パスワードは定期的に変えるべき？週末10分で「使い回し」を1つ減らす点検

今号のテーマ

きのう（11/13）は、AIと人の引き継ぎを手順にする話でした。 土曜日の今日は、10分でできる守りです。パスワードの使い回しを、1つ減らす。

10月は、会員情報の漏えいの公表が続きました。そのたびに出てくるお願いが「他のサービスで同じパスワードを使っていれば、そちらも変えてください」です。

01今日いちばん大事な話1. サービスから漏れたとき被害が広がるのはなぜ？

何が起きた

同じIDとパスワードを、ほかのサービスでも使い回しているからです。1つのサービスから漏れても、そこだけで済むかどうかは使い回しの有無で決まります。10月の公表でも、各社が他サービスでの変更を呼びかけました。

要点

花キューピットは10月28日、「インターネット花キューピット」「ビジネス花キューピット」の会員情報の漏えいを公表しました。対象は4,238,242件（該当する可能性のある顧客）で、ユーザーID、ハッシュ値にしたパスワード、メールアドレスです。

同社は、パスワードはそのままでは使えない形で保存しており、直ちに不正利用される可能性は低いとしたうえで、万全を期して変更を勧め、他社サービスで同じIDとパスワードを使い回していれば、そちらも変更をと呼びかけています。

ソニーネットワークコミュニケーションズの「So-net」の公表では、一部のメールサービスで、メールアドレスとそのパスワードの漏洩が確認され、同社が10月27日にパスワードを初期化しました。

02トピック2. パスワードは定期的に変更する必要がある？

何が起きた

流出した事実がなければ、定期的に変更する必要はない、というのが総務省の整理です。定期変更で作り方がパターン化したり、使い回しが増えたりするほうが問題とされます。大切なのは、使い回さない、漏れたらすぐ変える、多要素認証を使う、の3つです。

要点

総務省の「国民のためのサイバーセキュリティサイト」の安全なパスワードの設定・管理は、次のように整理しています。

• パスワードは、できる限り複数のサービスで使い回さない
• 流出した事実がなければ、定期的に変更する必要はない。定期変更で作り方がパターン化したり、使い回しが増えたりする方が問題
• 覚えるのが大変なら、スマートフォンやブラウザの標準機能などのパスワード管理ツールの利用も推奨
• 多要素認証が使えるなら、積極的に使う

IPAの不正ログイン対策特集ページも、「できるだけ長く」「複雑で」「使い回さない」を勧め、多要素認証なら、IDと1つ目のパスワードを不正利用されてもログインはできない、としています。

03トピック3. 週末10分のアカウント点検はどこから見る？

何が起きた

全部を一度に直そうとせず、会社の代表メール、お金が動くもの、社内の情報が集まるものの3つだけ見ます。それぞれ、他と同じパスワードではないか、多要素認証が入っているか、の2点を確かめます。同じだったら、その1つを今日変えれば十分な前進です。

要点

• 会社の代表メール：各種サービスのログインIDやパスワード再設定の宛先になっているもの。プロバイダのメールを使っているなら特に
• お金が動くもの：ネットバンキング、決済サービス、会計ソフト
• 社内の情報が集まるもの：クラウドのファイル置き場、チャット、AIツール

まとめ

1. 漏えいのたびのお願い：他で同じパスワードなら、そちらも変更を
2. 総務省の整理：定期変更より、使い回さない・漏れたら変える・多要素認証
3. 週末の10分：代表メール・お金・社内情報の3つから、使い回しを1つ減らす

社員のアカウントの決まりをどう作るか、一緒に整理します。