漏洩通知サイトを確認したり、企業から手紙を受け取ったりして、そこに書かれていたのは──あなたのメールアドレスがデータ漏洩に含まれていたという事実。まず安心してほしいのは、これはよくあることで、対処可能であり、これから1時間の集中作業でリスクの大半を取り除けるということです。優先順位の高い順に、やるべきことを正確にお伝えします。
まず、実際に何が漏れたのかを理解する
「メールアドレスが漏洩に含まれていた」という言葉は、盗まれたデータベースでアドレスの隣に何があったかによって、意味が大きく異なります。
- メールアドレスのみ。 スパムとフィッシングの増加を覚悟しましょう。煩わしいですが、危険度は低めです。
- メールアドレスとパスワード(ハッシュ化または平文)。 深刻です。攻撃者はその組み合わせを他のサイトで試します。これはクレデンシャルスタッフィングと呼ばれ、人々がパスワードを使い回すために成功してしまう手口です。
- メールアドレスと個人情報(氏名、電話番号、住所、生年月日)。標的型フィッシングのリスクが上がり、悪い場合にはなりすまし詐欺の危険もあります。
- メールアドレスと金融情報。 以下のすべてに加えて、銀行とカードの監視が必要です。
まだ自分で漏洩を確認していない場合は、漏洩チェックでアドレスを調べ、どの漏洩に含まれ、どの種類のデータが関わっていたかを確認しましょう。
ステップ1:漏洩したアカウントのパスワードを変更する
企業が「パスワードはハッシュ化されていた」と言っていても、直ちに実行してください。ハッシュは、特に弱いものは解読され得ます。新しいパスワードは長く、ランダムで、使い回しのないものにしましょう。パスワードジェネレーターとパスワードマネージャーの組み合わせが定番なのには理由があります。
ステップ2:そのパスワードの使い回しをすべて洗い出す
このステップは他のどれよりも重要です。漏れたパスワードが他のアカウントも守っていたなら、それらのアカウントは今や事実上公開されているのと同じです。
- 同じ、または似たパスワードを使ったすべてのサイトをリストアップします(パスワードマネージャーは重複を検出できます。記憶も役立ちます。同じ時期に登録したサイトが有力候補です)。
- それぞれを固有のパスワードに変更します。
- 価値の高い標的から始めましょう。まずメインのメールアカウント、次に支払い方法を保存しているもの、その後にSNSアカウントです。
特定のパスワードが解読済みパスワードのリストに出回っていないかは、パスワード漏洩チェックで確認できます。見つかった場合は、それを使っているすべてのアカウントを侵害済みとして扱ってください。
ステップ3:最も重要な扉に鍵をかける
- メインのメール、銀行、失って本当に困るアカウントで二要素認証を有効にしましょう。SMSより認証アプリが優れています。
- メールアカウントの設定を確認し、自分で作っていない転送ルール、フィルター、連携アプリがないか調べましょう。一時的にアクセスを得た攻撃者は、あなたのメールを読み続けるためにこれらを仕込んでいくことがよくあります。
- サービスが提供している場合は最近のアクティビティを確認しましょう。ログイン履歴、接続中のセッション、身に覚えのない送信済みメールなどです。
ステップ4:フィッシングへの警戒レベルを上げる
漏洩後のフィッシングは、過小評価されがちな脅威です。攻撃者は今や、あなたのアドレス、多くの場合は名前、そしてどのサービスから漏れたかを知っています。「先般のインシデントを受けて、アカウントの確認をお願いします」といった説得力のあるメッセージを書くには十分な材料です。
- メール内のリンクからログインするのは絶対にやめましょう。サイトのアドレスは自分で入力してください。
- 切迫感を煽る文言、アカウント閉鎖の脅し、身に覚えのない添付ファイルには疑いを持ちましょう。
- 本物の漏洩通知が、時間制限付きで何かをクリックするよう求めることはめったにないことを覚えておいてください。
ステップ5:じわじわ来る影響に目を光らせる
- 金融情報が関係していた場合は、少額の「テスト」請求がないか銀行とカードの明細を監視しましょう。
- 本人確認情報が漏れた場合は、お住まいの地域の信用情報機関を通じて信用凍結や不正利用アラートを検討しましょう。
- 漏れたアドレスへのスパムは恒久的に増えると覚悟してください。封じ込め方はスパムメールを止める方法のガイドで扱っています。
ステップ6:次の漏洩の被害範囲を小さくする
次の漏洩は必ず起きます。あなた自身が対象とは限りませんが、あなたの何らかのアドレスを含むどこかのデータベースが漏れるのです。目標は、それを何でもない出来事にすることです。
- 一つのアドレスをあらゆる場所で使うのをやめましょう。 区分けするのです。重要サービス用のコアアドレス、本物のアカウント用のエイリアス、そして一回限りのものすべてに使い捨てアドレス。全体のシステムはメールプライバシー保護ガイドにあります。
- 使い捨てのフォームには使い捨てのアドレスを。 ダウンロード、トライアル、限定コンテンツ、ショップの登録は、自動的に期限切れになるMailDropの受信箱で受けられます。そのデータベースが漏れたとき──登録データベースは絶えず漏れています──攻撃者が手にするのは、もう存在せず、あなたと結び付けられたこともないアドレスです。使ったことがなければ使い捨てメールとは何かをご覧ください。
- 二度とパスワードを使い回さないこと。 固有のパスワードは、漏洩を「マスターキーの盗難」から「鍵一本の紛失」に変えてくれます。
- 定期的に再チェックを。 数か月ごと、またはニュースで大きなインシデントがあった後に漏洩チェックをさっと確認すれば、後手に回らずに済みます。
正直なまとめ
メールアドレスが関わる漏洩は、それ単体で大惨事になることはめったにありません。大惨事が起きるのは、漏れたパスワードが使い回されていたときか、混乱の最中にフィッシングメールが届いたときです。該当パスワードを変更し、使い回しをすべて潰し、二要素認証を有効にし、数週間は受信箱に懐疑的でいましょう。そして教訓を活かしてください。自分の管理下にないデータベースに入れる本物のデータが少ないほど、次の漏洩があなたから奪えるものは少なくなります。