パスワード管理と多要素認証の基本

アカウントの乗っ取りは、複雑な攻撃手法よりも「使い回されたパスワード」が原因で起こることの方が多いです。パスワード管理の基本的な考え方を整理します。

パスワードの使い回しが危険な理由

あるサービスから漏洩したメールアドレスとパスワードの組み合わせは、他のサービスへの不正ログインを試すために悪用されます。これは「パスワードリスト攻撃」と呼ばれる手法で、複雑な技術を使わなくても、使い回されたパスワードさえあれば成立してしまいます。

1つのサービスでの情報漏洩が、直接関係のない別のサービスへの被害に連鎖するのは、ほとんどの場合この使い回しが原因です。

パスワードマネージャーを使う

サービスごとに異なる複雑なパスワードを人間が記憶するのは現実的ではありません。パスワードマネージャーを使えば、サービスごとに異なる複雑なパスワードを自動生成・保存でき、覚えておく必要があるのはマネージャー自体のマスターパスワードだけになります。

個人向けの無料プランでも十分に運用できるものが多く、企業向けにはメンバー間でのパスワード共有を管理できる製品もあります。特に、複数人で共有アカウントを使っている業務ツールがある場合、パスワードマネージャーでの一元管理は有効です。

「複雑さ」より「長さ」と「使い回さないこと」

パスワードの強度は、記号や大文字小文字を複雑に混ぜることよりも、長さと使い回しの有無に大きく左右されます。定期的な変更を義務付けるルールも、かえって単純なパスワードへの改悪や使い回しを招きやすいことが分かっており、近年は「長く」「使い回さない」ことを重視する考え方が主流になっています。

多要素認証（MFA）も合わせて設定する

パスワード管理を徹底しても、フィッシングなどで漏洩するリスクはゼロにはできません。多要素認証（MFA）を設定しておけば、パスワードが漏れた場合でも不正ログインを防げる可能性が高くなります。

クラウドサービスへの具体的なMFAの設定方法や認証方式の選び方については、MFA（多要素認証）をクラウドサービスに導入する記事で詳しく取り上げています。

共有アカウントを見直す

複数人で1つのアカウント・1つのパスワードを共有している業務ツールがあれば、可能な限り個人ごとのアカウントに切り替えることを検討します。共有アカウントは、誰がいつ何をしたかの記録が残らず、退職者のアクセスを止めることも難しくなります。

まず着手すべきこと

すべてを一度に整備しようとせず、優先度の高いアカウント（メール・クラウドストレージ・会計や顧客管理などの基幹ツールの管理者アカウント）から、パスワードの使い回しをやめてMFAを設定するところから始めるのが現実的です。