メールセキュリティ
1件の漏えいを次の乗っ取りにつなげない
なぜメールには使い回さない固有パスワードが必要なのか
固有パスワードなら、別サイトから漏れた認証情報がそのままメールへのログイン試行に使われるリスクを下げられます。
読了目安 9分
強いパスワードでも5つのサービスで同じものを使えば、5つのデータベースに同じ秘密を置いている状態です。1つから漏れれば、攻撃者は同じメールアドレスとパスワードを別サービスで試せます。復旧の中心になるメールでは特に使い回しを避けるべきです。
使い回しがcredential stuffingになるまで
- 1
別サービスから認証情報が漏れる
実在するユーザー名とパスワードの組が流出します。
- 2
メールアドレスが他でもユーザー名になる
同じ識別子を複数サービスで使いやすい状態です。
- 3
自動化して別サービスへ試す
ボットが流出した組み合わせを多数のログイン画面で試します。
- 4
使い回しが次の乗っ取りを作る
2つ目のサービス自体が侵害されていなくても、同じパスワードならログインが成功します。
強さ・固有性・追加認証の役割
| 対策 | 主に防ぐもの | 単独では防げないもの |
|---|---|---|
| 強いパスワード | 推測 | 盗難やphishing |
| 固有パスワード | 他サービス漏えいからの使い回し | そのパスワード自体のphishing |
| 2FA | 盗まれたパスワードだけでのログイン | 方式によってはphishing可能 |
| Passkey | 通常のphishingとパスワード再利用 | 復旧や端末の安全性 |
実用的な基準
- メインメールのパスワードを使い回さない。
- パスワードマネージャーで固有性を維持する。
- 漏えいしたパスワードを再利用していた場所ではすべて変更する。
- 2FAまたはpasskeyを有効にする。
メールのパスワードで重要なのは難しさだけでなく独立性です。別の場所から盗まれた秘密が、受信箱では役に立たない状態を作りましょう。
この脅威を文脈で理解する
出典と参考資料
短期利用のために別の受信箱が必要ですか？
将来の復旧が不要なら、一時メールは恒久アドレスの露出を減らせます。これはプライバシーの一層であり、アカウント保護の代替ではありません。
一時メールを作成