情報漏えいは防げなくても、被害は減らせる 個人でできるセキュリティ対策

ここ最近、企業やサービスへの不正アクセスによる大規模な情報漏えいが立て続けに発生しています。流出する情報は氏名や住所、メールアドレスだけでなく、場合によってはログイン情報やクレジットカード情報などに及ぶことも。

情報漏えいの厄介なところは、一度流出した情報を取り戻すことが難しい点です。さらに、漏えいした情報が悪用されることで、別のサービスへの不正ログインやアカウントの乗っ取り、フィッシング詐欺など、新たな被害につながる可能性もあります。

企業や組織がどれだけ対策を講じても、情報漏えいを完全に防ぐことは困難です。利用者の立場では、企業に預けた情報が流出すること自体を防ぐのは難しいものの、その後の被害を最小限に抑えるためにできることはあります。

重要なのは、情報漏えいを防ぐことだけでなく、「情報が漏れても被害を広げない」という考え方です。この機会に、セキュリティを見直していきましょう。

パスワードの使い回しはNG! サービスごとに違うパスワードを

まず、手を付けたいのは「ログイン情報」です。いくつものサービスに登録していると、「パスワードを覚えきれない」という理由で、すべて同じパスワードで“使い回し”をしている人は多いのではないでしょうか。

前述のとおり、情報漏えいが発生すると、ログインに必要なIDとパスワードの組み合わせが悪用される危険があります。あらゆるサービスでIDとパスワードを使いまわしていると、漏えいした情報を使って、ほかのサイトにも不正ログインされてしまう可能性があります。

サイトごとに異なるパスワードを設定しましょう。また、パスワードには推測しづらい文字列を使用することも重要です。筆者は「1988年(昭和63年)3月1日生まれ」ですが、どこかで情報漏えいが起きた場合、生年月日が流出している可能性もあるため、「1988」や「0301」といった推測されやすい文字列をパスワードに設定しないようにしています。

ほかにも電話番号や住所の番地など、個人情報の漏えいの際にあわせて流出する可能性がある文字列はパスワードに不向きです。

パスワードは、使用できる文字数や文字種などの条件がサイトによって異なります。英大文字・小文字、数字、記号などを利用できる場合もありますが、重要なのは十分な長さがあり、推測されにくい文字列にすることです。最低文字数を満たすだけでなく、できるだけ長く設定するとよいでしょう。

パスワードはできるだけ長く、推測されにくいものをサイトごとに設定しましょう

とはいえ、サービスごとに異なるパスワードを覚えるのは大変です。紙のメモなどに書き残し、第三者が閲覧できない場所で保管する方法もありますが、多くのパスワードを管理するのであれば、「パスワードマネージャー」の利用がおすすめです。

パスワードマネージャーには複数のログイン情報を記録でき、ログイン画面では保存してあるログイン情報を使ってスムーズにログインできます。サービスによっては、安全性の高いパスワードを自動生成する機能も利用できます。

ただし、パスワードマネージャー自体が不正アクセスに遭わないようにすることが重要です。パスワードマネージャーによっては、保存したログイン情報をまとめて保護するための「マスターパスワード」を設定する必要があります。

これは、パスワードマネージャーに保存した情報を開くための、いわば「鍵」となるパスワードです。第三者に知られると保存した情報を悪用されるおそれがあるため、長く推測しづらいものを設定しましょう。また、顔や指紋による生体認証、一定時間で再ロックされる機能なども活用するとよいでしょう。

複数のサイトやアプリのログイン情報は、パスワードマネージャーでの管理がおすすめです

パスワードマネージャーを利用する場合は、一定時間で再ロックされる設定や顔認証など、第三者に利用されにくくするための設定も確認しましょう

大きな情報漏えいはニュースになることも多いのですが、中には公式が情報漏えいを把握できていないケースもあります。

パスワードマネージャーで漏えいに関する警告が表示された場合は、該当するパスワードを速やかに変更しましょう。また、警告が表示されなくても、定期的にパスワードの安全性を確認することが重要です。

例えば、Google パスワード マネージャーには、保存したパスワードについて漏えいの可能性や使い回しなどを確認する「パスワード チェックアップ」機能があります。

漏えいした可能性のあるパスワードを使っている場合、警告が表示されることがあります

パスワードチェック機能を使い、漏えいした可能性のあるパスワードや使い回しているパスワードがないか確認しましょう

「二要素認証」や「パスキー」でより強固に守る

サイトごとに異なるパスワードを設定したとしても、まだ対策は万全ではありません。パスワードが漏えいした際、その情報だけで不正ログインされないようにしておくことも重要です。

そこで設定を確認しておきたいのが、「二段階認証」や「二要素認証」、「パスキー」です。二段階認証は、ログイン時に複数の段階で本人確認を行なう仕組みです。例えば、パスワードを入力した後、登録してあるメールアドレスや電話番号に届く確認コードを入力する方法などがあります。

一方、二要素認証は、パスワードなどの「知識」、スマートフォンなどの「所持」、指紋や顔などの「生体情報」といった異なる要素を組み合わせて本人確認を行なう仕組みです。

パスワードに加えて、手元のスマートフォンの認証アプリで生成したコードを入力する方法などが該当します。

サイトへのログイン時、パスワードに加えてメールに届くコードの入力を求められる例

メールによる確認コードの入力を追加することで、不正ログインのリスクを低減できます。ただし、メールアカウント自体の安全性も重要です

また、最近は「パスキー」に対応するサービスも増えています。

パスキーは、従来のパスワードに代わる認証方式です。スマートフォンやパソコンなどに保存された認証情報を利用し、端末の顔認証や指紋認証、PINなどを使ってログインできます。

パスワードのように、覚えた文字列をサイトに入力する必要がなく、偽サイトにログイン情報を入力させるフィッシング詐欺にも強い仕組みです。

以前はこうした認証機能がなかったサイトでも、昨今の不正アクセスや情報漏えいへの備えとして、会員専用ページに設定画面が追加されていることは珍しくありません。サイトによっては、二要素認証やパスキーの設定を促す案内が表示される場合もあります。

二段階認証を設定しておけば、IDとパスワードが漏えいしても、それだけではログインを完了できなくなるため、不正ログインのリスクを低減できます。ただし、二段階認証を装った偽メールなどには注意が必要です。

改めて、普段使っているサイトで二段階認証やパスキーが利用できるかを確認し、対応していれば積極的に設定しましょう。

二段階認証に対応しているサイトで未設定の場合、設定を促すメッセージが表示されることがあります

会員情報の編集ページなどを確認し、二段階認証やパスキーを設定できる場合は活用しましょう

認証方法はサイトによって異なり、SMSや電話、メールによる確認コードのほか、パスキーなどに対応している場合もあります

使っていないサービスは、情報の削除も検討しよう

日常的に使っているサイトは、パスワードの見直しや二要素認証の設定などで対策することが重要ですが、そうでないサイトについては、この機会に登録情報の見直しやアカウント削除を検討するとよいでしょう。

登録しているサービスが多ければ多いほど管理が煩雑になりますし、情報漏えいのリスクにさらされる機会も増えていきます。

通販サイトであれば、住所を登録しておくことで配送先の入力を省けたり、ポイントサービスやメールマガジンでお得なクーポンがもらえたりするメリットもあります。一方で、数年間利用していないサイトで、今後利用する予定もないのであれば、登録した住所などの情報を削除したり、アカウント自体を削除したりすることも検討すべきです。

もちろん、アカウントを削除しても、事業者が法令や利用規約などに基づいてデータを一定期間保管している場合もあります。そのため、アカウント削除＝事業者側からデータが即座に消える、というわけではありません。

それでも個人で行なえる対策として考えると、利用しなくなったサービスの登録情報やアカウントは、積極的に見直してみましょう。

実際に筆者も、数年前に一度だけ利用したサイトで情報漏えいの対象になりました

クレジットカードの「通知」も設定しよう

情報漏えいが発生した際、特に注意したいのがクレジットカード情報の流出や不正利用です。

クレジットカード番号などが漏えいしていなくても、流出したIDやパスワードを使って通販サイトに不正ログインされると、登録済みのクレジットカードで勝手に買い物をされる可能性があります。サイトによっては、保存済みのカードを選択するだけで決済できるため、カード番号そのものが漏れていなくても注意が必要です。

先ほどと同様、利用頻度の低い通販サイトなどはクレジットカード情報を登録せず、購入するたびに入力する方法も検討するとよいでしょう。

また、クレジットカードの安全性を高める仕組みとして「3Dセキュア」があります。3Dセキュアは、インターネットでのカード決済時に本人確認を行なう仕組みです。カード会社が購入金額や利用端末、過去の利用履歴などから不正利用のリスクを判定し、必要に応じてワンタイムパスワードの入力やアプリでの承認などを求めることで、不正利用の防止に役立ちます。

リスクが低いと判断された場合などは追加の本人認証が省略されるため、3Dセキュアだけですべての不正利用を防げるわけではありません。利用しているカード会社の案内を確認し、必要な登録や設定を済ませておきましょう。

クレジットカードの利用通知をメールやアプリで受け取れるようにしておけば、身に覚えのない利用にも気づきやすくなります。定期的に利用明細を確認し、不審な利用が見つかった場合は、速やかにカード会社に連絡して対応を相談しましょう。

3Dセキュアに対応したクレジットカードでは、決済時に必要に応じてワンタイムパスワードの入力などが求められます

クレジットカードの利用通知を設定しておくことで、身に覚えのない利用にも気づきやすくなります

情報漏えいの通知が届いたら、何を確認する?

実際に情報漏えいの対象になったことがわかった場合、まず確認したいのは、企業やサービスが公表している情報です。自分が漏えいの対象になっているのか、氏名や住所、ログイン情報など、どのような情報が流出したのかを確認しましょう。また、「漏えいが確認された」のか「漏えいした可能性がある」のかによっても状況は異なります。

次に確認したいのが、不正利用の有無です。対象となったサービスのログイン履歴や購入履歴、登録情報などを確認し、身に覚えのない操作が行なわれていないか調べましょう。不審な履歴や変更が見つかった場合は、日時や内容を記録し、速やかにサービスの運営元へ連絡することが重要です。

また、情報漏えいの発表に便乗した詐欺にも注意が必要です。流出した氏名やメールアドレスなどを悪用し、企業からの正式な案内を装って偽サイトに誘導するフィッシング詐欺などが考えられます。

こうした偽サイトには、正規のサービスとよく似たURLが使われる場合もあります。例えば「amazon.com」の先頭の「a」を、見た目がほぼ同じキリル文字の「а」に置き換えた「аmazon.com」のような表記です。これは「ホモグラフ攻撃」と呼ばれる手口の一例で、見た目が似ていても、実際には異なるドメインとなります。

ただし、最近のブラウザーにはこうした紛らわしい文字を含むURLを識別しやすくする仕組みもあります。情報漏えいに関するメールが届いた場合も、記載されたURLを安易に信用せず、普段利用している公式アプリやブックマークなどからアクセスするようにしましょう。

情報漏えいは日頃からの対策が重要

今回紹介したように、情報漏えいに対しては、日頃から個人でできる対策を行なうことで、二次被害のリスクを低減できます。

情報漏えいが発覚した際の初動はもちろん、普段からパスワードを使い回さないことや、二段階認証やパスキーなどを活用して、漏えいしたログイン情報だけでは不正ログインされにくい状態にしておくことが重要です。

また、使わなくなったサービスの登録情報やアカウントを削除したり、クレジットカードの利用通知を設定したりすることも、被害の防止や早期発見につながります。

企業の情報漏えい対策が絶対ではないように、個人でできる対策も万能ではありません。それでも、日頃から意識して対策しておけば、何も対策していない場合と比べて二次被害に遭うリスクを減らせるはずです。