パスワードを変更したのに、以前使ったスマホやPCがまだログインしたまま。これは必ずしも変更が失敗した意味ではありません。パスワード変更と、すでにログインしている端末をログアウトさせる処理は、サービスによって別に扱われることがあるためです。
パスワードは主に「次にログインするとき」の確認に使われる
多くのサービスは、画面を開くたびにパスワードを入力させるのではなく、最初のログイン後に端末やブラウザへログイン状態を示す情報を渡します。これをセッションIDやトークンと呼びます。トークンは、いったん本人確認を通った利用者が、一定期間続けて使うための引換証のようなものです。
この仕組みがあるため、パスワードは主に新しいログイン時の本人確認に使われ、すでに発行されたログイン状態とは別に管理される場合があります。利便性を保ち、毎回の認証処理を減らすために広く使われている考え方です。
ただし、パスワード変更を契機に既存のセッションを無効にするサービスもあります。どの端末がいつログアウトされるかは、サービスごとに異なります。同じサービスでも、Webブラウザ、公式アプリ、メールアプリ、ゲーム機やテレビなどで扱いが違うことがあります。
「変更した」と「全端末からログアウトした」は同じではない
アカウントの画面にある「すべての端末からログアウト」「他のセッションを終了」といった機能は、すでにログイン中の状態を終わらせるための操作です。パスワード変更だけでは不安が残る場合に、別途実行できることがあります。
ただし、この機能の対象範囲もサービスによって異なります。自分が操作している端末はログイン状態を維持する場合もあれば、すべての端末でログインし直しになる場合もあります。「全端末」と表示されていても、外部アプリへの連携、APIキー、アプリパスワードまで自動的に取り消されるとは限りません。実行前後に公式ヘルプで範囲を確認すると判断しやすくなります。
また、「この端末を信頼する」「ログインを記憶する」「二段階認証をしばらく省略する」といった設定は、通常のログインセッションやパスワードとは別の情報として残ることがあります。二段階認証を有効にしたからといって、過去のログイン状態が自動で無効になるとは限りません。
不審な利用が疑われるときの確認順
見覚えのないログイン通知や操作履歴があるときは、通知メールやSMS内のリンクを使わず、公式アプリまたは自分で入力した公式サイトからアカウントを開きます。メール自体が偽の案内である可能性も考え、正規の入口から確認するためです。
まず、「セキュリティ」「ログイン中の端末」「デバイス」「セッション」「最近のアクティビティ」などの項目を探します。端末一覧の名称、場所、時刻は推定を含むことがあり、不明な場所だけで第三者利用と断定はできません。それでも、心当たりのない端末や操作があれば、その端末を個別にログアウトします。
判断できない端末が複数ある、または侵害が疑われる場合は、利用できるなら「他の端末からログアウト」などの機能を使います。その後、パスワードを長く固有のものに変更します。同じパスワードをほかの重要なサービスでも使っていたなら、それぞれのサービスでも変更が必要です。パスワードの定期変更を万能策と考えるより、再利用、漏えいの疑い、異常な活動といった根拠があるときに、変更と追加確認を組み合わせるほうが重要です。
ログアウト後も別に点検したい項目
ログアウトは、その後の利用を止めるための操作です。すでに閲覧、コピー、転送、変更された情報を元に戻す機能ではありません。アカウントの設定で、登録メールアドレス、電話番号、復旧用の連絡先、二段階認証、パスキー、アプリパスワードを確認しましょう。見覚えのない設定があれば、各サービスの案内に従って変更または削除します。
外部アプリとの連携も確認対象です。OAuthは、パスワードを渡さずに外部アプリへアカウント利用の許可を与える仕組みです。この許可は通常のログアウトとは別に残ることがあります。メールの転送ルールやフィルタ設定も、意図しない転送がないか確認します。
共有端末や紛失した端末では、サービス側のログアウトだけでなく、端末の画面ロック、端末を探す機能、遠隔ロックや消去も状況に応じて検討します。金融、通信、勤務先のアカウントで不正送金や個人情報悪用の兆候があるときは、画面上の操作だけで終えず、事業者の正規窓口へ早めに相談します。変更日時、通知内容、見覚えのない端末や操作を記録しておくと、相談時にも役立ちます。
今日の判断に使える整理
パスワード変更は、新しいログインを防ぐための重要な対応です。しかし、既存のログイン状態、信頼済み端末、外部連携、復旧手段まで一度に整理する操作とは限りません。不審な利用があれば、正規の入口から端末一覧と活動履歴を確認し、必要に応じてセッションを終了し、設定と使い回しの範囲まで点検しましょう。画面名や操作の対象はサービスごとに違うため、最後はそのサービスの公式ヘルプで確認することが大切です。
Digital Information Manager公式ブログ編集部。デジタル情報を、専門知識がなくても分かる言葉でお届けします。