こうして情報漏えいは起きる(1)―「パスワードの使い回し」という静かな落とし穴―

情報漏えいというと、映画のようなハッカーの侵入や、大企業への大規模攻撃を思い浮かべる方が多いかもしれません。しかし実際には、もっと地味で、もっと身近なところから起きています。

今回は、その中でも特に多い原因のひとつである「パスワードの使い回し」に絞ってお話しします。

「え、それだけ？」と思われるかもしれません。しかし、この「それだけ」が、驚くほど多くの被害を生んでいるのです。

パスワードの使い回しとは、複数のサービスで同じIDとパスワードの組み合わせを使うことです。たとえば、以下のようなサービスすべてで同じパスワードを設定している状態を指します。

気持ちはよくわかります。覚えるのは大変ですし、毎回違うものを考えるのも面倒です。「自分は大した人間じゃないから狙われないだろう」と思ってしまうこともあるでしょう。

ですが、攻撃者は「あなた個人」を狙っているわけではありません。「使い回している人（＝セキュリティの甘い扉）」を機械的に探しているのです。

では、具体的にどのように被害が広がるのでしょうか。ここで、専門用語で「パスワードリスト攻撃（アカウントリスト攻撃）」と呼ばれる手法の典型例を見てみましょう。

結果として、以下のような被害が発生しました。

発端は「会社とは全く関係ないネットショップ」だったのです。

ここで大切なのは、攻撃は手作業ではないという点です。攻撃者は自動化されたツールを使い、何万件、何十万件というログインを一気に試します。私たちが「そんな偶然あるわけない」と思っている間に、コンピュータはものの数分で試行を終えます。

しかも最近は、流出したデータ（IDやパスワードだけではなく、氏名や電話番号などの個人情報を含む）をまとめて販売する闇市場や、過去の流出情報を集約したデータベースも存在します。「昔どこかで登録して、もう使っていないサイト」がきっかけになる可能性も十分にあるのです。

パスワードを使い回すということは、「家の鍵、車の鍵、金庫の鍵をすべて同じにする」ことと同じです。もし一つ落としたら、全部が開いてしまいます。

デジタルの世界では、コピーが一瞬で行われます。家の鍵なら「あれ、ないぞ」と気づきますが、データは静かにコピーされるため、何も壊れず、何も音がしません。被害が出て初めて気づくケースがほとんどなのです。

多くの方が「今まで問題なかったから大丈夫です」と言います。ですが、それは「今まで事故に遭っていないからシートベルトはいらない」と言っているのと似ています。事故は頻繁には起きませんが、起きたときの被害は甚大です。

対策はシンプルですが、人間の記憶力に頼るには限界があります。以下の3つを実践してください。

パスワード管理アプリを使う（推奨）
「全部覚えられない」のは当然です。1Password、Bitwarden、ブラウザ標準の管理機能などを使い、人間は「マスターパスワード」1つだけを覚え、あとはツールに任せましょう。
多要素認証（MFA/2FA）を設定する
パスワードに加えて、スマホへの通知やコード入力を必須にする設定です。これがあれば、万が一パスワードが漏れても、最後の砦として侵入を防げます。
長く、推測されにくい文字列にする
サービスごとに異なる、意味のない文字列（英数記号混在）が理想です。現在では１２文字以上が推奨です。重要なシステムには１５文字以上が望ましいです。

紙に付箋で貼ってモニターにベタベタ貼る方法は……おすすめしません。掃除のときに全部見えてしまいますし、紛失のリスクもあります。