自分でログインしていないのに、スマホへ「承認しますか」という通知が届くと不安になります。心当たりがなければ承認しないことが基本です。ただし、拒否できたからといって、確認が不要とは限りません。
繰り返す承認通知は「誤って押す」ことを狙う場合がある
パスワードに加えてスマホで確認する二段階認証は、パスワードだけではログインしにくくする仕組みです。通知を承認する方式では、本人の端末で追加の確認が必要になります。
一方で、第三者が入手したパスワードなどを使って何度もログインを試すと、本人の端末へ通知が続けて届くことがあります。利用者が通知を止めたくなったり、何かの確認だと思ったりして誤って承認することを狙う手口は、MFA疲労攻撃と呼ばれます。MFAは「多要素認証」、つまり複数の要素で本人確認をする方法のことです。
通知が一度届いただけで、パスワードが漏えいした、あるいはアカウントに入られたとは断定できません。自分が古い端末や別のブラウザーでログインしようとした、連携アプリが再認証を求めた、入力を間違えた、といった理由もあり得ます。それでも、覚えのない通知を承認しない判断は重要です。
まずは通知を承認せず、通知の外から公式画面を開く
心当たりがない通知を受けた直後は、次の順で確認します。
1つ目は、承認しないことです。拒否ボタンがある場合は拒否し、判断できない場合も承認しません。通知内のリンク、電話番号、案内文には従わないようにします。
2つ目は、通知を閉じてから、自分で公式アプリを開くか、保存しているブックマークや手入力した公式サイトを開くことです。通知画面そのものを本物かどうかの判断材料にせず、普段使う入口からアカウントを確認します。
電話、SMS、メール、チャットで「サポートが送った通知なので承認してほしい」と言われても、その依頼を理由に承認してはいけません。自分が新しい端末やブラウザーでログインを始めた直後であっても、承認前にサービス名、端末、場所、時刻、数字の照合内容などを確認します。
拒否後に見るのは「ログイン履歴」「端末管理」「復旧情報」
設定画面の名称はサービスごとに異なりますが、「セキュリティ」「最近のアクティビティ」「ログイン履歴」「端末管理」などを探します。確認したい対象は、最近の成功・失敗したログイン、現在ログイン中の端末やセッション、登録済み端末、連携アプリです。
見覚えのない端末やログインがあれば、サービスの案内に従ってログアウトや削除を行います。ただし、パスワードを変更しただけで、すべてのログイン状態が必ず終了するとは限りません。端末やセッションを個別に終了する項目がないかも確認します。
次に、復旧用メールアドレス、電話番号、認証方法、通知先に変更がないか確認します。特に復旧用メールアドレスは優先して見ます。第三者に復旧先を変更されていると、後からパスワードを再設定されるおそれがあるためです。
パスワード変更が必要かは、使い回しと確認結果で判断する
同じパスワードを他のサービスでも使っている、短い・推測されやすいパスワードである、漏えいが疑われる、不審なログインや設定変更が見つかった。このような場合は、公式画面から、そのサービス専用の長く新しいパスワードへ変更します。パスワードマネージャーを使うと、サービスごとに異なるパスワードを作って保管しやすくなります。
一方、通知が一回だけで、ログイン履歴・端末・復旧情報に不審な点がなく、パスワードも固有で十分に管理できている場合でも、しばらくは同じ画面を見直せるようにしておくと判断しやすくなります。繰り返し通知が届く場合は、パスワードの見直しを優先します。
誤承認を減らす認証方式も検討する
利用しているサービスが対応していれば、画面に出た数字を認証アプリで照合・入力する方式など、単に「承認」を押すより確認しやすい方式を選べることがあります。パスキーやセキュリティキーは、利用環境によってはフィッシングへの耐性を高める選択肢になります。
ただし、使える方式や設定項目はサービスによって異なります。特定の方法だけを万能と考えるのではなく、公式ヘルプの現在の設定画面を確認し、自分が継続して使える方法を選びます。
不正の兆候があれば、確認の範囲を広げる
見覚えのない成功ログイン、復旧情報や認証方法の変更、繰り返す通知、メールアカウントの異常がある場合は、単なる拒否で終えず、サービスの公式サイトから不正利用・アカウント復旧の窓口を探します。関連するメールアカウントや、必要に応じて決済手段も確認します。
仕事用・学校用のアカウントでは、所属組織に定められた連絡手順があることがあります。独断で端末を初期化する前に、情報システム部門や公式窓口へ相談する方法を確認しましょう。承認しないこと、公式画面から記録と復旧設定を見ること。この2つを分けて行うと、通知を受けた瞬間にも落ち着いて対応できます。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。