2FAセキュリティチェックリスト:今日からアカウントを守る12のステップ

セキュリティチェックリストが善意に勝る理由

アカウントが侵入される原因は、たいていありふれたものです。攻撃者は特殊なツールをほとんど必要としません。別のサイトで使い回されたパスワードと、その背後に2FA（第二要素）のないアカウントがあれば事足ります。「安全だと感じること」と「実際に安全であること」の差は、知識の問題であることはまれで、実行し切るかどうかの問題です。

そこでチェックリストが真価を発揮します。「そろそろセキュリティを強化しないと」という不安には、ゴールがありません。チェックリストはそれを、一つひとつ打ち消し確認できる12の具体的なステップに変えます。各ステップは「完了」か「未完了」かではっきり検証できます。漠然とした不安が有限のタスクリストになり、有限のタスクは終わらせられます。

最初に心得ておいてください。これは一度にやり遂げられる作業です。集中して約1時間あれば、この記事の12ステップすべてを片付けられます。数秒で終わるものもあれば、時間がかかるもの、保存しておいたリカバリーコードを探すことになるものもあります。ただし、専門的な技術は一切不要です。

読み終える頃には、どのアカウントが保護されていて、どれがされておらず、何を最初に直すべきかが正確にわかっているはずです。

ステップ1〜3: パスワードの監査と強化

ステップ1: 重要なアカウントをすべて書き出す

メモを開き、失うことができないアカウントを書き出します。まずメインのメールアドレス、次に銀行・決済アプリ、クラウドストレージ、パスワードマネージャー、携帯電話会社です。メールを最初にするのは、メールを掌握した攻撃者が他のほぼすべてのパスワードをリセットできるためです。

ステップ2: パスワードマネージャーを導入する

パスワードマネージャーはサイトごとに長く一意なパスワードを生成・保存するので、覚えるのはマスターパスフレーズ1つだけです。信頼できる製品を選び、パスワードマネージャー自体の二要素認証を有効にし、今頼りにしているかもしれない付箋やブラウザのオートフィルを置き換えましょう。

ステップ3: 使い回したパスワードを廃止する

パスワードの使い回しは、このチェックリストの中で最大の弱点です。どこか1つのサイトが漏洩すると、攻撃者は同じメールアドレスとパスワードの組み合わせを他のすべての場所で試します。パスワードマネージャーのセキュリティレポートで重複を検出し、メールアドレスや金融系アカウントから順に置き換えましょう。

置き換え用のパスワードを作る際は、複雑さより長さが重要です。ランダムな単語4〜5個の方が、記号の短い文字列より覚えやすく、はるかに解読が困難です。

ステップ 4-6: 重要なアカウントすべてで2FAを有効にする

まずメールアカウントから始めましょう。他のすべてのサービスのパスワードリセットはメールを経由するため、受信箱を掌握した攻撃者は他のすべてを解除できてしまいます。2FAを1つのアカウントにしか設定しないなら、ここに設定してください。

ステップ 4: メールを最優先する

今日、主要なメールで2FAを有効にし、そこから外へ広げましょう: 銀行、SNS、クラウドストレージ、仕事用アカウント。多くのサービスでは「セキュリティ」や「サインイン」の設定項目にあります。

ステップ 5: 提供される中で最も強力な方法を選ぶ

認証アプリはデバイス上でコードを生成するため、オフラインでも動作し、通信途中で傍受されません。ハードウェアセキュリティキーはさらにフィッシングされにくくなります。SMSコードは何もないよりましですが、SIMスワップ攻撃で横取りされる可能性があります。テキストメッセージはデフォルトではなくフォールバックとして扱いましょう。

ステップ 6: バックアップコードを適切に保存する

サービスがバックアップコードを表示したら、メールの下書きに放置しないでください — それでは意味がありません。印刷するか、パスワードマネージャーの暗号化メモに保存し、復旧対象のアカウントなしでもアクセスできる場所に置きましょう。

ステップ 7〜9: 復旧オプションを封鎖する

復旧チャネルはアカウントへの裏口です。復旧用メールアドレスや電話番号を掌握した攻撃者は、しばしばパスワードのリセットを実行し、そのリセット自体を承認できてしまいます。攻撃者がこれらを狙うのはそのためです。

ステップ 7: 復旧用メールアドレスと電話番号を確認する

まずプライマリメールアカウントから始め、銀行、ソーシャルメディア、クラウドストレージを確認します。記載されている復旧用メールアドレスと電話番号が現行のもので、自分だけがアクセスでき、それ自体も 2FA で保護されていることを確認してください。復旧連絡先が誤っているか欠落している場合は、先に進む前に修正しましょう。

ステップ 8: 古い番号と使っていないアドレスを削除する

古くなったものはすべて削除します:

• 以前のキャリア、プラン、職場の電話番号
• もはや管理していないドメインのメールアドレス — 失効したドメイン上の古いアドレスは誰でも再登録できます
• パートナーや家族の連絡先(取り決めが変わった場合)

使い回された電話番号は現実のリスクです。キャリアは番号を再割り当てするため、新しい所有者があなたのリセットコードを受け取り始める可能性があります。

ステップ 9: 秘密の質問を見直す

答えは事実ではなくパスワードとして扱います。「母の旧姓」や「初めてのペット」はソーシャルメディアで見つかることが多いものです。サイトで秘密の質問を完全に削除できるなら、そうしてください。削除できない場合は、でっち上げた答えをパスワードマネージャーに保存します。

ステップ10〜11:アクティブなセッションと連携アプリの確認

ステップ10:見覚えのないデバイスをサインアウトさせる

ほとんどの主要アカウント(メール、SNS、クラウドストレージ)では、アクティブなセッションの一覧を確認できます。現在サインイン中のデバイスと、おおよその場所、最終アクティビティ日が表示されます。セキュリティ設定内の「デバイス」や「ログインしている場所」といった項目から探してください。

各エントリーを確認してください。古いスマホ、借りたノートPC、忘れられた図書館のログインもすべて該当します。見覚えのないものや使わなくなったものはサインアウトし、不審なセッションがあればパスワードを変更してください。

ステップ11:サードパーティアプリのアクセス権を取り消す

これまでに、Googleでログイン、クイズアプリ、スケジュール管理ツール、古いブラウザ拡張機能など、アプリやサービスにアカウントへのアクセス権を付与している可能性が高いです。それぞれが常時開いた招待状になっています。

アカウントのセキュリティ設定で「連携アプリ」や「サードパーティアクセス」を探してください。現在使用していないものはすべて削除します。アプリの用途を思い出せない場合は取り消しましょう。後でいつでも再認証できます。

不審なアラートがあった場合

予期しないログインアラートが届いたら、直ちに両方の確認を繰り返してください。攻撃者は他の異常に気づかれる前に、新しいセッションやアプリ連携を作成していることがよくあります。

ステップ12:習慣にする

セキュリティチェックリストは、最新の状態に保ってこそ機能します。来年作成するアカウントも、今修正したばかりのアカウントと同じ保護を受けるべきです。

新しいアカウントはすぐに追加する

新しいサービスに登録したら、次に進む前に基本作業を済ませましょう。パスワードマネージャーで生成した一意のパスワード、有効化した2FA、自分で管理する回復用情報の設定。アカウントが新しいうちは2分で終わり、後から追加するよりはるかに楽です。

チェックリストを年2回再実行する

カレンダーに定期的なリマインダーを設定しましょう。6か月ごとにチェックリスト全体をもう一度見直します。利用中のサービスが情報漏えいの見出しに出たら、早めに実行してください。そのアカウントを最初に確認し、必要ならパスワードを変更し、2FAがまだ有効か確認します。

2FAを徐々に強化する

保護レベルは習慣とともに高めていくべきです。まだSMSでコードを受け取っているなら、認証アプリに移行しましょう。それが日常になったら、最も重要なアカウント(メール、パスワードマネージャー、銀行)にはハードウェアセキュリティキーの導入を検討してください。

手順で問題が見つかったときの対処法

弱点が見つかるのは失敗ではなく、チェックリストが機能している証拠です。よくある発見の修正方法を以下に示します。

パスワードやセッションの危険信号

パスワードが使い回されていたり弱かったりする場合、または見覚えのないセッションを見つけた場合:

• すぐにパスワードを変更します。他のログインと紐づいているメールアカウントから始めましょう。
• アカウントのセキュリティ設定にある「すべての端末からサインアウト」を使い、その後改めてサインインし直します。
• 2FAが有効でない場合は有効にします。

復旧方法や2FAの設定ミス

復旧用の情報が古い電話番号やメールアドレスを指している場合、または2FAの登録が雑だった場合:

• まず復旧オプションを更新し、自分自身を締め出さないようにします。
• 2FAを完全に削除し、改めて一から登録し直します。
• 新しいバックアップコードを安全なオフラインの場所に保存します。

不審なアクティビティ

実際に悪用の証拠がある場合（アカウントから送信されたメッセージや、心当たりのないパスワードリセットなど）のみ、連絡先に警告してください。それ以外の場合、周囲を不安にさせる必要はありません。

今日行う小さな修正は、永遠に実行されない完璧な計画に勝ります。