同じパスワードを複数のサービスで使うと、一つのサービスから認証情報が漏れたときに、別のサービスでも不正ログインを試される可能性があります。
使い回しに気づいたら、復旧用メールアカウント、AppleやGoogleのアカウント、金融や決済、パスワード保管先から固有パスワードへ移行します。
ここでいう復旧用メールアカウントは、各サービスからパスワード再設定の通知を受け取るメールサービスのアカウントです。
復旧先メールアドレスは、各サービスのアカウントに登録された再設定用の宛先で、復旧用メールアカウントと同じとは限りません。
緊急度を判断する
最初に、使い回しだけが分かっているのか、漏えいや不正利用の兆候があるのかを分けます。
| 状態 | 先にすること |
|---|---|
| 使い回しに気づいただけ | 復旧経路と金銭に関わるアカウントから固有パスワードへ変更します。 |
| サービスから漏えい通知が届いた | 通知されたサービスと同じパスワードを使っている全サービスを変更します。 |
| 不審なログイン通知や登録情報の変更がある | 公式のアカウント保護手順からセッション、登録情報、復旧先を確認します。 |
| ログインできない、購入や送金に異常がある | サービスの公式復旧窓口や金融機関へ連絡し、「不正ログインされた場合の初期対応」へ進みます。 |
変更作業は、メールで届いたリンクではなく、公式アプリや保存済みの公式URLから行います。
使い回しに気づいたら、どのアカウントから変える？
変更の順番と、変更後に確認する項目を整理するための例示会話です。
実在の相談記録ではありません。本文で確認した事実を、迷いやすい場面に置き換えています。
使い回しが分かったけれど、全部を同時に変えられない。どこから始めればいい？
他のサービスの復旧経路になるメール、AppleやGoogleのアカウント、金融や決済に関わるものから固有パスワードへ移行しよう。
漏えい確認サービスで問題が出なければ、変更を待ってもいい？
確認できる範囲には限りがあるよ。使い回しが分かった時点で、結果を待たずに変更し、ログイン履歴や復旧先も確認しよう。
今すぐ変更するアカウント
次の順で、現在使い回しているパスワードを固有のものへ置き換えます。
- 復旧用メールアカウント：他のサービスのパスワード再設定通知を受け取るため、最初に保護します。
- AppleやGoogleのアカウント：端末、バックアップ、保存情報と連携している場合があります。
- 銀行、カード、決済サービス：不審な取引がないかを確認し、必要なら発行元へ連絡します。
- パスワードマネージャー：保管庫への入口になるため、固有パスワードと追加認証を確認します。
- SNS、通販、クラウド：登録情報、連携サービス、購入履歴を確認します。
同じパスワードを使っているサービスが多い場合は、一覧を作り、変更済みかを記録します。
使い回しで被害が広がる仕組み
パスワードリスト攻撃は、別の場所で漏れたIDとパスワードの組み合わせを、複数のサービスで試す攻撃です。
一つのサービスで認証情報が漏れると、攻撃者が同じ組み合わせを別のサービスでも試せるため、使い回しが被害の連鎖につながります。
漏えいの原因は、サービス側のデータ侵害、フィッシング、マルウェア、端末の不正利用など一つに限りません。
利用者が慎重に操作していても、サービス側の事故を利用者だけで防げない場合があります。
そのため、漏えいの有無を待つのではなく、サービスごとに異なるパスワードを使う状態へ移行します。
アカウントを棚卸しする
重要度で分類する
一覧には、サービス名、ログインID、復旧先メールアドレス、復旧用メールアカウント自体の保護状況、決済の有無、現在のパスワードが他サービスと同じかを記録します。
紙やローカルファイルに記録する場合は、第三者に見られない場所と方法を選びます。
固有パスワードへ移行する
サービスごとに異なるパスワードを設定し、他のサービスで使った文字列を再利用しません。
変更後は、公式画面でログインできることと、復旧先メールアドレスや電話番号が自分のものかを確認します。
パスワードの変更だけで不正利用の痕跡が消えるわけではないため、ログイン履歴、注文履歴、送金履歴も確認します。
多要素認証を有効にする
多要素認証は、パスワードに加えて認証アプリ、セキュリティキー、端末確認など別の要素を使う認証です。
多要素認証を設定すると、パスワードが知られた場合でも、追加の認証が必要になるため、不正ログインのリスクを下げられる場合があります。
設定方式と優先順位は、「2段階認証を設定するアカウントの優先順位」で確認できます。
漏えい確認と変更のタイミング
漏えい確認サービスは、確認できるデータの範囲と更新時期を確認してから使います。
Have I Been PwnedやMozilla Monitorなどは、メールアドレスが公表されたデータ侵害情報に含まれるかを確認する入口になります。
Googleアカウントやブラウザに保存したパスワードは、Google パスワード マネージャーの公式案内から確認します。
確認結果に問題がなくても、まだ公表されていない漏えいや、別の漏えい経路まで否定できるわけではありません。
次の状態では、漏えい確認の結果を待たずに変更します。
- 不正ログインや不審な操作の通知がある
- フィッシングサイトに入力した
- 端末でマルウェア感染が疑われる
- サービスから認証情報の変更を求められた
- 同じパスワードを使い回していることが分かった
入力先がフィッシングサイトだった場合は、「フィッシングメールの見分け方と入力後の対処」の入力後対応も確認します。
パスワードマネージャーの役割と限界
パスワードマネージャーは、サービスごとの認証情報を暗号化して保管し、固有パスワードの生成や自動入力を支援する仕組みです。
一つのマスターパスワードで管理できるため、サービスごとに異なるパスワードへ移行しやすくなります。
一方で、マスターパスワード、復旧手段、端末、提供事業者の仕様を別に管理する必要があります。
自動入力が表示されないことは、アクセス先を確認する材料になりますが、すべてのフィッシングを防ぐ保証ではありません。
製品の選び方や復旧条件は、「パスワードマネージャーとは何か」で確認します。
移行後に確認すること
パスワードを変更した後は、次の項目をサービスごとに確認します。
- 現在のログインセッションや登録端末を確認し、不要なものを解除する
- 復旧先メールアドレス、電話番号、バックアップコードを確認する
- 多要素認証の方式と、端末紛失時の復旧方法を確認する
- 決済情報、配送先、連携アプリ、共有設定を確認する
- 変更日時と未対応のサービスを一覧に記録する
ログインできない、復旧用情報を変更された、決済や送金に異常がある場合は、パスワード変更だけで終わらせず、サービスと金融機関の公式窓口へ連絡します。
よくある質問
パスワードは定期的に変更する必要がありますか？
漏えいや不正利用の兆候がないのに一律の周期で変更するより、使い回しの解消、漏えい通知、入力後の変更を優先します。
サービスが変更周期を指定している場合は、その公式案内に従います。
パスワードマネージャーのマスターパスワードを忘れました。
製品によって復旧方法が異なり、復旧できない場合もあります。
登録時に公式案内を確認し、復旧キーや予備の認証手段を安全に保管します。
参考資料
最終更新日：