パスワードを使いまわすとヤバイ

先日Apple IDを乗っ取られかけました。自分だけは大丈夫という根拠の無い自信を持っていたのですが、全然大丈夫じゃなかったので顛末を書きたいと思います。

事件発生

6月27日、Shpongleのライブを見終えて感動を共有しがてら軽くお茶でも飲もうと適当にお店に入った時でした。突然iPhoneが「iCloudにログインし直すからパスワードを入力しなおせ」と言ってきました。

正しいパスワードを入力してもなぜかログインできず、不思議に思っていたところAppleからメールがきてアカウントがハックされかけていることに気づきました。

(私の名前)様
2014年6月27日、午後01:36:36 (GMT) にお客様の Apple ID (メールアドレス) に次の変更が加えられました:
パスワード
その他のサポートについては Apple サポートへご連絡ください。
今後ともよろしくお願い申し上げます。
Apple サポート

東京はGMT+9ですので大体午後10時半頃の受信です。ついさっきまでDivine Moments を Truthしていた私にはもちろんパスワードを変更した覚えなどありません。

ひとまずすぐにパスワードのリセットをかけ、暫定でパスワードを再設定。一応iCloudにログインし直すことができました。

念のためiTunesやApp Storeでの購入履歴を確認しましたが、幸いパスワードの変更がかけられてから5分程度でリセットをかけられたせいか特に金銭的な被害はなさそうでした。

意外と広い影響範囲

さて、問題は私が各種webサービスを利用するために使用しているメールアドレスとパスワードの組み合わせが漏れているという点です。情報ザコの私は非常にまずいことにパスワードをいろいろなところで使いまわしており、いくつかのサービスではApple IDと同じメールアドレスとパスワードでログインができてしまう状態になっていました。

先日ニコニコ動画より「よそで同じパスワード使ってないか？ログインを試みようとした奴がいるかもしれないのでパスワードリセットしてくれ」という旨メールがきており、その時はニコ動のパスワードだけ変更をかけたのですが、今思えばこの時もっと真剣に捉えて情報管理に気を配っておくべきでした(ニコ動もApple IDと同じIDとパスワードを使用していました)。

手元にはiPhoneしかないのでとりあえず出来る範囲でAmazonとPaypalのパスワードを変更し、焦りながら帰宅。

すぐさま暫定で変更したAppleやAmazonを含めて長くて強力で別々なパスワードに設定しなおし、二段階認証が使えるものは全て設定しました。

変更が必要なサービスが多くて地味に大変で意外と時間がかかりました。多分これでも変更漏れがあったりするかと思います。現に今書きながらヨドバシ・ドット・コムのアカウント情報を変更し忘れていたことに気づいて変更しました。

こんなことなら最初から別々のパスワードを設定しておけば…。

パスワード管理はどうすればいいのか

なぜ様々なサービスのパスワードを統一していたかというと一つ覚えておけばそれで済むからという単純な理由からでした。しかしながら今回その危険性を体感し、サービスごとにランダムに生成したパスワードに設定しなおしてしまったため、これらのパスワードを管理する必要が出てきました。

1Passwordや各種webサービスの利用も考えたのですが、同様にハックされた時にものすごくヤバイことになりそうだったので今回は見送りました。

現状これといって有効な解決策を考えられていないのですが、一旦Excelにまとめて外部ストレージに入れて、確認や追記が必要なときはストレージを接続して使うという非常に面倒くさいやり方で対応しています。

Apple IDの入力は画面を見ながら一生懸命打ち込みました。外でアプリをダウンロードしたいときに再入力を求められることもあると思うので、Apple IDに関しては気合で覚える必要があるかもしれません。

あとがき

現在特に情報を改ざんされたりクレジットカードで買物をされたりということは確認できていませんが、電話番号、住所、本名の組み合わせについては漏れてしまっているかと思います。

どこから漏れるかわからないのでパスワードは本当にサービスごとに設定したほうがいいと思いました。

IDに紐付けられているメールアドレスを変更されてしまったら完全に手が出せなくなってしまっていた可能性もあったと思うので、その前に対応できたことは本当に不幸中の幸いでした。

また、今回は乗っ取りを企てられたわけですが、やろうと思えば気付かれずに覗き見を続けることもできたわけで、面倒ですが定期的にパスワードを変更するという古典的な自衛手段もやっていかなくてはならないのかなと感じています。

現状主要サービスのパスワードは変更済みですが、今後どんな影響が出るかもわかりませんしApple IDも完全に取り戻せているかどうか確実なことはわからないので胃が痛いです。