ブラウザやパスワードマネージャーに「このパスワードは漏えいしました」と表示されると、誰かが今ログインしているのではないかと心配になるかもしれません。多くの場合、この警告は現在の侵害を直接示すものではなく、過去に知られた認証情報の記録と一致する可能性を知らせるものです。ただし、今も同じパスワードを使っているなら、確認を後回しにしないほうがよいでしょう。
警告が示すのは「過去の記録」との一致可能性
この種の機能は一般に、過去に流出、公開、取引された認証情報の記録と、保存されているパスワード、またはメールアドレスとパスワードの組み合わせを照合し、注意を促します。
認証情報が知られる経路は一つではありません。サービスへの侵害で顧客データが持ち出される場合もあれば、偽サイトや端末上の不正なプログラムによって入力情報が盗まれる場合もあります。また、過去の侵害で持ち出されたパスワード情報が、平文のパスワードだったとは限りません。
したがって、警告だけから「表示されたサービスが最近侵害された」「このアカウントに不正ログインされている」とは判断できません。製品ごとに照合する範囲や、警告を更新・消去する条件も異なります。表示文言から漏えい時期や原因を特定しようとせず、次の三つを分けて考えることが大切です。
確認するのは「過去」「現在」「使い回し」の三層
一つ目は、過去に知られた文字列の記録です。保存庫に残る古いパスワードや、すでに退会したサービスの項目に対する警告かもしれません。
二つ目は、そのサービスに現在設定しているパスワードです。警告が出た後にすでに別の長くランダムなパスワードへ変更しているなら、保存庫が古い情報を指している可能性があります。その場合も、実際にサービスへ設定されているものと保存内容が一致しているかを確認し、古い項目は更新または削除します。
三つ目は、他サービスとの使い回しです。攻撃者は入手したIDとパスワードの組み合わせを、別のサービスでも試すことがあります。これはパスワードリスト攻撃と呼ばれます。同じ文字列だけでなく、「末尾の数字だけ変えた」ような推測されやすい派生形も、実質的な使い回しとして扱うほうが安全です。
警告が出たときの確認順
まず、警告の対象となったサービス名、ログインID、保存パスワードを見て、現用のアカウントか、変更済みまたは退会済みの古い項目かを見分けます。保存庫に似た名前の登録が複数あるときは、特に取り違えに注意します。
現在も使っていて、同じまたは似たパスワードをほかでも使っているなら、メールアカウントと影響の大きいアカウントから優先します。通知画面やメール内のリンクは使わず、公式サイトや公式アプリを自分で開いてください。サービスごとに異なる新しいパスワードへ変更し、生成機能を使える場合は長くランダムな文字列を作る方法が役立ちます。
変更後は、ブラウザやパスワードマネージャーの保存内容も新しいものに更新します。不要な重複項目、退会済みの項目、旧パスワードのメモを整理すると、次回の警告を判断しやすくなります。
警告だけで終えず、影響が大きいアカウントを点検する
メール、主要なパスワードマネージャー、金融・決済、通信、行政手続き、仕事用のアカウントは、乗っ取り時の影響が大きいため優先度を上げます。可能であれば、多要素認証やパスキーを設定し、復旧用メールアドレス・電話番号、ログイン中の端末やセッション、最近の利用履歴も確認します。
身に覚えのないログイン通知、購入や送金、投稿、登録情報や復旧先の変更、見知らぬ端末がある場合は、単なる過去の記録として扱いません。公式サイトや公式アプリの案内に従い、パスワード変更、端末やセッションの確認、不正利用窓口への連絡を進めます。
一方で、使い回しがなく、対象のパスワードはすでに変更済みで、利用状況や設定にも不審点がないなら、原因を過度に推測する必要はありません。警告が消えたかどうかだけを安全確認の基準にはせず、保存項目を整え、今後の再利用を避けることが実用的です。
会社・学校・共有アカウントは単独で変更しない場合もある
会社や学校のアカウントは、組織の認証設定や業務端末に関係することがあります。警告が出ても、まず組織の手順や管理者窓口を確認してください。共有アカウントでは、関係者が古いパスワードを保存していることもあるため、変更の連絡と、可能なら個人別アカウントなど安全な共有方法への移行を検討します。
漏えい警告は、不正ログイン中だと決めつける通知でも、古い話だから無視してよいという通知でもありません。「今のパスワードは何か」「ほかで使っていないか」を確かめるための点検の入口として扱いましょう。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。