強いパスワードの作り方と、2段階認証での守り方は？
強いパスワードとは、長くて使い回していないものです。無関係な単語を4つ以上つなげるか、16文字以上にして、1つのアカウントだけで使います。パスワード管理アプリなら作成も記憶も任せられます。さらに多要素認証（2段階認証）を、できればパスキーか認証アプリで有効にすれば、パスワードが盗まれただけではログインされません。
▶ やってみよう
なぜ大切なのか
使い回したパスワードは、どこか1つのサイトから漏れた瞬間にリスト型攻撃で破られます。管理アプリを使えば、どのパスワードも長く別々にできます。2つ目の要素やパスキーがあれば、パスワードが知られていても乗っ取りのほとんどを防げます。
8分後にできるようになること
- 複雑さより長さ。長いパスフレーズは破られにくく、覚えやすいです。
- 使い回しは1つの漏えいを多くの侵入に変えます。パスワード管理アプリを使いましょう。
- どこでも多要素認証を有効に。いちばん強いのはパスキーとセキュリティキーです。
練習する内容
何秒で破られる？
例を試してから、自分のパスフレーズを作ってみましょう。ここに本物のパスワードは入力しないでください。
1つの漏えい、たくさんの扉
何年も前に使っていたゲームの掲示板がハッキングされました。流出したパスワードでボットが何をするか見てみましょう。
2つ目の要素をランク付け
ログインの守りを弱い順から強い順にタップしてください。
- パスワードだけ、2つ目の要素なし
- SMSで届くコード
- 認証アプリのコード
- 番号の一致確認つきのプッシュ承認
- パスキーまたはハードウェアのセキュリティキー
パスワードの習慣
Adaが送り出してくれる前の最終チェックです。
80個のアカウントのパスワードを管理する、いちばんいい方法は？
- アカウントごとに長く別々のパスワードを作る管理アプリ (答え)
- とても強いパスワード1つをどこでも使う
- Natsu2025!、Natsu2026! のような変化形
パスワード管理アプリそのものは何で守るべき？
- 自分しか知らない長いパスフレーズと、多要素認証 (答え)
- 絶対に忘れないように誕生日
自分で操作していないのに、スマホに多要素認証の承認リクエストが届きました。どうする？
- 拒否して、パスワードを変更し、情シスに伝える：誰かがパスワードを知っている (答え)
- 通知が止まるように承認する
覚えておこう
アカウントごとに別のパスワード、それを覚える管理アプリ、そしてどこでも多要素認証を。
サイトごとに別のパスワード、それを覚える管理アプリ、大事なアカウントすべてに多要素認証を。
押さえておきたい事実
- Microsoftによると、多要素認証はアカウント侵害攻撃の99.9%以上を防げます。 · 出典: Microsoft Security Blog, 2019
- CISAは、長く（16文字以上）、ランダムで、アカウントごとに異なるパスワードをパスワード管理アプリに保存することを勧めています。 · 出典: CISA, Secure Our World: Use Strong Passwords
- Googleの調査では、SMSのコードで自動ボットの100%、大量のフィッシング攻撃の96%、標的型攻撃の76%を防げました。セキュリティキーは3つすべてを防ぎました。 · 出典: Google Security Blog, 2019 (with NYU and UC San Diego)
- リスト型攻撃が成功するのは、パスワードが使い回されているからです。攻撃者は流出したメールアドレスとパスワードの組み合わせを、ほかの多くのサイトで自動的に試します。
更新日:
よくある質問
強いパスワードとはどんなもの？
長さと、使い回していないことが大切です。無関係な4つ以上の単語のパスフレーズや、16文字以上のランダムなパスワードを1つのアカウントだけで使えば、記号入りの短いパスワードよりずっと強くなります。
パスワード管理アプリは安全ですか？
信頼できるパスワード管理アプリは、パスワードの使い回しよりはるかに安全です。保管庫は暗号化されているので、長いパスフレーズと多要素認証で守りましょう。
いちばん安全な2段階認証の方法は？
パスキーとハードウェアのセキュリティキーがいちばん強力です。本物のサイトでしか使えないからです。次に認証アプリと、番号の一致確認つきのプッシュ承認。SMSのコードは弱めですが、2つ目の要素がないよりずっとましです。
MFA疲労攻撃とは何ですか？
すでにパスワードを知っている攻撃者が、承認リクエストを何度も送りつけ、止めたくて「承認」をタップするのを待つ攻撃です。拒否して、パスワードを変更し、報告しましょう。
関連用語