メールこそがマスターキー
ほぼすべてのオンラインサービスが、メールによるアカウント復旧の手段を用意しています。いわゆる「パスワードをお忘れですか？」です。したがって、あなたのメールアドレスを握った者は、Amazonのアカウント、銀行アプリ、SNS、クラウドストレージ、さらにはApple IDやGoogleアカウントまで掌握しかねません。
あなたのGmailやOutlookにアクセスした攻撃者は、それに紐づくあらゆるサービスでパスワードのリセットを実行できます あなたのパスワードを一つも知らなくてもです。Gmailのパスワードの強度は、Spotifyのそれとは比べものにならないほど重要なのです。
これこそ、セキュリティの専門家が「最も弱い輪」と呼ぶものです。攻撃者は最も守りの固いサービスを狙うのではなく、他のサービスへ到達できる、最も守りの薄いサービスを狙うのです。
メールアカウントを狙う一般的な攻撃
メール乗っ取りの大半は、4つの攻撃経路によるものです。
最も多いのは標的型フィッシングです。Google、Microsoft、Appleを装ったメールが、再ログインを促します。フィッシングページは、あなたの認証情報をリアルタイムで盗み取ります。クレデンシャルスタッフィングは、他のサービスから盗まれたパスワードのデータベースを悪用します（Have I Been Pwnedには150億件を超える流出アカウントが登録されています） 同じパスワードを使い回していると、攻撃者はそれを自動的にあなたのメールで試します。SIMスワッピングは、あなたの電話番号を携帯キャリアから乗っ取り、認証用のSMSを傍受します。ブルートフォースは、2FAを設定しておらず、単純なパスワードを使っているアカウントを狙います。
メールを守るには
効果の高い順に並べた、5つの具体的な対策です。
- →二要素認証（2FA）を有効にしましょう SIMスワップに弱いSMSよりも、認証アプリ（Google Authenticator、Authy、Aegis）を使うのが望ましいです。
- →パスワードマネージャー（Bitwarden、1Password）で生成した、固有で長いパスワード（20文字以上）を使いましょう 他のサービスで使い回してはいけません。
- →アクティブなセッションを定期的に確認しましょう。Gmailでは、ページ下部の「アカウント アクティビティ」をクリックすれば、不審な接続を確認して切断できます。
- →新しいデバイスからのログイン通知を有効にしましょう GmailとOutlookは、新規のサインインごとにメールや通知を送ってくれます。
- →よく知らないサイトのログインにメインのメールアドレスを使うのは避けましょう エイリアスアドレス（SimpleLogin、Apple Hide My Email）を使いましょう。
デジタルセキュリティは一本の鎖です。その最も弱い輪は、守ろうとしているサービスではなく、多くの場合メールなのです。今日、5分だけ時間を取って、メインのメールアカウントで2FAを有効にしましょう これは、個人のデジタルセキュリティにおいて、かける手間に対して得られる保護効果が最も大きい対策です。
- Have I Been Pwned — aggregated data-breach database (Troy Hunt), homepage account count
- Google Security Team, with New York University & UC San Diego — “New research: How effective is basic account hygiene at preventing hijacking,” Google Security Blog, 2019
- Kevin Lee, Ben Kaiser, Jonathan Mayer, Arvind Narayanan — “An Empirical Study of Wireless Carrier Authentication for SIM Swaps,” SOUPS 2020, Princeton University
- NIST Special Publication 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management (§5.1.3.3)
アカウントのセキュリティを確認する