわらないかと思います。そこで、絶対に漏れてはならないメールの認証、認可をつかさどる、Googleのアカウントを例に、ぜひ皆さんに定期的に（最低でも半年に一度くらいは）チェックしてほしいURLを紹介しましょう。

定期的にやろう「Googleセキュリティ診断」

　ぜひチェックしてほしいのは、Googleの「セキュリティ診断」です。ここを一通り順番に設定することで、今必要なセキュリティ対策がチェックでき、足りない設定が分かるはずです。

Google「セキュリティ診断」（筆者撮影）

　まず設定してほしいのは、「パスキー」です。パスキーはスマートフォンの生体認証機能などを活用し、パスワードレスで安全に認証するための仕組みです。AndroidやiOSの機能として利用でき、フィッシング耐性も非常に強いため、これに関しては積極的に使ってほしいと思います。

　パスキーはスマートフォンなどの端末に保存され、OSベンダーのアカウントを介してクラウドで同期されます。そのため、機種変更時に不安があるという方も多いでしょう。私も何度かパスキー運用後に機種変更をしていますが、少なくともiOS、Androidでは困ることはありませんでした。パスキーのクラウド同期自体が不安だという方は、Yubicoのハードウェアセキュリティキー「YubiKey」などを手に入れ、ここにも保存することをお勧めします。

　セキュリティ投資としては非常にリーズナブルで、お守り代わりに私も幾つか持っています。このパスキーも定期的にチェックし、既に使っていない端末がリストにあれば、削除するようにしましょう。

パスキー保存されたデバイスを確認し、不要なものがあれば削除する（筆者撮影）

　次に確認するのは、今Google アカウントにログインしている端末のリストです。おそらく、このリストを開くとびっくりするくらいの数のデバイスがログインしていることになっていると思います。

現在ログインしているデバイス一覧。あまりに多くのデバイスが並んでいると思います（筆者撮影）

　一つの端末が複数のログインセッションを使用している場合もありますが、中には既に使っていないデバイスや、他人のデバイスでログインしたものが含まれているかもしれません。そのデバイスに関しては一つ一つ、ログアウトすることができます。万が一、本当に知らない場所、デバイスからのログインがあった場合、それは不正アクセスかもしれません。その場合、セキュリティ診断のすぐ下にある「最近のセキュリティ関連のアクティビティ」もチェックしておきます。

　基本的には、このセキュリティ診断が全て緑色のチェックマークで埋まっていることが望ましいです。そうでないものが残っている場合、ヘルプを利用しつつ対処してみてください。まずはGoogle アカウントの多要素認証、パスキー設定、そしてログイン状態の把握を、定期的に実行しましょう。

加えて、アカウント設定もチェックしよう

　そして、Google アカウントに移動すると、設定の「セキュリティとログイン」が開くはずです。念のため、こちらの設定も確認しておきましょう。

　個人利用では、サイバー攻撃における対策とともに、パスワードを忘れてしまってアカウントにログインできなくなる、ということのほうが多いように思えます。その時の備えとして、再設定用の電話番号やメールアドレスの準備、そしてバックアップコードを“Google アカウントにひも付かない場所”に保存しておきましょう。バックアップコードに関しては印刷し保管しておくことを強くお勧めします（もちろん、別のパスワード管理ソフトでデジタルに管理するというのもアリです）。

Google アカウント設定の「セキュリティとログイン」

　ここでぜひお願いしたいのは、今回皆さんにお知らせしたこの方法について、URLや画面の説明だけを理解してほしいわけではないということです。今回は多くの方が使っているであろうGmail、Google アカウントを例に取りましたが、多くのサービスのアカウントで同じことが確認できるはずです。

　使っているアカウントに対して「多要素認証を設定しているか？」「パスキー設定はしたか？」「ログインしているセッションに見覚えのないものはあるか？」「アカウント再設定用の情報は登録しているか？」「バックアップコードは残っているか？」など、今回紹介した項目を、それぞれ確認してほしいと思います。

　パスワードを強化しても、もはやそれが漏れている可能性が高いと考えて動く方がよいでしょう。パスワード使い回しは大きな問題ですが、全てのサービスでパスワードを変更するよりも、このタイミングで多要素認証、パスキーを設定していきましょう。そして、もしサービスにセキュリティチェックをするような機能があれば、積極的に定期的にそれを活用していきましょう。サイバー攻撃が従業員そのものを狙うようになった今、私たち自身がアカウントを守らねばなりません。個人のアカウントが破られれば、組織や家族までもが脅威にさらされ続けます。

　あなたのアカウントは、あなたの金銭資産そのものだと考えれば、「守らねば！」と思えるはず。いくら日本は治安が良いとはいえ、現金資産を金庫に入れないなんてことはないはずです。デジタルな金庫は、あなた自身が運用し、管理するしかありません。まずはその一歩として、アカウントを守ることを考えてみてください。

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門　「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。