対策 — レベル別セルフディフェンス

流出事故の多くで対象になるのがメールアドレスとパスワードの組み合わせです。同じ組み合わせを使い回していると、一つの流出が他サービスへの不正ログインに直結します(credential stuffing)。

パスワードマネージャーでサービスごとに異なる強力なパスワードを生成し、覚えるのはマネージャー自体のパスワード(パスフレーズ)だけにします。ブラウザ内蔵のものでも十分な効果があります。

パスワードが漏れても、認証アプリやハードウェアキーによる二段階目の認証があれば不正ログインをほぼ防げます。SMS認証より認証アプリ(Google Authenticator 等)や FIDO2/パスキーが安全です。

重要なアカウント(メール・金融・SNS)から順に有効化しましょう。メールアカウントは他サービスのパスワードリセットを受け取る「最後の砦」なので最優先です。

攻撃の多くは既知の脆弱性への攻撃です。OS・ブラウザ・スマホアプリを自動更新にしておくだけで「既知の穴」が塞がり続けます。

流出事故の後は「パスワードを変更してください」を装うフィッシングが急増します。メールやSMS中のリンクからはログインせず、公式サイト・公式アプリを直接開いて操作します。

急かす文言(「24時間以内に…」)や、差出人表示だけでの判断はNG。不安なら企業の公式お問い合わせ窓口に確認します。

メールアドレスが過去の漏洩に含まれているかは Have I Been Pwned で確認できます。日本の事案は本サイトの漏洩ウォッチで企業名・情報種別から検索できます。

対象だったサービスと、同じパスワードを使い回しているサービスの変更を最優先で行いましょう。

ログイン用・受取用・throwaway(無料サービス登録用)でアドレスを分けると、流出の影響範囲を限定し、どのサービスから漏れたかの特定もしやすくなります。

iCloud の「メールを非公開にする」や SimpleLogin 等のエイリアスサービスを使うと、サービスごとに別アドレスで登録できます。

FIDO2/パスキーはフィッシング耐性があり、パスワード自体を手放す最も強い形式です。対応サービスでは優先的に設定します。

一番狙われるアカウント(メインメール・SNS・金融)には、スマートフォンだけでなく YubiKey 等のハードウェアキーを予備として登録しておくと、機種変更・紛失時にも閉め出されません。

ネットショップではバーチャルカード(利用限度・利用先を絞れる)やコンビニ払い・キャリア決済など、実カード番号を渡さない方法を優先します。

カード情報の流出が公表されたら、カード会社に連絡して再発行を検討し、利用明細の通知アラートを設定します。

MFA を有効化したら、バックアップコードを安全な場所(パスワードマネージャーや紙を金庫)に保存します。リカバリ用メール・電話番号が古いまま放置されていると、いざというとき復旧できません。

登録したままのサービスは「未来の漏洩」の在庫です。退会できるものは退会し、退会できないサービスには使い捨て用のメールアドレスを再設定しておきます。

対策は「全てに最強」ではなく、守る資産(資金・評判・プライバシー)と現実的な攻撃者(無差別の自動化攻撃か、標的型か)に合わせて取捨選択します。NCSC の Small Business Guide は個人にも応用できる枠組みを示しています。

NextDNS や Quad9 のようなフィルタリング DNS を使うと、端末単位で悪性ドメイン・フィッシングドメインへの接続をブロックできます。家族全員の端末にも適用できます。

メインメール・金融を、日常の登録に一切使わない専用アドレス・専用ブラウザプロファイル(または専用端末)に分離します。日常側が汚染されても重要側に届かない構造です。

HTTPS が普及した現在、公衆Wi-Fi での覗き見リスクは以前より小さくなっています。VPN より優先すべきは「サイトの証明書警告を無視しない」「公共ネットワークで金融操作をしない」運用です。VPN は地理制限や端末間の暗号化が目的なら選択肢になります。

データは3コピー・2メディア・1つは別場所に。ランサムウェアや誤削除からの復旧は、サイバー保険や業者に頼るより自前のバックアップが最速です。