ライフサポートコラム

あら、ネットショップのサイトからメールだわ。なになに？ 「会員情報の変更が完了しました」……えっ!?　わたし触ってないわよ。

身に覚えのない会員情報の変更通知。それは誰かがIDとパスワードを使って「不正ログイン」した可能性を示す危険なサインです。

げ、別のショップからもメールが来たわ。 「お買い上げありがとうございます」。きゃあ、何これ!?

普段使っているパスワードが漏えいしてしまったようです。1つのパスワードを複数のサイトで「使い回し」ていると、このように他のサービスにも次々と不正ログインされ、被害が拡大してしまいます。

近年、インターネットサイトからIDやパスワードに関する情報が漏洩し、複数のサイトで不正にアクセスされる事件が急増しています。

今年7月には、大手通販サイトのオンラインショップが不正アクセスを受け、160万円以上を不正に受注する事件が発生しました。顧客被害は同社が補填しましたが、最大で150人あまりの個人情報が流出した可能性もあるとしています。

ログインされたら最後、登録してあるクレジットカードで勝手に買い物されちゃうのね。

サイバー犯罪者は、セキュリティの脆弱なサイトから盗み出したID・パスワードのリストを使って、セキュリティの厳しい銀行や大手通販サイトなどで片っ端からログインを試みます。これがパスワードの使い回しを狙う犯罪者の常套手口です。

ただし、不正アクセスがあった場合も、情報が漏れたせいとは限りません。考えられる単語を片っ端から当てはめていく「総当たり（ブルートフォース）攻撃」、辞書にある単語を順にあてはめていく「辞書攻撃」などによって、パスワードを“見破られる”ケースもあります。

いろんなカギを試してみたら開いちゃった、ってこと？

その通りです。犯罪者はパスワード解析のための高度なツールを使用しており、特に次のようなパスワードは非常に見破られやすいとされています。

あ……わたしのパスワード、自分の名前＋生年月日だった……。

名前や生年月日といった個人情報は、犯罪者に最も推測されやすい文字列です。それでは、逆に見破られにくいパスワードの条件を見てみましょう。

この条件を踏まえて、実際に強固なパスワード作りにチャレンジしてみましょう。まずは「個人情報からは連想できない、自分だけが覚えている思い出の単語や数字」を組み合わせます。

えーと、どうせなら忘れられない思い出がいいわよね。 結婚記念日の11月22日（いい夫婦の日）にお父さんと山へドライブに行って……。 そして、出会ったのよ。森の中でクマに……。

「クマに遭遇した」という強烈なエピソードなら、他人に推測されにくく、自分でも決して忘れることはありません。このベースとなる文字列に、大文字や記号を加えてさらに強固にします。

できたわ！　でもこれ、使いまわしちゃダメなのよね？

強固なパスワードができても、それを複数のサイトで使い回すのは危険です。そこで、今作った「基本のパスワード」をベースにして、利用するサービスごとに文字列を追加するマイルールを設定します。

一般的に有効だとされるのは、利用するサービスごとに、基本のパスワードに文字列を追加する方法です。たとえば……

自分でルールを決めればいいのね。 じゃあ、私は“最初と最後の1文字で挟む”ルールにするわ！

このマイルールを適用すれば、基本のパスワードを一つ覚えておくだけで、サイトごとに異なる複数の強固なパスワードを管理することができます。

みなさんも推測されやすいパスワード設定と、使い回しにはご用心くださいね！