「母親の旧姓」や「最初に飼ったペットの名前」は、本人しか答えられないので安全だと思われがちです。しかし、こうした秘密の質問は、強いパスワードと同じようには扱えません。生活に結び付いた答えは覚えやすい一方で、他人にも推測、調査、聞き出しをされる可能性があるためです。
秘密の質問は、忘れたパスワードを復旧するために広まった
秘密の質問は、利用者がパスワードを忘れたとき、窓口や郵送を使わずに本人らしさを確かめる目的で使われてきました。家族構成、出身地、学校名、旧姓などは、以前は身近な人しか知らない情報と考えられがちでした。
利用者が答えを覚えやすく、サービス側も質問と回答を用意しやすいことは利点です。ただし、「覚えやすい個人情報」は、現在では「他人も手掛かりを集めやすい情報」になり得ます。SNSの投稿やプロフィールだけでなく、家族・友人の投稿、過去の紹介記事、会話などから断片的な情報が結び付くことがあります。
パスワードより危険かは、一律には決められない
秘密の質問が残っているだけで、直ちに不正アクセスが起きるわけではありません。また、全てのサービスが秘密の質問だけでアカウントを復旧できるようにしているわけでもありません。回答のほかに、登録メールアドレス、ログイン済み端末、契約情報、追加の確認手続きなどを組み合わせる場合もあります。
一方、パスワードは通常、サービスごとに長く異なる文字列を設定できます。生活上の事実を答える秘密の質問は、答えそのものを自由に強くしにくい点が異なります。近年の認証に関する考え方でも、推測や調査、なりすましの連絡に影響され得る知識ベースの質問を、強い本人確認として単独で頼らない方向が広がっています。
重要なのは、「秘密の質問は危険だから全て消す」と決めることではありません。自分のアカウントで、その回答が復旧時にどの程度重く使われるのかを確認することです。
「家族しか知らない」「非公開SNSなら大丈夫」は十分な根拠にならない
母親の旧姓、ペット名、出身校などは、本人が公開していなくても、周囲の人の投稿や過去の情報から推測されることがあります。SNSを非公開にすることは公開範囲を抑える一つの方法ですが、それだけで答えを知られないとは限りません。
また、表記を少し変えるだけでは、質問の答えを守る方法として十分とはいえません。自分で再現できない表記にすると、今度は自分が復旧できなくなるおそれがあります。質問への回答をログイン用パスワードと同じ文字列にしたり、複数のサービスで同じ回答を使い回したりすることも避けましょう。
まず確認したいのは、古いアカウントの復旧設定
長く使っている会員サイトや重要なアカウントで、「セキュリティ」「アカウント」「ログインと復旧」などの画面を確認します。秘密の質問や本人確認質問が登録されていないかを探し、変更、削除、回答の更新ができるかを公式ヘルプで確かめます。
サービスが許す場合は、実生活の事実をそのまま答えるよりも、他人に推測されにくく、自分が確実に再現できる回答を設定する方法があります。その回答はパスワードとは別にし、サービスごとに使い回さないことが大切です。記録が必要なら、信頼できるパスワードマネージャーの安全なメモ機能など、家族共有の無防備なメモより管理しやすい場所を検討します。
ただし、金融機関、携帯電話会社、行政・医療・勤務先に関わる制度などでは、利用者が質問や復旧方法を任意に変えられないことがあります。この場合は、独自の回答を作ろうとせず、正規の窓口で登録情報の更新方法と、不審な連絡を受けた際の連絡先を確認します。生年月日、住所、契約情報、本人確認書類、購入履歴も、サービスの案内に従って扱う必要があります。
復旧できるかを、ログインできるうちに把握する
秘密の質問を変更できない場合は、回答につながる公開プロフィールや古い投稿がないかを見直し、不要なら公開範囲の調整や削除を検討します。そのうえで、登録メールアドレス、復旧用連絡先、ログイン履歴の確認方法、紛失や不正利用時の公式窓口も確認しておくと、復旧の仕組みを一つの情報だけに頼りにくくなります。
「本人しか知らないはず」という前提ではなく、「復旧時に何を材料として確認されるか」という視点で、古い設定を棚卸しすることが実用的な第一歩です。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。