パスワード漏洩を確認する方法｜流出したときに最初にやること

漏洩は自分の端末ではなくサービス側で起きている

漏洩の警告を見ると、まず自分の端末がウイルスに感染したのかと考えがちです。しかし実際に多いのは、利用していたサービス側からアカウント情報がまとめて流出し、そのリストが出回るケースです。自分の操作に落ち度がなくても起こり得ます。

1行目を自分では防げない以上、対策の中心は「漏れないようにすること」ではなく「漏れたときに他へ広がらないようにすること」になります。同じパスワードを複数のサービスで使っていると、1か所の流出が全アカウントの流出とほぼ同じ意味を持ちます。

漏洩したかどうかを確認する4つの方法

確認手段は複数あります。どれか1つで安心するのではなく、上から順に見ていくと取りこぼしが減ります。

1. 1

   ブラウザやOSのパスワードチェック機能を見る

   主要なブラウザとスマートフォンのOSには、保存済みパスワードが流出リストに含まれていないかを点検する機能があります。設定内のパスワード管理画面から実行でき、危険なもの・使い回しているもの・弱いものを一覧で示してくれます。まずここを開くのが最短です。

2. 2

   サービスからの通知を確認する

   流出が確認された場合、運営から通知が届くことがあります。ただし通知を装ったフィッシングも多いため、メール内のリンクは踏まず、公式サイトやアプリを自分で開いてお知らせを確認してください。

3. 3

   ログイン履歴とセッションを確認する

   主要なサービスには、直近のログイン日時・地域・端末を確認できる画面があります。見覚えのない地域や端末があれば、そこが実害の出ている場所です。同じ画面から、不明なセッションを個別に強制ログアウトできます。

4. 4

   漏洩チェックサービスで照合する

   メールアドレスを入力すると、過去に公開された流出データに含まれているかを調べられるサービスがあります。信頼できる運営元のものを選び、パスワードそのものを入力させる作りになっていないかを必ず確認してください。

通知が来なくても疑うべき兆候

流出が公表されるまでには時間がかかることがあり、公表されないまま悪用される場合もあります。次のような出来事は、警告が出ていなくても確認のきっかけにしてください。

• 身に覚えのない「ログインを承認しますか」という通知や、2要素認証のコードが届く。誰かが正しいパスワードを入力できている状態です。
• パスワード再設定のメールが、自分で操作していないのに届く。
• 送信済みフォルダに、自分が出していないメールがある。
• 見覚えのないログイン履歴がある、または勝手にログアウトされる。
• 普段より迷惑メールが急増する。メールアドレスが出回った兆候のことがあります。
• SNSで見覚えのない投稿やフォローが発生している。

とくに1つ目は緊急度が高い兆候です。コードが届く時点で、相手はパスワードを知っていて、2要素認証だけが最後の壁になっています。この場合はコードを絶対に入力・共有せず、すぐにパスワードを変更してください。

流出が分かったときにやる順番

一斉にすべてを変えようとすると時間がかかり、その間に被害が広がります。影響の大きいものから順に処理してください。

1. 1

   メールアカウントを最優先で変更する

   メールは他サービスのパスワード再設定の受け口です。ここを取られると、他をいくら変えても取り戻されます。順番として必ず最初に置いてください。

2. 2

   同じパスワードを使い回していたサービスをすべて変える

   流出元だけを変えても、リスト型攻撃では他のサービスが試されます。数字や記号を少し足しただけの類似パスワードも、同じものとして扱ってください。

3. 3

   金銭に直結するサービスを変える

   ネットバンキング、決済サービス、通販サイト。あわせて登録されている支払い方法と配送先に変更がないかも確認します。

4. 4

   不明なセッションをすべて強制ログアウトする

   パスワードを変えても、既にログイン済みの端末が残ることがあります。「すべての端末からログアウト」に相当する操作を実行してください。

5. 5

   2要素認証を有効にする

   パスワードが漏れても、その1点だけでは入れなくなります。回復コードは印刷するなどして、オンライン以外の場所に保管してください。

6. 6

   新しいパスワードはランダムに生成する

   自分で考え直すと、以前と似た形になりがちです。パスワード生成ツールで、サービスごとに異なる16文字以上の文字列を作り、ブラウザやパスワード管理機能に保存します。覚えるのは、それを開くための1つだけにします。

落ち着いたあとにやる再発防止

緊急対応が終わったら、次に同じことが起きても被害が広がらない状態を作ります。ここまでやって初めて、漏洩の通知が「確認するだけで済む出来事」に変わります。

なお、漏洩の兆候がないのに定期的にパスワードを変え続ける運用は、現在では積極的に推奨されていません。強制的な定期変更は、末尾の数字だけを変える弱いパターンを招きやすいためです。変えるべきタイミングは、漏洩の疑いがあるときと、使い回しを整理するときの2つだと考えてください。

よくある質問

パスワードが漏洩しているか確認する方法はありますか？

まずブラウザやスマートフォンのOSに用意されているパスワード点検機能を開いてください。保存済みのパスワードが流出リストに含まれていないか、使い回しや弱いものがないかを一覧で示してくれます。あわせて、各サービスのログイン履歴で見覚えのない地域や端末がないかを確認します。メールアドレスを入力して流出データと照合できる外部サービスもありますが、パスワードの入力まで求めるサイトは使わないでください。

「パスワードが漏洩しました」という警告が出たら本物ですか？

ブラウザやOSの設定画面に表示されるものは、保存済みパスワードと既知の流出リストを照合した結果で、信頼できます。一方、メールやWebサイトのポップアップで警告が出て、リンク先でログインを求めてくる場合はフィッシングの可能性があります。判断に迷ったら、届いたリンクは開かず、ブックマークや公式アプリから自分でサービスを開いて確認してください。

漏洩が分かったら、どのアカウントから変更すべきですか？

最初はメールアカウントです。メールは他サービスのパスワード再設定の受け口になっているため、ここを押さえられていると他を変えても取り戻されます。次に、同じパスワードを使い回していたサービス、続いて金銭に直結するサービスの順です。変更後は「すべての端末からログアウト」に相当する操作でセッションを切り、2要素認証を有効にしてください。

身に覚えのない認証コードが届いたらどうすればいいですか？

コードは絶対に入力も共有もせず、すぐにそのサービスのパスワードを変更してください。コードが届いている時点で、相手はパスワードを知っていて、2要素認証だけが残りの壁になっている状態です。「コードを教えてほしい」という連絡が同時に来ることもありますが、正規の運営がコードを尋ねることはありません。変更後はログイン履歴を確認し、不明なセッションを強制ログアウトしてください。