[ITmedia エンタープライズ] もう何もかも漏れている……それでも「暗黒の10月」に焦らなかった筆者がした“たった一つの地道な作業”

　暗黒の10月が過ぎました。免許証画像の流出、クラウドサービスへの侵入と破壊、そして劇場型ランサムウェア攻撃の生々しいやりとりなど、一つ一つが歴史に残るようなものでした。被害に遭われた方、対応に追われた方にはかける言葉もありません。

　これらの背後で、数え切れないほどの情報漏えい事故が明らかになっています。一つも引っかからなかったという方はいたのでしょうか？ 筆者も、「ふるさとチョイス」を運営するトラストバンク、ソフトウェアを販売するソースネクスト、ローソン、カプコン、「CLIP STUDIO」のセルシスなどからメールが届いています。特にトラストバンクからは、シミュレーションで算出された「寄附控除試算額」が漏えいしたと報告されています。

　2026年10月に明らかになった事件のほとんどは、サービス事業者側に問題があり、利用者自身が防御できることはほとんどありませんでした。おそらくはサービス事業者も、10月に緊急の修正適用が呼びかけられたPHPの重大脆弱性の一件で脆弱性対応の重要性を知り、その対応方法をアップデートしてくると思ってはいます。そうでなければ、私たちのデータを守れないはずですから。

　しかし、私たちにできることはまだあります。前回紹介した、古川俊治デジタル相が述べているように、個人でできることは3つに集約されます。その中でも特に「パスワードの使い回しをやめる」が、さらに重要になったと感じています。

　これまでは理想論だと思っていたパスワード使い回しの排除こそ、情報漏えいが当たり前になった時代における個人最大の防御策になりました。実は、今回漏えいが明らかになったサービスでも、私のパスワードは事前に使い回しのない強固なものへ変更済みだったため、そこまで深刻に捉えていません。

　では、筆者はどう「パスワード使い回し」を排除したのでしょうか。なんてことはありません。一つ一つ地道に変えていくという“泥臭い”作業をしただけです。

パスワードを変えるなら、“パスワードの決め方”そのものを変えよう

　私はパスワード管理ソフトとして、OSとは別に「1Password」を愛用しています。しかし、今ではOS標準／ブラウザ内蔵のパスワード管理ソフトも十分使えます。まずは、皆さんもどれか一つ（iOS／macOSならOS標準の「パスワード」アプリ、Google Chromeをお使いならブラウザ内蔵のパスワード管理機能）を選んでおきましょう。

　おそらく、既に皆さんのパスワード管理機能に、多くのパスワードが保存されているのではないかと思います。そして、"次回ログイン時に"必ずパスワードを変えると決めておきましょう。その際、パスワードとして新たに設定するものは、パスワード管理ソフトに決めてもらいます。パスワード管理ソフトでは、自動的に強固な文字列を作成し、そのまま保管してくれます。利用者はこれを覚える必要はありません。

iOS／macOSの「パスワード」（筆者撮影）

Google Chromeも同様にパスワードを提案してくれる（筆者撮影）

筆者が使う「1Password」は生成するパスワードのカスタマイズも可能（筆者撮影）

　一手間増えるかもしれませんが、普段使うサービスの次のログイン時に必ずこれを実践することで、よく使うサービスから順にパスワードが強化されていきます。ここで、できれば多要素認証／パスキー対応サービスならばそれも設定しておきましょう。

　加えて、常用しているメールサービス、スマートフォンにひも付くGoogle／Appleのアカウント、そして金融機関のパスワードは、“即刻”変更してください。メールは多くのサービスのパスワード変更に使えるから、Google／Appleのアカウントにはさまざまな生きた個人データが蓄積されているから、そして金融機関はお金に直接ひも付くからです。もちろん、パスワード管理ソフトのパスワードも、新しく考えた長い文字列を設定しましょう。

　あとは、これを地道に、地道に一つずつ対応するだけです。私は暗黒の10月がスタートしたころから、パスワード管理ソフトの一番上から順番にチェックし、残っていた使い回しパスワードを変える作業をしてきました。1PasswordにはID／パスワードの健康状態をスコアで表示する機能があるのですが、このスコアが日に日に向上しているのを見ると、「最後までやりきらねば！」と思えるようになりました。

アカウントの棚卸しはお勧め！

　そして今回、パスワードを変更していくことで見えた課題もありました。まず、自分がどんなサービスにアカウントを作っているかを「自覚」できるようになりました。1Passwordは10年以上前から利用しているのですが、その間に現れては消えていったサービスが多く、パスワードを変えようにもそもそもサイトが存在しないことがほとんどです。また、サービスの買収などで別のドメインに移行していたり、複数の（不要な）アカウントが存在したりということが分かります。

　サービスが残っていたとしても、もしもう使うことがないなら、アカウントを削除します。これにより、（サービス側を信頼したならば）個人データが削除されるはずです。今回は一目見てアカウント削除機能がなければ、パスワード変更をしておくようにしました。

　そして、棚卸ししていると、使っていたはずのサービスのアカウントが、パスワード管理ソフトに登録されていないことに気が付くかもしれません。私も今回のパスワード変更作業の中で、なんと401kを管理するサービスのIDを紛失していることに気が付きました。必死に紙資料を探して無事に復旧できましたが、パスワードを変えようと思わなければ、それなりの金額を失うかもしれないと思うと冷や汗が出ます。定期的な棚卸しはやっぱり必要ですね。

　世はまさに大情報漏えい時代。個人がどれだけ意識を高くしていたとしても、漏れてしまう時代です。むしろ、既に何もかも漏れている前提で考える必要があるかもしれません。万が一マイナンバーカード券面や番号、運転免許証画像が漏れたとしても、ICチップ認証が進むことで、被害は抑えられるはずです。

　住所、電話番号に関しては、はがきや封書、電話などを使ったフィッシングが想定できますが、同時にIDとパスワードが漏れているならば、サイバー犯罪者はオンラインでのフィッシングといったサイバー攻撃の方が攻撃コストが低いと考えるはずです。そうなったとき、「パスワードの使い回し」が残る状況では、多くのサービスで正規の方法でログインされてしまい、二次被害が広がるはずです。ここにこそ、個人ができることが残っています。

　半年前までであれば、パスワード使い回しもまあ仕方がないと思っていましたが、もう牧歌的な時代は終わりを告げました。今後はパスワード管理機能を使い、パスワードは覚えない、パスワードは機械的に作る時代です。ぜひ、皆さんも一つだけ（できればGmailから）、パスワードを勝手に作ってくれる機能を体験してみてください（できれば、パスキーの体験も）。

　今回パスワードを変更する上で面倒だったのが、パスワードの文字数が非常に限られていたり、記号の入力が禁止されていたり、はたまたパスワード欄のペースト機能が使えなかったりと、パスワード管理機能を使わせないようにしているのではないかと思うほどの制限が散見されたことです。パスワード使い回しをさせないために、利用者がパスワード管理機能を使っている前提で、全てのサービス事業者が見直しを進めてくれることを期待したいと思います。

　情報処理推進機構（IPA）は、個人でできる対処方法、日頃の対策をまとめた資料を公開しています。こちらも参考にしつつ、この荒波を越えるために少しずつ変化を受け入れていきましょう。