パスワードだけではもう守れないから

　これで終わりではありません。あくまで上記はパスワード単体の話であり、今ではパスワード以外の方法でも認証情報を守ることができます。むしろ、パスワード以外の手段による保護についても、考えていただきたいのです。

　まずは多要素認証です。最近では金融系のログインで必須となっているケースも多く、皆さんも身近に感じていることでしょう。ただし、この多要素認証も「リアルタイムフィッシング」と呼ばれる手法によって突破されるリスクが高まっています。多要素認証を入力する際には、偽のサイトでないか、ほんの少しだけ注意を払ってください。そのためにも、メールやSMSからURLを開くのは避け、必ずブックマークから該当のサービスへアクセスするようにしましょう。

　そして、最新の手法である「パスキー」です。こちらも証券会社などでの導入が進み、利用経験がある方も増えてきています。利用可能な場合は、ぜひ使ってみてください。加えて、できれば一度「機種変更」のプロセスも体験しておくことをオススメします。パスキーそのものは極めて強力な認証手段であり、正面から突破するのは困難とされています。だからこそ、攻撃者は機種変更の際を狙った“裏口からの突破”を狙ってくるのです。パスキーを使用している端末を機種変更する際に届く、メールやSMS、アプリのプッシュ通知に記載された“本物”の文言を一度チェックし、偽物との区別を付けられるようにしておきましょう。

　また、NIST SP 800-63Bの中でも「パスワード管理ツール」の活用について触れています。これを利用者が使えるよう、パスワード入力画面で「ペーストを禁止しないこと」が求められています。最近では、OS標準のパスワード管理ツールも十分な機能を備えており、先ほど紹介したような単語をつなげたパスワードを自動生成してくれるものもあります。これなら、パスワードそのものを覚える必要がありません。

図5　パスワード管理ソフトは有償だが、覚えやすく、しかも強いパスワードを自動で作ってくれる［クリックで拡大］

　今回はパスワードにまつわる最新の状況を紹介しました。全てのパスワードを一度に入れ替えるのは大変かもしれませんが、まずは「お金が関係するサービス」「個人情報が関係するサービス」だけでも、上記の“強いパスワード”の利用を検討してみてはいかがでしょうか。

　そして、もし社内のシステムでパスワードが8文字限定だったり、ペーストができなかったり、定期変更が強制されていたりするなど、上記の“強いパスワード”のルールを満たせないシステムが残っている場合には、ぜひ本コラムの内容を共有してみてください。あなたのパスワード、そしてセキュリティ感度のアップデートにつながれば幸いです。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！