同期は「あり？」「なし？」

　ここまでの内容は、組織の中にいる「個人」に関するお話でした。普段利用しているスマートフォンやPCのWebブラウザは、iOSに含まれるパスワードアプリや、「Chrome」に内蔵された「Googleパスワードマネージャー」の機能を活用することで、パスワードを安全に、便利に運用ができるようになっています。

　しかし、1つだけ気を付けてほしいことがあります。それは、業務で使うアカウントにおける「パスワード情報の同期」です。

　例えば、Chromeに内蔵されたGoogleパスワードマネージャーでは、同じGoogleアカウントを使った他のPCやスマートフォンでパスワード情報を共有できます。これは個人にとっては大変便利な機能です。もちろん、筆者も活用しています

Chromeに内蔵された「Googleパスワードマネージャー」［クリックで拡大］

　しかし、クラウドを利用した同期機能は便利な半面、リスクを増大させる可能性もあります。iOSのパスワードもGoogleパスワードマネージャーも、保存されたパスワードは「ログインされているアカウントならばパスワードそのものが表示可能」です。そのため、パスワード管理ツールを使っている方がその利便性を得るためには、PCやスマートフォンそのものの安全を、これまで以上に気を付ける必要があります。

　具体的には、「スマートフォンであれば必ずロック機能を使い、未使用時にはロックをかけること」「PCであれば離席時に必ず画面ロックを行い、第三者が操作できないようにすること」などが求められます。これらは、日頃からのそういった「習慣」が重要であり、特にPCに関しては“［Windows］キー＋［L］”をさっと押せる癖を付けておきましょう。

　加えて、問題となるのは「個人」と「従業員」が混ざってしまうことです。Chromeなどではプロファイルを分けることにより、複数のGoogleアカウントでログインが可能ですが、それぞれの「同期」機能により、パスワードも同期が可能です。それが、インシデントのきっかけになり得ることを知っておくべきでしょう。

　日本国内の多くの組織が、ランサムウェアの被害に苦しんでいます。その侵入経路は、メールやWebではなく、今では「VPN機器」や「リモートデスクトップ」に変化しつつあります。通信事業者のインターネットイニシアティブ（IIJ）は、2024年10月に公開した広報誌の中で、以下のようなレポートを公開しています。

IIJが公開している「IIJ.news vol.184 October 2024」（https://www.iij.ad.jp/news/iijnews/vol_184/）［クリックで拡大］ 出所：IIJ

最近、特に増えているのが、自宅のパソコンがInfostealer（筆者注：ログイン情報を盗むマルウェア）に感染し、業務システムへの認証情報が漏えいしてしまうケースです。自宅のパソコンから業務システムへアクセスしたことがないにもかかわらず、自宅のパソコンから漏えいしていた――これはなぜでしょうか？

実は、自宅と職場のパソコンで利用していたChromeに同一のGoogleアカウントでログインしており、アカウントの同期機能により職場のパソコンでブラウザに保存していた認証情報が自宅のパソコンへも同期されていました。そして、自宅のパソコンがInfostealerに感染した結果、情報漏えいが起きてしまったのです。

同期を行っていたことで、組織の重要な情報であるアカウントが、自宅という組織のガバナンスが効きにくい場所で奪われるということが、現実に起きてしまっています。このことを考えると、組織はこういった同期機能を会社の管理するデバイスのみで許可し、個人の端末では実行させてはならないことがわかります。パスワード管理ツールはとても便利なのですが、正しく使わないとこういった弊害も出てしまいます。

※引用元：インシデント対応の現場から｜広報誌（IIJ.news）｜インターネットイニシアティブ（IIJ）

{x:https://twitter.com/maxellJP/status/1856574692561441059}

　とはいえ、個人においては何よりもパスワードの使い回しの弊害は喫緊の問題であるため、パスワード管理の機能をぜひ活用してほしいと思います。組織の従業員としても、組織内に閉じたパスワード管理ツールの活用は必須でしょう。問題は使い方であり、重要な情報を取り扱うツールなだけに慎重さが求められます。その慎重さの勘所をつかむためにも、まずは個人として、パスワード管理機能の活用を強くオススメしたいと考えます。

　10年前ならば夢物語だった「パスワードのない世界」も、今では手を伸ばせばすぐそこにあると思っています（現実的には「パスワードを意識しなくていい世界」ですが）。iOSのパスワード管理機能は必要十分になっています。ぜひ、一度チェックしてみて、実際にパスワードを自動生成させてみてください。きっとそこから、世界が変わるはずです（少々大げさですかね!?）。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！