利用しているサービスが情報漏洩を公表したとき、最初に浮かぶ疑問はたいてい同じです。自分は被害に遭ったのか？ Times Car のデータ漏洩の被害者だと自称するある日本人ユーザーは、自分が利用するあらゆるサービスについてその疑問を抱きました。そして過去1年間の国内サービスにおける個人情報漏洩・流出のまとめを、パスワードを変更すべき箇所の指針とともに公開しました。彼のリストは、長らく忘れていたサービスで自分のデータが流出していないか確認するための、誰にとっても有用なきっかけとなります。

出典に関する注記：私たちが入手できた元記事の抜粋は短いため、この記事では個々の漏洩事件の詳細は繰り返しません。代わりに、読者自身のアカウントに応用できるテンプレートとして、投稿者の手法を紹介します。

Times Car の漏洩が示すアカウント露出の実態

投稿者の出発点は注目に値します。彼は漏洩まとめ記事を書こうとしたのではありません。ある事件の被害者となり、それから過去1年の間に他に何がすり抜けていったのだろうと考えたのです。これは理にかなった反応です。というのも、1件の通知だけで全体像が分かることはほとんどないからです。

ほとんどの人は、カーシェア、ショッピング、クラウドストレージ、旅行、配送など、何十ものサービスに自分の情報を分散させています。それぞれが、氏名、メールアドレス、電話番号、住所、時には支払い情報やログイン情報の組み合わせを保持しています。それらがどれだけうまく保護されているかを自分で管理することはできません。ある事業者が漏洩したとき、自分の端末が侵害されていなくても、その露出は自分に及びます。

この事業者側のリスクが重要な教訓です。15,000アカウントに影響した楽天ドライブの漏洩も、自分がどれほど個人的に注意していても、サービス側の事件がそこに保存したデータを危険にさらしうることを示すもう一つの例です。

どのサービスから自分のデータが流出したか確認する方法

投稿者の手法は、いくつかの手順で応用できます。

  1. 利用サービスをリストアップする。 メール受信箱で、過去数年間のウェルカムメッセージ、領収書、パスワードリセットメールを検索します。使ったことのあるすべてのアドレスを含めましょう。
  2. 通知を探す。 受信箱で「不正アクセス」「セキュリティインシデント」「重要なお知らせ」といった言葉を検索します。企業は通常、影響を受けた顧客にメールを送りますが、こうしたメッセージは迷惑メールに振り分けられていることがよくあります。
  3. 漏洩照会ツールを使う。 信頼できる漏洩検索サービスでは、メールアドレスや電話番号を入力して、既知の流出データセットに含まれているかどうかを確認できます。定評のあるサービスを使い、パスワードは絶対に入力しないでください。
  4. 企業の発表を確認する。 実際に利用しているサービスについては、公式のニュースページやセキュリティページを見ます。投稿者のようなまとめリストは、名称を照合するのに役立ちます。
  5. 見つけた内容を記録する。 サービス名、日付、報告された流出データの種類を書き留めます。

照会で結果が出なかったからといって、安全が証明されるわけではありません。すべての漏洩が公表されたり索引化されたりしているわけではないからです。ツールは複数のシグナルのうちの一つとして扱いましょう。

まずどのパスワードを変更すべきか

すべてを一度に変更する必要はありません。乗っ取られた場合の被害の大きさで優先順位をつけます。

  • 主要なメールアカウント。 ほぼすべてのリセットに関わるため、最優先です。
  • 漏洩通知で名前が挙がったアカウント。 企業がパスワードは流出していないと言っても、パスワードを変更しましょう。
  • カードやポイント残高が保存されている金融・決済・ショッピングのアカウント。
  • 本人確認書類、写真、仕事のファイルなどを保管している可能性があるクラウドストレージやバックアップのアカウント。
  • 漏洩したアカウントとパスワードを共有しているすべてのアカウント。 使い回しは、1件の漏洩が多数に広がる主な経路です。

他に何が流出したかも確認しましょう。通知にパスワードではなく電話番号や住所が挙がっている場合、パスワード変更はあまり役に立ちません。代わりに、より巧妙なフィッシングや詐欺メッセージが増えると想定し、心当たりのないリンクや電話には疑いの目を向けましょう。

2FAとパスワードマネージャーでアカウントを固める

緊急のパスワードを変更したら、次の漏洩の被害を軽くしましょう。

パスワードマネージャーを使う。 サービスごとに長くユニークなパスワードを生成するので、ある事業者での漏洩が別のサービスを解錠することはありません。覚えるのは強力なマスターパスフレーズ一つだけです。

二要素認証（2FA）を有効にする。 サービスが提供している場合は、SMSコードよりも認証アプリやハードウェアセキュリティキーを優先しましょう。パスワードが漏れても、攻撃者には第二要素がなお必要です。

サインイン履歴と連携アプリを見直す。 心当たりのない端末からログアウトし、使わなくなった第三者アクセスを削除します。

不要なものは削除する。 使うのをやめたサービスのアカウントは閉じましょう。保存されていないデータは漏洩しません。

これがあなたにとって意味すること

利用しているサービスでの漏洩は、ほとんど自分では制御できませんが、対応は自分次第です。どのアカウントが影響を受けたかを知っていれば、正しいものから先に対処できます。また、ユニークなパスワードと2FAは、1件の漏洩がどこまで広がるかを限定します。VPNは企業が自社サーバーに保存しているデータを保護しないため、この状況ではネットワークツールよりもアカウントの衛生管理のほうが重要です。

要点

  • 今週、時間を確保して、利用しているサービス全体で自分のデータが流出していないか確認する。
  • 受信箱で漏洩通知を検索し、影響を受けたアカウントの簡単なリストを作る。
  • まずメールのパスワードを変更し、次に金融とクラウドのアカウントを変更する。
  • パスワードマネージャーを導入し、提供されているすべての場所で2FAを有効にする。
  • 使っていないアカウントは閉じ、オンライン事業者にファイルをどう保管しているかを見直す。楽天ドライブの事件が示すように、事業者側の問題は保存データにまで及ぶことがあります。

今1時間かけて監査するほうが、後で侵害されたアカウントを復旧するよりもはるかに楽です。