「3か月ごとにパスワードを変えるほど安全」と考えていませんか。現在は、異常がない個人アカウントに短い周期の変更を一律に求めるより、サービスごとに異なる長いパスワードを使い、危険な兆候があれば速やかに変更する考え方が重視されています。
なぜ定期変更が広まったのか
パスワードが長く同じままだと、盗み見、推測、漏えい、共有端末への保存などが起きた場合に、悪用されうる期間も長くなります。そこで、一定期間で古いパスワードを使えなくする運用は、被害の範囲を限る手段の一つと考えられてきました。
特に組織では、利用者ごとのパスワードの強さや管理状況を十分に確認しにくい時代がありました。一律の変更期限は、管理しやすい対策でもありました。
頻繁な変更だけでは守りにくい理由
変更を急がされると、覚えやすい短い言葉にしたり、以前のパスワードに少しだけ似せたり、複数のサービスで似たものを使ったりしがちです。こうした行動は、別のサービスで情報が漏れたときの影響を広げる原因になります。
そのため、NISTを含む公的・主要なセキュリティ指針では、根拠のない短周期の一律変更を中心策にするよりも、侵害の証拠や疑いがある場合の変更、パスワードの長さとサービスごとの固有性、使い回し対策、追加認証を重視する方向性が広く知られています。これは「定期変更をしてはいけない」という意味ではありません。
勤務先、学校、利用中のサービスに変更期限の規則がある場合は、その規則に従いましょう。組織用アカウントで異常に気づいたときは、独断で対応を終えず、定められた窓口や管理者への報告が先になることもあります。
平時に優先したいのは「長く、使い回さない」こと
変更頻度を下げる考え方の前提は、短いパスワードや使い回しを放置することではありません。サービスごとに異なる、十分に長く、他人に推測されにくいパスワードを設定することが基本です。
長さだけでどんな文字列でもよいわけではありません。名前、誕生日、住所、よく知られた言葉の単純な組み合わせは避けます。多くの複雑な文字列を暗記しようとするより、信頼できるパスワードマネージャーでサービスごとに生成・保存する方法を検討すると、使い回しを減らしやすくなります。
重要なアカウントでは、利用できる場合に多要素認証も設定しましょう。多要素認証は、パスワードに加えて別の確認を行う仕組みです。また、復旧用メールアドレスや電話番号が現在使えるものかも確認します。
後回しにせず変更を検討したい6つの合図
次のような出来事があれば、定期日を待たずにパスワード変更を検討してください。サービス自身、または信頼できる漏えい監視機能から、そのアカウントや使用したパスワードに関する通知を受けたとき。身に覚えのないログイン通知、認証コード、購入、投稿、設定変更があったとき。偽サイト、偽アプリ、偽のサポート窓口にパスワードを入力したときも該当します。
さらに、他人とパスワードを共有したとき、共有端末や他人の端末で入力し、保存されたか確認できないとき、端末のマルウェア感染や不審な挙動が疑われるときも見直しの合図です。同じ、または似たパスワードを使っている別サービスで漏えいや乗っ取りが起きた場合も、影響が及ぶ前に変更を進めます。
優先順位を付けるなら、最初は主要なメールアカウントです。メールは他サービスのパスワード再設定に使われることがあるためです。次に、金融・決済、携帯電話会社、クラウド保存、仕事用のアカウントを確認します。
不審な出来事の後は、変更だけで終わらせない
通知が来ないから侵害がない、とまでは言えません。一方で、通知を受けたからといって慌てて全サービスを同時に操作する必要もありません。まず重要度の高いアカウントから、公式アプリや自分で開いた公式サイトでパスワードを変更します。メールやSMSのリンクから急いで操作するより、偽サイトを避けやすくなります。
侵害が疑われる場合は、サービスの案内に沿って、ログイン履歴、登録メールアドレスと電話番号、決済履歴、メールの転送設定、連携アプリ、ログイン中の端末も確認します。見覚えのない変更があれば、利用先のサポート窓口や金融機関の案内に従って対応してください。
今日できる4つの確認
第一に、メール、金融・決済、通信会社、クラウドの順に、同じまたは似たパスワードを使っていないかを書き出します。第二に、使い回しが見つかったら、重要なものからサービスごとに異なる長いパスワードへ変えます。第三に、漏えい通知、不審なログイン、フィッシングサイトへの入力、共有や端末の紛失・感染の疑いを、自分にとっての変更の合図として決めておきます。第四に、重要アカウントの多要素認証と復旧用連絡先を確認します。
定期変更の有無だけで安全性は決まりません。平時は使い回しを減らし、異常時には何を優先して変え、何を確認するかを決めておくことが、日々の判断に役立ちます。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。