パスワードを使い回すと、一つの場所で漏れたログイン情報が、別のサービスでも試されるおそれがあります。このように、流出したIDとパスワードの組み合わせを別の場所で使う手口を、リスト型攻撃と呼びます。
長くて複雑なパスワードでも、相手がすでに正しい文字列を知っていれば、複雑さだけでは守れません。「推測されにくくすること」と「一か所の被害を広げないこと」は、別に考える必要があります。
パスワードの使い回しで被害が広がる理由
通販サイトAとメールサービスBで、同じメールアドレスとパスワードを使っているとします。Aに登録した組み合わせが何らかの経路で盗まれると、攻撃者はBでもその組み合わせを試せます。
B自体からパスワードが漏れていなくても、Bへ入られる可能性があるのです。これは仕組みを説明する例で、特定のサービスの被害を指していません。
サービスAで使うIDとパスワードが何らかの経路で盗まれる
攻撃者が同じ組み合わせをサービスBへ入力する
同じ組み合わせで、追加の防御も通ると不正利用され得る
仕組みを示す仮の例です。サービスB自体から情報が漏れたとは限りません。
IDは、どの利用者のアカウントかを指定する情報です。サービスによってはメールアドレスを使います。パスワードは、そのアカウントを使う本人か確かめるための秘密の情報です。基本はログインの仕組みでも説明しています。
リスト型攻撃は「パスワードリスト攻撃」や「クレデンシャルスタッフィング」とも呼ばれます。クレデンシャルは、ここではログインに使う認証情報のことです。難しい名前ですが、要点は盗んだ組み合わせを別の入口でも試すことにあります。
ただし、同じ組み合わせがあれば必ず不正利用に成功するわけではありません。追加の本人確認やサービス側の検知などで防げる場合もあります。それでも、使い回しが攻撃に使える手がかりを増やすことは変わりません。
リスト型攻撃と総当たり攻撃の違い
違いは、すでに入手した組み合わせを使うのか、まだ分からないパスワードを候補から探すのかです。
| 手口 | 試すもの | 注目する対策 |
|---|---|---|
| リスト型攻撃 | 別の場所で入手したIDとパスワードの組み合わせ | サービスごとに別々にする、追加の本人確認を使う |
| 総当たり攻撃 | 文字の組み合わせなど、多数の候補 | 長く推測されにくくする、サービス側で試行を制限する |
| パスワードスプレー | よく使われる少数のパスワードを、多くのアカウントへ試す | よくあるパスワードを避ける、追加の本人確認を使う |
OWASPの認証攻撃への対策資料も、漏れた組み合わせの再利用と、候補を試す攻撃を区別しています。表は利用者が違いを理解するための整理で、攻撃のすべてや、運営側の対策を網羅したものではありません。
長いパスワードは、候補を探り当てられにくくするうえで役立ちます。別々のパスワードは、一つを知られてもほかへそのまま使われにくくします。どちらかだけで十分、という関係ではないのです。
末尾の数字だけ変えれば使い回しを防げる？
完全に同じ文字列ではなくなりますが、共通部分や変え方が分かりやすいと、別のサービス用も推測されるおそれがあります。「同じものにサイト名や数字を少し足す」だけで安心せず、ほかのパスワードから予想しにくいものにします。
使い分けのために全部を暗記する必要はありません。パスワードを生成・保存する管理機能も選択肢です。保存先の保護や復旧方法を含めて、利用する機能の公式案内を確認します。職場では、組織のルールに従ってください。
使い回したパスワードはどこから見直す？
「別々にするのが大切なのは分かる。でも何十個もある」と感じる人もいるでしょう。すでに漏えいや不正利用の案内がある場合と、普段の見直しとで、着手する順番を分けます。
漏えいや不正利用が疑われる場合
対象サービスの公式案内に従い、そのパスワードと、同じものを使っているほかのサービスを見直します。新しいパスワードも、各サービスで別々にしてください。漏れた古いパスワードを、別の場所へ使い直さないことも大切です。
警察庁の不正アクセス対策は、被害先への相談に加え、同じパスワードを使っている他サービスでも変更するよう案内しています。ログインできない場合は、公式の復旧・相談窓口へ進みます。
変更だけで全対応が終わるとは限りません。不審な操作やログイン中の端末、復旧先の変更など、公式手順で求められる項目も確認します。通知のリンクが本物か迷う場合は、普段使う公式アプリや保存済みの入口から確かめてください。
まだ被害の兆候がなく、使い回しを減らしたい場合
次は、優先する場所を決めるための例です。実際の重要度は、自分が何を登録しているかで変わります。
| 先に見直す候補 | 優先する理由 |
|---|---|
| 普段使うメール | ほかのサービスの再設定案内を受け取る入口になることが多い |
| 決済や買い物に使うアカウント | 支払い、購入履歴、住所などに関係する |
| 写真・書類を保存するアカウント | 他人へ見せたくない情報がまとまっていることがある |
| 仕事や学校のアカウント | 自分以外の情報や作業にも影響し得る。管理担当の方針を確認する |
Googleのパスワード保護の案内でも、重要なアカウントを使い分けることや、管理機能を使う方法が説明されています。
まずはメール一つから、使い回しがないか確認してみてください。見直し用のメモへパスワードそのものを並べたり、他人へ送ったりする必要はありません。
パスキー・二段階認証で減らせるリスク
対応するサービスでは、パスキーも選択肢になります。パスキーは、端末での確認などを使ってログインする仕組みで、同じパスワードを各サイトへ入力する方法とは異なります。基本と使える条件は、パスキーとは何かで確認できます。
二段階認証などの追加の確認も、盗まれたパスワードだけで利用される危険を減らします。ただし、承認通知をだまされて許可したり、端末自体に問題があったりする場合まで、すべて防ぐ保証ではありません。二要素認証の役割と合わせて考えます。
パスキーを追加しても、従来のパスワードで入れる経路が残るサービスでは、その経路の保護も必要です。「新しい方法を一つ設定したから、古い使い回しはそのままでよい」とは限りません。
覚えておきたいのは、強いパスワードを一つ作って配るより、漏れても同じものがほかで使えない状態にすることです。重要なメールから使い回しを減らし、対応する追加の本人確認を整える。それぞれの対策の役割が分かれば、見直す順番も決めやすくなります。
