「パスワードは全部同じにしている」
正直、多くの人がやっています。
ですが、これはセキュリティ的には最も危険な状態です。
なぜなら、1つ漏れたらすべて突破されるからです。
結論：1つの漏えいが“連鎖事故”になる
パスワード使い回しの本質的な問題は、
「単体の事故で終わらない」ことです。
攻撃者は、
- 流出したID・パスワード
- それを使って他サービスにログイン
を自動で行います。
これを「リスト型攻撃」と呼びます。
つまり、
1つのサービスの漏えいが、他のサービスにも波及します。
なぜそんなことができるのか
理由はシンプルです。
多くの人が同じパスワードを使っているからです。
攻撃者は以下のように動きます。
- 流出したID/PWのリストを入手
- 自動ツールで他サービスにログイン試行
- ログイン成功したアカウントだけを抜き出す
この処理は完全に自動化されています。
つまり、
「狙われる」のではなく「当たる」世界です。
実際に起きた被害① 任天堂アカウント
2020年、任天堂アカウントで大規模な不正ログインが発生しました。
- 約16万件以上のアカウントが被害
- クレジットカード・PayPalで不正購入
問題のポイントはここです。
任天堂側が直接破られたわけではない
つまり、
他サービスから流出したパスワードの使い回しが原因でした。
これは非常に重要です。
どんなにサービス側が強固でも、
ユーザー側の使い回しで突破される
ということです。
実際に起きた被害② 個人サービスの乗っ取り
NetflixやAmazonなどでも同様の被害が多発しています。
典型的な流れはこうです。
- 別サイトでパスワード流出
- 同じパスワードでログインされる
- アカウントが乗っ取られる
具体的には、
- 勝手にプロフィール変更
- 登録メールアドレス変更
- 課金される
などが起きます。
本人はログインできなくなります。
実際に起きた被害③ 企業メール乗っ取り
ここが一番深刻です。
企業では、
- メールアカウントが乗っ取られる
と、以下のような被害につながります。
- 取引先に偽メール送信
- 請求書の振込先を書き換え
- 実際にお金が振り込まれる
これは「ビジネスメール詐欺」と呼ばれます。
数百万円〜数千万円の被害になるケースもあります。
そして原因の多くは、
パスワードの使い回しです。
企業環境ではさらに危険
企業では、複数のシステムが連携しています。
例えば、
- メール
- VPN
- 社内システム
これらが同じ認証基盤で動いている場合、
1つ突破されると全部アクセス可能になります。
つまり、
外部から内部侵入される入り口になる
ということです。
対策① パスワードは必ず分ける
基本ですが最重要です。
サービスごとに異なるパスワードを設定します。
ただし、
人間の記憶では限界があります。
対策② パスワード管理ツールを使う
ここで重要なのがツールです。
- Bitwarden（無料あり）
- 1Password
- LastPass
これらを使うことで、
- 長くて安全なパスワードを自動生成
- 覚える必要がなくなる
結果的に安全性が上がります。
対策③ 多要素認証（MFA）を必ず使う
これが最も効果的です。
MFAとは、
- パスワード＋スマホ認証
のように、複数の認証を組み合わせる仕組みです。
これにより、
パスワードが漏れてもログインできません。
おすすめツールは以下です。
- Microsoft Authenticator
- Google Authenticator
まとめ
パスワード使い回しは非常に危険
実際に多くの被害が発生している
1つの漏えいが連鎖する
ツールとMFAで対策する
コメント