パスワードの使い回しが招く危険性と、リスクを軽減するための対策

英数字を適切に組み合わせた、複雑で解読困難なパスワードを作るのは、実はかなり骨の折れる作業です。そのため、古いパスワードを使い回してしまう人は少なくありません。

パスワード管理ツールが存在するにもかかわらず、多くの人は新しいパスワードを作ることを面倒に感じ、同じパスワードを複数のアカウントで使い回しています。

では、パスワードを使い回し続けるとどうなるのでしょうか?そして、パスワード管理の甘さによるリスクは、どのように軽減すればいいのでしょうか?

なぜ人はパスワードを使い回すのか?

あなたも、すべてのサイトやアカウントで同じパスワードを使っている一人ではないでしょうか?

同じパスワードを使い回すことは、パスワードを持つ意味そのものを損なう行為です。それでもなぜ、私たちはこの習慣をやめられないのでしょうか?

背景にはさまざまな理由があります。ユニークなパスワードを作るのが苦手な人や、パスワードを使い回してはいけないことを知らない人もいれば、パスワード管理ツールの利用を嫌う人、さらには「自分はサイバー犯罪の被害に遭うはずがない」と過信している人もいます。

理由が何であれ、パスワードの使い回しには深刻な結果が伴います。

パスワードの使い回しがもたらす多くの危険

記憶力に自信がない人や、最新のパスワード管理手段を使いたくない人にとって、パスワードの使い回しは便利に思えるかもしれません。しかし、この「便利な習慣」は、いつか必ず裏切ります。

セキュリティ意識の啓発があちこちで行われているにもかかわらず、依然として多くの人がパスワードを使い回しています。Googleと調査会社ハリス(Harris)の世論調査によると、ユーザーの52%が複数のアカウントで同じパスワードを使い回していることが明らかになっています。

以下に、パスワードを使い回すことで遭遇しうる主な危険を紹介します。

1. 複数のアカウントが同時に侵害される

平均的なインターネットユーザーは、膨大な数のオンラインアカウントを持っています。あるアカウントのために強固で完璧なパスワードを作ったら、「時間と手間を省ける」と考えて、すべてのアカウントで使い回したくなるかもしれません。

しかし、この考え方はサイバー犯罪に対する脆弱性を高めてしまう点が問題です。例えば、Facebookとネットバンキングに同じパスワードを使っていたとしましょう。Facebookが2021年に経験したようなデータ漏洩に遭った場合、両方のアカウントで同じパスワードを共有しているため、銀行口座まで危険にさらされることになります。

さらに、使い回しているパスワード自体が弱い場合は、悪夢はより深刻になります。攻撃者にとって他のアカウントへの侵入が格段に容易になるからです。

2. 企業アカウントを危険にさらす

個人アカウントがデータ漏洩に巻き込まれた場合、同じパスワードを使い回していれば、企業アカウントも危険にさらされる可能性が高くなります。

つまり、自分自身のセキュリティだけでなく、所属組織や他の従業員のセキュリティまで脅かすことになるのです。ハッカーが入手できるパスワードや個人情報が増えるほど、引き起こせる被害の規模も大きくなります。

3. 総当たり攻撃(ブルートフォース攻撃)の標的になる

総当たり攻撃とは、考えられる認証情報の組み合わせを次々と試して、ユーザーのパスワードやログイン情報を推測する攻撃手法です。

複数のアカウントでパスワードを使い回していれば、ハッカーの推測作業は大幅に楽になります。また、パスワードを使い回す人の多くは「面倒くさがり」である傾向があり、そもそも推測されにくいパスワードを作っていないケースが多いのです。

総当たり攻撃は、クレデンシャルスタッフィングや辞書攻撃など、他のデータ漏洩の手口にもつながります。攻撃を重ねるごとに、サイバー犯罪者は将来の攻撃に使えるパスワードをさらに多く手に入れることになります。

4. フィッシング攻撃の餌食になる

フィッシング攻撃は、他人になりすましたメールや通知を送るなど、欺瞞的な手口を用います。主な目的は、ユーザーを騙してメールの添付ファイルをクリックさせたり、悪意のあるファイルをダウンロードさせたり、ユーザー名・パスワード・生年月日などの機密性の高い個人情報を入力させることです。

フィッシング攻撃は、パスワードを使い回している人だけでなく誰にとっても脅威ですが、複数のアカウントで同じパスワードを使っている場合、被害がより広範囲かつ深刻化する恐れがあります。

パスワード使い回しのリスクを軽減する方法

オンラインセキュリティを大切にしたいなら、パスワードを使い回す古い習慣を断ち切りましょう。以下のポイントが、正しい道へ導いてくれるはずです。

1. デフォルトパスワードを変更する

私たちが犯しがちな最大のミスの一つが、「admin」や「1234」といった初期設定のパスワードを変更せずに放置することです。デフォルトパスワードは覚えやすい反面、アカウントへの侵入を試みるほとんどのサイバー犯罪者にとって、真っ先に試される定番でもあります。

初期パスワードはできるだけ早く変更しましょう。「新しいパスワードを忘れてしまうのでは」という不安が頭をよぎるなら、パスフレーズの活用を検討してください。パスフレーズとは、複数の単語をつなぎ合わせて長いフレーズを作る手法で、本人には覚えやすく、他人には解読しにくいというメリットがあります。

2. 従業員にパスワード使い回し防止の教育を行う

企業や事業者は、全社員を対象としたパスワード研修を実施すべきです。研修では、パスワードの使い回しを避ける必要性を強調するだけでなく、以下のようなパスワードセキュリティのポイントについても教育しましょう。

• 同僚とパスワードを共有しない。
• フィッシングの罠に引っかからない。依頼者がどれほど正当に聞こえても、メールや電話でパスワードを絶対に開示しない。
• パスワードが漏洩した疑いがある場合は、直ちに変更する。
• 公共のPCや公衆Wi-Fi環境では、パスワード保護されたサービスを使用しない。

エンドユーザーへのパスワード意識の浸透と、良好なデジタル衛生習慣の確立は、安全な企業ネットワークを維持するために不可欠です。

3. 信頼できるパスワード管理ツールを使う

複雑でありながら覚えやすいパスワードを作れたとしても、一元管理できるパスワード管理ツールは必要です。幸い、LastPassなどのパスワードマネージャーは、強固なパスワードを自動生成し、安全に保管してくれます。しかも、覚える必要があるのは、パスワードマネージャーにアクセスするための1つのパスワードだけです。

パスワードマネージャーにログインしてしまえば、保存済みのどのアカウントにも、追加のパスワード入力なしでアクセスできます。

4. 多要素認証(MFA)を取り入れる

パスワード使い回しの危険性を理解した上で、それでも複数のアカウントで同じパスワードを使ってしまう場合は、少なくともすべてのログインにMFA(多要素認証)を設定しましょう。MFAは、単なるパスワードではなく、追加の認証情報の入力を求めることで、セキュリティを強化します。

例えば、MFAを有効にした状態でネットバンキングを利用するとします。パソコンから銀行のページにログイン情報を入力すると、サイトはスマートフォンなど、事前に認証済みの別のデバイスへOTP(ワンタイムパスワード)コードを送信します。そのコードを銀行のサイトに入力して初めて、アクセスが許可される仕組みです。

パスワードはあなたの最初の防衛線

誰もが複数のオンラインアカウントを持ち、覚えなければならないパスワードは山積みです。そのため、それぞれにユニークなパスワードを用意するのは難しく、パスワードの使い回しという罠に陥りがちです。

しかし忘れてはいけないのは、パスワードがシステムへの不正アクセスから守る最初の防衛線だということです。だからこそ、ユニークなパスワードを生成するために必要な労力は――パスワードマネージャーを使うにせよ、昔ながらの方法で作るにせよ――長期的に見れば十分に価値があります。

リサイクルは生活の他の分野では素晴らしい習慣ですが、パスワードに関しては、どんな代償を払ってでも避けるべきです。