パスワードが漏れたときにやること｜変更と使い回しの確認

対象サービスのパスワードを変更し、同じパスワードを使うほかのサービスも確認しましょう。変更はメールのリンクから進めず、普段使う公式サイトや公式アプリから行います。変更後は使い回しをやめ、利用できるワンタイムパスワードなどの認証設定を確かめましょう。

まず対象のサービスのパスワードを変える

パスワードが漏れた、または漏れた可能性があるという案内を受けたら、最初に対象サービスを確認してください。メールアドレスだけが記載されている場合と、パスワードも記載されている場合を混同せず、発表の情報に合わせて進めましょう。

JPCERT/CCは、認証情報が漏洩した際にはパスワードをすぐに変更するよう呼びかけています。対象サービスの公式の案内を確認し、パスワード変更へ進みましょう。JPCERT/CC『STOP! パスワード使い回し!』

作業の入口も確認してください。届いたメールのリンクを安易に使わず、前もって登録した公式サイトのブックマークや公式アプリを利用します。警察庁が案内するこの方法を、変更するときにも使いましょう。画面を開いたら、変更したいサービスであることを確かめてから入力に進んでください。警察庁『フィッシング対策』

作業用のメモは、サービス名と「変更できた」「まだ変更していない」という状況を並べる形にすると整理しやすくなります。新旧のパスワードそのものをこの記事のチェック欄に書く必要はありません。途中で操作が分からなくなった場合は、そのサービスへの質問として、困っている画面や操作を言葉にしておきましょう。

一つのサービスから認証情報が漏洩したとき、同じ認証情報を使うほかのサービスにも不正にアクセスされるおそれがある、とJPCERT/CCは説明しています。対象サービスの変更に加えて、使い回していたサービスを確認しましょう。JPCERT/CC『STOP! パスワード使い回し!』

確認する際は、「今回のお知らせにあるサービス」と「同じパスワードを使っているサービス」を分けて書き出します。後者について事故が起きたと決めつける必要はありません。同じ認証情報を使っているかという、変更のための確認として整理してください。

偽サイトに普段使うIDやパスワードを入力してしまった場合、警察庁は、その認証情報を利用しているすべてのサービスでパスワード等を速やかに変更するよう案内しています。今回の漏洩の確認と、偽サイトへの入力の有無を分けて考え、入力した場合はこちらの案内にも沿って対応しましょう。警察庁『フィッシング対策』

思い出せるサービスから順に一覧へ加え、変更できたものには印を付けてください。「どこかにも使った気がする」という段階なら、確認待ちとして残します。すべてを一度に思い出そうとするより、作業の途中で気づいたサービスを同じ一覧に足す形にすると、重複した操作を避けやすくなります。

警察庁は、ワンタイムパスワード等の活用を勧めています。パスワード変更を終えたら、利用先が案内する認証設定を確認しましょう。サービスの説明を読み、自分が利用できる設定を選んでください。警察庁『フィッシング対策』

「変更したこと」と「認証設定を確認したこと」は、別の作業としてメモします。設定の名前だけで判断せず、利用先の画面や説明に沿って確かめましょう。使える設定が見当たらない場合は、その点を確認事項として残し、別サービスの操作説明をそのまま当てはめないようにしてください。

家族や仕事で使うサービスを整理している場合も、誰のアカウントを変更したのかが分かるようにメモを分けましょう。この記事の順番は作業整理のための提案です。利用先から個別の案内があるときは、その内容と照らし合わせて進めてください。

総務省の案内では、パスワードの長さは最低でも10文字以上とされています。また、警察庁はID・パスワードの使い回しを避けるよう案内しています。新しいものを決める際は、長さと使い回しの有無をそれぞれ確認しましょう。総務省『推測できる簡単なパスワードを利用しないようにしよう』警察庁『フィッシング対策』

対象サービスだけを変更し、ほかのサービスに同じものを設定し直す進め方は避けましょう。一覧で変更済みの項目を確認しながら、サービスごとに使い回しが残っていないかを見直してください。変更を終えたという印と、使い回していないことの確認を分けて残すと、後から見返しやすくなります。

最後に、対象サービスの変更、使い回し先の確認、認証設定の確認の三つを見直します。偽サイトに入力してしまった場合や被害の相談が必要な場合は、フィッシングへの対処も参照してください。まだ終わっていない操作を一覧に残し、次に何を確認するかが分かる形で作業を区切りましょう。

変更の作業を途中で区切る場合は、次に確認するサービス名を残しましょう。ほかの人に手伝ってもらう際も、パスワードの値を並べて説明するのではなく、どのサービスで何の操作が必要かを共有する形にしてください。

変更した後に公式の案内を読み直し、まだ済んでいない手続きがあるか確認する時間も設けましょう。変更操作そのものを終えることと、利用先への質問を解消することを分けて扱うと、残った確認事項が見えやすくなります。