先に断っておくこと

先に断っておくと、この記事は「パスワードマネージャを使うな」という話ではない。

使い回しよりは圧倒的に安全だし、実際に移行してよかったと思っている。

この記事は、移行した後に出てきた別の不安についての話だ。

結論：リスクは消えたのではなく、集中した

最初に結論を書く。

パスワードマネージャに移行して、リスクは減った。
でも、「分散していたリスク」が「集中したリスク」に変わっただけとも言える。

安心のようで、実は違う種類の緊張を抱えることになった。

正直に書く。

面倒くささが、リスクへの警戒心にずっと勝ち続けていた。

理由は単純だ。

一つのサービスからパスワードが漏れると、
同じパスワードを使っている他のすべてのサービスに、そのまま侵入できてしまう。

これは「クレデンシャルスタッフィング」と呼ばれる攻撃手法で、
漏洩したID・パスワードの組み合わせを他のサービスに片っ端から試すという、単純だが強力な攻撃だ。

パスワードは使い回した時点で、一番弱いサービスのセキュリティレベルに全部が引きずられる。
どれだけ強いパスワードを設定していても、使い回していれば意味がない。

面倒くささを理由に使い回しを続けるより、
面倒くささごと自動化してしまう方が楽だった。

パスワードマネージャとパスキーに切り替えてから、
サービスごとに違う複雑なパスワードを、覚える必要すらなく使えるようになった。

これで安心——のはずだった。

しばらくして、頭の中にこんな声が浮かぶようになった。

Googleのアカウントが持っていかれたら、終わりだ。
Appleのパスワードが漏れたら、それもやばい。

パスワードマネージャやパスキーは、
「複数の弱い鍵」を「一つの強い鍵」に集約する仕組みだ。

分散していたリスクが、一箇所に集中する。
その一箇所が破られたときの被害は、使い回し以上に大きい。

使い回していたときは、Aサービスが漏れてもBサービスは別のパスワードだから無事、という「不幸中の幸い」があった。
今は違う。中心となるアカウントが破られたら、そこから連なる全部が終わる。

これは「リスクの分散」から「リスクの集中」への転換とも言える。
利便性と引き換えに、守るべき対象が一つに絞られたということだ。

この不安を完全に消す方法はない。でも下げる方法はある。

① 2段階認証（多要素認証）を必ず有効にする
パスワードだけでなく、もう一つの要素を要求することで、
仮にパスワードが漏れても不正ログインを防げる可能性が上がる。

② 認証方法は、自分の環境に合わせて選ぶ
SMSでの2段階認証は、SIMスワップ攻撃（他人に自分の電話番号を乗っ取られる攻撃）のリスクがあるとよく言われる。

eSIMに完全移行してからは、この点への感覚が変わった。物理SIMのように店舗でカードを差し替えられて乗っ取られるリスクとは違う手口が必要になる分、SMS認証への抵抗も以前より減った。

とはいえ、認証アプリ（Google Authenticatorなど）はSIM自体に依存しないので、通信キャリアを経由しない分のリスクをさらに減らせる。どちらが絶対的に正しいというより、自分の環境でどこにリスクがあるかを把握しておくことが大事だ。

③ 重要なアカウントほど、より厳重に守る
GoogleやAppleのような「ここが破られたら全部終わる」アカウントには、
物理セキュリティキー（YubiKeyなど）を使うという選択肢もある。

④ 定期的にログイン履歴・連携アプリを確認する
知らないログインや、身に覚えのない連携アプリがないか、たまに確認する。

分散したリスクは、管理しきれない。
どのサービスが次に漏れるかなんて、誰にもわからない。

集中したリスクは、少なくとも「どこを守ればいいか」が明確になる。

不安の総量は減っていないかもしれない。
でも、不安の「対象」がはっきりしたことで、対策の打ちようがある状態にはなった。

不安が完全になくなることはない。
でも、何に対して不安を持つべきかが変わったのは、前進だと思っている。

同じように「パスワードマネージャに移行したのに、なんとなく不安」という人がいたら、それは多分、あなただけではない。

「誰でもわかるセキュリティの話」 シリーズでは、
セキュリティの仕組みを言語化していきます。

👉 ストックをフォローしておくと次の記事を見逃しません！