不正ログインかもしれないと思いパスワードを変更したとき、「これで相手の端末は使えなくなったのか」と気になるものです。結論から言うと、パスワード変更は重要な初動ですが、すでにログインしている端末やアプリを必ず同時に終了させる操作とは限りません。
パスワードとログイン中の状態は、別に管理されることがある
パスワードは、サービスに最初にログインするときに本人かどうかを確かめる情報です。一方、ログインした後のブラウザやアプリでは、毎回パスワードを入力しなくても使えるよう、ログイン状態を示す別の情報が端末側に保存されることがあります。
この情報は、ブラウザではセッションCookie、アプリなどではログイン用トークンや更新トークンと呼ばれることがあります。いずれも、ログインを維持して使いやすくするための通常の仕組みです。パスワードそのものではありません。
サービス側がパスワード変更に合わせて既存のログイン状態を失効させる設計なら、変更によって利用を止められる場合があります。しかし、端末ごとの認証状態、アプリとの連携方法、使い勝手への配慮などにより、既存の状態をすぐには無効にしない場合もあります。つまり、「パスワードを変える」と「発行済みのログイン状態を消す」は、仕組み上、別の操作になり得ます。
「ログアウト」の対象範囲を画面の文言で確かめる
不正利用が疑われる場合は、メールや広告内のリンクを使わず、ブックマーク、公式アプリ、正規のURLから対象サービスを開きます。セキュリティ設定で、「ログイン中の端末」「デバイス」「セッション」「最近のアクティビティ」といった項目を探しましょう。
見覚えのない端末があれば、その端末の終了や削除を検討します。「すべての端末からログアウト」や「全セッションを終了」という操作があれば、実行前に対象範囲と注意書きを読みます。現在使っている端末までログアウトされるのか、どの種類のアプリに反映されるのかは、サービスごとに異なるためです。
「ログアウト」と書かれていても、すべてのブラウザ、スマホアプリ、メールソフト、外部アプリとの連携まで同じ範囲で無効になるとは限りません。反対に、自分の端末がログアウトされたことだけで、あらゆるアクセス経路が閉じたとも判断できません。画面の説明と公式ヘルプで、何を終了する操作かを確認することが大切です。
パスワード以外で残るアクセス経路もある
パスワードを変更しても、別の認証情報が残ることがあります。たとえば、メールソフト用に作ったアプリ用パスワード、第三者アプリへ渡したアクセス権、共有端末のブラウザプロファイルなどです。パスキーでログインする設定がある場合も、通常のパスワードとは別に確認が必要になることがあります。
そのため、変更後は連携アプリやアプリ用パスワードの一覧も見直します。心当たりのない連携は解除し、使っていないアプリ用パスワードは削除を検討します。メールアカウントでは、自動転送や受信フィルタに見知らぬ設定がないかも確認します。
仕事用、学校用、金融機関、携帯電話会社のアカウントでは、通常のログアウト操作だけで対応できないことがあります。所属組織の管理者への連絡、利用停止の手続き、関係先への連絡が必要な場合があります。ログインできない、変更通知が届かない、復旧用メールアドレスや電話番号まで変えられているときは、設定変更を繰り返すより、公式のアカウント復旧窓口や不正利用窓口を使います。
見知らぬ端末表示だけで、すぐ不正アクセスとは決めない
端末一覧の名称、地域、時刻は確認材料になりますが、それだけで結論は出せません。端末名が分かりにくいことがあり、通信事業者やVPNの利用で地域表示が実際の場所とずれることもあります。自分や家族が使う端末、古いブラウザの記録ではないかも照らし合わせましょう。
一方で、心当たりのない操作履歴、プロフィールや復旧情報の変更、送信済みメール、購入履歴などがあれば、個別の表示より優先して確認します。不審な端末が自分のものだった場合にも備え、OSとブラウザを更新し、画面ロックや不要なアプリも見直します。
不正利用が心配なときの確認順序
まず、使い回しのない新しい長いパスワードへ変更します。長いパスワードをサービスごとに用意するには、パスワードマネージャーを使う方法もあります。次に、端末・セッション一覧を確認し、必要に応じて個別の終了や全端末ログアウトを行います。
続けて、二段階認証の登録方法、復旧用メールアドレスと電話番号、バックアップコードを確認し、見知らぬ項目を削除します。その後、連携アプリ、アプリ用パスワード、メール転送・フィルタを見直し、不審な変更や利用履歴がないかを確認します。
パスワードを定期的に一律変更することを万能策と考えるより、漏えいや不正利用の疑いがあるときに、変更とログイン状態の確認を組み合わせるほうが実用的です。「変更」「全端末ログアウト」「端末削除」「連携解除」がそれぞれ何を対象にするのかを読み分けると、変更後の確認漏れを減らせます。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。