この記事は 「誰でもわかるセキュリティの話」シリーズ の記事です。
Python歴5年以上、セキュリティにも興味がある変態が書いています。
この記事は 個人の経験に基づくポエムです。
環境・用途・経験によって異なる場合があります。
パスワードの使い回しは良くない。誰でも知っている。
自分も今はパスワードマネージャとパスキーに頼るようになった。
でも、不安が消えたわけじゃない。むしろ違う種類の不安に変わった。
先に断っておくこと
先に断っておくと、この記事は「パスワードマネージャを使うな」という話ではない。
使い回しよりは圧倒的に安全だし、実際に移行してよかったと思っている。
この記事は、移行した後に出てきた別の不安についての話だ。
結論：リスクは消えたのではなく、集中した
最初に結論を書く。
パスワードマネージャに移行して、リスクは減った。
でも、「分散していたリスク」が「集中したリスク」に変わっただけとも言える。
安心のようで、実は違う種類の緊張を抱えることになった。
使い回していた理由
正直に書く。
- 過去に使っていたサービスがことごとく漏洩している
- 毎回新しいパスワードを考えるのが手間
- 覚えるのが大変
- サービスごとに管理するのが面倒
- 入力するのがだるい
面倒くささが、リスクへの警戒心にずっと勝ち続けていた。
なぜ使い回しが危険なのか
理由は単純だ。
一つのサービスからパスワードが漏れると、
同じパスワードを使っている他のすべてのサービスに、そのまま侵入できてしまう。
これは「クレデンシャルスタッフィング」と呼ばれる攻撃手法で、
漏洩したID・パスワードの組み合わせを他のサービスに片っ端から試すという、単純だが強力な攻撃だ。
パスワードは使い回した時点で、一番弱いサービスのセキュリティレベルに全部が引きずられる。
どれだけ強いパスワードを設定していても、使い回していれば意味がない。
パスワードマネージャに移行した
面倒くささを理由に使い回しを続けるより、
面倒くささごと自動化してしまう方が楽だった。
パスワードマネージャとパスキーに切り替えてから、
サービスごとに違う複雑なパスワードを、覚える必要すらなく使えるようになった。
これで安心——のはずだった。
しばらくして、頭の中にこんな声が浮かぶようになった。
Googleのアカウントが持っていかれたら、終わりだ。
Appleのパスワードが漏れたら、それもやばい。
「一つ持っていかれたら終わり」という新しい恐怖
パスワードマネージャやパスキーは、
「複数の弱い鍵」を「一つの強い鍵」に集約する仕組みだ。
分散していたリスクが、一箇所に集中する。
その一箇所が破られたときの被害は、使い回し以上に大きい。
使い回していたときは、Aサービスが漏れてもBサービスは別のパスワードだから無事、という「不幸中の幸い」があった。
今は違う。中心となるアカウントが破られたら、そこから連なる全部が終わる。
これは「リスクの分散」から「リスクの集中」への転換とも言える。
利便性と引き換えに、守るべき対象が一つに絞られたということだ。
できることは、やっている
この不安を完全に消す方法はない。でも下げる方法はある。
① 2段階認証（多要素認証）を必ず有効にする
パスワードだけでなく、もう一つの要素を要求することで、
仮にパスワードが漏れても不正ログインを防げる可能性が上がる。
② 認証方法は、自分の環境に合わせて選ぶ
SMSでの2段階認証は、SIMスワップ攻撃（他人に自分の電話番号を乗っ取られる攻撃）のリスクがあるとよく言われる。
eSIMに完全移行してからは、この点への感覚が変わった。物理SIMのように店舗でカードを差し替えられて乗っ取られるリスクとは違う手口が必要になる分、SMS認証への抵抗も以前より減った。
とはいえ、認証アプリ（Google Authenticatorなど）はSIM自体に依存しないので、通信キャリアを経由しない分のリスクをさらに減らせる。どちらが絶対的に正しいというより、自分の環境でどこにリスクがあるかを把握しておくことが大事だ。
③ 重要なアカウントほど、より厳重に守る
GoogleやAppleのような「ここが破られたら全部終わる」アカウントには、
物理セキュリティキー（YubiKeyなど）を使うという選択肢もある。
④ 定期的にログイン履歴・連携アプリを確認する
知らないログインや、身に覚えのない連携アプリがないか、たまに確認する。
- パスワードマネージャ → 使い回しのリスクをなくす
- 2段階認証 → パスワード漏洩時の最後の砦
- 認証アプリ → SMSより安全
- 重要アカウントは特に厳重に → 集中したリスクの入り口を固める
それでも、これでいいと思っている理由
分散したリスクは、管理しきれない。
どのサービスが次に漏れるかなんて、誰にもわからない。
集中したリスクは、少なくとも「どこを守ればいいか」が明確になる。
不安の総量は減っていないかもしれない。
でも、不安の「対象」がはっきりしたことで、対策の打ちようがある状態にはなった。
まとめ
- パスワードの使い回しは、面倒くささがリスク意識に勝った結果だった
- パスワードマネージャへの移行で使い回しのリスクは減った
- 代わりに「一つ持っていかれたら終わり」という集中リスクが生まれた
- それでも、分散したリスクより、集中して守れるリスクの方が対策しやすい
不安が完全になくなることはない。
でも、何に対して不安を持つべきかが変わったのは、前進だと思っている。
同じように「パスワードマネージャに移行したのに、なんとなく不安」という人がいたら、それは多分、あなただけではない。
「誰でもわかるセキュリティの話」 シリーズでは、
セキュリティの仕組みを言語化していきます。
👉 ストックをフォローしておくと次の記事を見逃しません！