使い回しパスワード 700 件をゼロにするまでの 3 週間
2026 年に入ってから、KDDI で 1,223 万件、CAPCOM ID で 1,177 万件、タイムズカーで 660 万件。大手でも次々と個人情報が漏れている。
僕も使用していたサービスのいくつかで不正アクセスが発覚し、個人情報が漏れた。ログインまわりを見直したところ、同じパスワードを 710 か所で使い回していた。これはまずい。
1,000 件以上のログイン情報を 3 週間かけて全部見直し、個人でできる考えうる限りの対策を講じたので共有したいと思う。
1. パスワードは全部 1Password に入れて、覚えるのは 1 つだけにした Google も Apple ID も含めて、すべてのサイトのパスワードをパスワードマネージャーの 1Password が自動生成したランダムな文字列に変えた。自分でも覚えてない。人間に覚えられる程度のパスワードはAIにすぐハッキングされるだろうから。 覚えているのは 1Password を開くマスターパスワード 1 つだけ。とはいえこれも複雑で覚えきれないので、1Passwordの外で別で管理している。
パスワードマネージャー: サイトごとにランダムなパスワードを作って保存し、ログイン時に自動入力してくれる金庫アプリ。
1Password を選んだ理由は 2 つ。 ひとつは鍵の仕組み。金庫の中身は、マスターパスワードと自分の端末にしかない「シークレットキー」の 2 つが揃わないと開かない。シークレットキーは 1Password 社のサーバーに送られないので、サーバーがハッキングされても中身は読まれない。 もうひとつは Watchtower という監視機能。金庫の中のパスワードを流出データベースと突き合わせて「漏れている」「使い回し」「弱い」「2 段階認証が未設定」を一覧にしてくれる。これを上から潰していけばいいので、500 件以上あっても迷わなかった。
2. 登録サービスを棚卸しして、使っていないものは退会した Gmail の「登録ありがとうございます」メールを全部洗い出し、Chrome に保存されていたログイン情報 1,000 件以上を 1Password に取り込んで突き合わせたら、重複を除いて 700 件以上のアカウントがあった。10 年以上前のサービス、昔の仕事のテスト環境、一度しか使っていない通販。使っていなくても、相手のサーバーには住所やカード情報が残っている。1 件ずつ仕分けし退会・削除し、残したのは 120 件。Chrome 側のパスワードは全部消した。
3. SMS 認証をやめて、認証アプリとパスキーにした 「ログイン時に携帯に 6 桁の番号が届く」SMS 認証は、携帯番号を乗っ取る手口（SIM スワップ）や、偽サイトで入力させてその場で使う手口で突破される。認証方法が複数選べるサイトでは認証アプリかパスキーに切り替えた。
認証アプリ: スマホで 30 秒ごとに 6 桁コードを作るアプリ。SMS より乗っ取られにくい。有名どころは Google Authenticator。 パスキー: パスワードの代わりに指紋・顔認証でログインする仕組み。鍵の本体は端末の中にあり、サイト側には照合用の型しか渡らないので、偽サイトに入力しても盗まれない。Google、Apple ID、Amazon、X など対応が増えている。
4. ログイン中の端末を全部見直した 各サービスの「ログイン中のデバイス」を見たら、心当たりのない海外からの接続や、身に覚えのないセッションが 850 件残っていたサービスがあった。全部ログアウトさせてパスワードを変えた。これは一度やる価値がある。
5. スマホを失くしても詰まないようにした 認証アプリはクラウド同期をオン、1Password の復旧用の情報をプリントした紙は引き出しに、物理キーを 2 本用意した。
物理キー（セキュリティキー）: USB メモリみたいな小さなスティック。パスキーと同じ仕組みを端末の外に持てるので、スマホも PC も同時に失ったときの最後の鍵になる。普段は引き出しに入れておくだけでいい。Yubikeyが有名。
結果 使い回しパスワード 710 → 0、流出済みパスワード 145 → 0、アカウント 535 → 120。
真似するなら、この順番
-
1Password を入れてマスターパスワードを 1 つ決め、Chrome や Safari のパスワードを取り込む
-
Watchtower を見ながら、メール・銀行・カード・Amazon などお金に近いものから順にパスワードを一意にして、2 段階認証をオンにする
-
「ログイン中の端末」を見て、知らないものを切る
-
使っていないサービスを退会する
-
残りは「次にログインした時に変える」で OK。一気にやらなくていい
手間と時間はかかるけど、これからハッキングはどんどん増えると思うので、なるべく早めの対策を。
