30秒で分かる結論
パスワードの使い回しは、1か所の漏洩がすべてに波及するため危険です。
とはいえ、全部を別々に覚えるのは不可能です。パスワード管理ツールを使えば、覚えるのは1つだけで済みます。まずはスマートフォンやブラウザに標準で入っている機能から始めれば十分です。
何が起きているのか
流出したIDとパスワードの組み合わせを、他のサービスで機械的に試す攻撃が広く行われています。
同じ組み合わせを使い回していると、まったく別のサービスであっても連鎖的に侵入されます。
なぜ重要なのか
人間が覚えられるパスワードの数には限りがあります。
その結果、多くの人が「少しずつ変えた似たパスワード」を使うことになりますが、規則性のある変化は自動的に試す対象に含まれます。
根本的な解決は、覚えることをやめることです。
パスワード管理ツールの仕組み
- 長くランダムなパスワードを自動で生成する
- 暗号化して保管する
- ログイン画面で自動入力する
利用者が覚えるのは、管理ツールを開くためのマスターパスワード1つだけになります。
選ぶときに見る点
- 使っている機器すべてで動くか — スマートフォンとパソコンの両方で使えないと続かない
- 自動入力がブラウザとアプリの両方で効くか
- 管理ツール自体に二段階認証を設定できるか
- 提供元と保管方式が公開されているか
- 引っ越し（エクスポート）ができるか — 後から別のツールへ移れることは重要
始め方
最初から全部を移し替える必要はありません。
- 重要度の高いものから登録する（メール、ネット銀行、通販サイト）
- 登録のついでに、そのサービスのパスワードを新しく作り直す
- 残りは、ログインする機会が来たタイミングで少しずつ移す
一度に完璧を目指すと途中で止まります。重要な数件だけでも移せば、リスクは大きく下がります。
初心者が知っておくべきこと
マスターパスワードだけは自分で覚える必要があります。
長さが安全性を大きく左右するため、記号を混ぜた短いものより、意味のない単語を4つ以上つないだ長いもののほうが、覚えやすく破られにくくなります。
マスターパスワードを忘れると復旧できないツールもあります。回復手段の有無は、導入前に確認してください。
IT Postの見方
IT Postでは、有料のツールを導入するかどうかより、まず使い回しをやめることのほうがはるかに重要だと考えています。
iPhoneやAndroid、主要なブラウザには標準の管理機能が入っています。追加の費用も設定もほぼ不要なので、専用ツールを比較検討して止まってしまうくらいなら、標準機能で今日始めるほうが実害を減らせます。
今後どうなりそうか
パスキーへの対応が進み、パスワード自体を作らずに済むサービスが増えています。
移行期のあいだは、パスワード管理ツールがパスキーの保管場所も兼ねる形が一般的になりつつあります。
