パスワード漏洩のリスクと対策: ホームページの安全を守るために

ホームページの管理画面、サーバー、ドメイン、会社のメール。ホームページに関わるパスワードは、思っているより多くあります。そのうちのどれかを、ほかのサービスと同じものにしていないでしょうか。

以前、あるお客様のWordPressのホームページが、簡単なパスワードを設定していたために不正にログインされ、全てのページが他の言語に書き換えられてしまったことがありました。元に戻すには、大変な時間と労力がかかりました。

この記事では、パスワードが漏れる仕組みと、使い回しが危ない理由、ご自身で確かめられる3つのこと、パスワードの決め方と変えるタイミング、漏れたかもしれないと思ったときの順番を整理します。国の機関（総務省・内閣サイバーセキュリティセンター・IPA）が公開している資料に沿って書いています。

パスワードは、どうやって漏れるのか

パスワードが漏れるとは、自分で設定したパスワードが第三者に知られてしまうことです。漏れたパスワードで管理画面やサーバーに不正にログインされると、ページを書き換えられるおそれがあります。メールのアカウントまで入られると、会社のアドレスから迷惑メールを送られることもあります。

漏れ方には、おおむね次のようなものがあります。

• ほかのサービスから漏れる——自分に落ち度がなくても、利用しているサービスから、IDとパスワードがまとめて流出することがあります。
• 偽のメールや偽のログイン画面に入力してしまう——本物そっくりの画面にIDとパスワードを入れさせて盗む手口です（フィッシング）。
• 推測される・総当たりで試される——短いもの、会社名や電話番号、誕生日のようなものは、機械的に試されると当てられやすくなります。
• パソコンに入り込んだ不正なプログラムに記録される——キーボードで打った文字を記録するものがあります。

使い回しが危ない理由

あるサービスから漏れたIDとパスワードは、ほかのサービスでも、同じ組み合わせで試されます。総務省も、流出したアカウント情報を使って他のサービスへの不正ログインを試す手口が知られている、と注意を呼びかけています。

同じパスワードを使い回していると、ひとつ漏れただけで、メールやサーバー、ホームページの管理画面にもログインを試され、入られてしまうおそれがあります。内閣サイバーセキュリティセンターのハンドブックは、これを「1カ所から漏れればすべてのサービス等でログイン可能になってしまう」と説明しています。

ご自身で確かめられる3つのこと

1. ホームページに関わるアカウントを書き出す

ドメイン、サーバー、WordPressなどの管理画面、会社のメール。地図に出すための登録や、SNSもあれば加えます。それぞれ、誰が、どのメールアドレスで登録しているかを、紙や社内の資料に並べます。パスワードそのものは、ここに書かなくてかまいません。

見てほしいのは、登録のメールアドレスです。辞めた担当者の個人のアドレスや、今は使っていないアドレスになっていると、パスワードを忘れたときの再設定の知らせを、いまの担当者が受け取れません。管理画面に入れなくなったときの進め方はホームページの管理画面に入れないにまとめています。

2. 使い回しと、短いもの・推測されやすいものが無いか

書き出したアカウントのうち、同じパスワードを使っているものが無いか。短いものや、会社名、電話番号、誕生日のように、推測されやすいものが無いかを見ます。当てはまるものから、ひとつずつ変えていきます。

3. 二段階認証がオンになっているか、コードが誰に届くか

二段階認証は、パスワードのほかに、スマートフォンに届く確認のコードなどを求める仕組みです。パスワードが漏れても、それだけではログインされにくくなります。ただし、これで絶対に安全というものではありません。

メールやサーバーの管理画面の、セキュリティの設定を開いて、オンになっているかを見ます。オンになっていたら、確認のコードが届く先や、コードを出すアプリを入れたスマートフォンを、いまの担当者が使えるかも確かめておきます。辞めた人の電話にしか届かない設定だと、確認のコードを受け取れず、ご自身がログインできなくなるおそれがあります。

パスワードの決め方

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、パスワードは「長く」「複雑に」「使い回さない」と示しています。総務省は、文字数の目安として、最低でも10文字以上を挙げています。

• 長く——短いものほど、総当たりで当てられやすくなります。
• 複雑に——大文字・小文字・数字・記号を混ぜ、単語や名前をそのまま使わないようにします。
• サービスごとに別のものにする——漏れたパスワードで、ほかのサービスにもログインされる危険を減らすためです。

全部を覚えておく必要はありません。総務省は、スマートフォンやWebブラウザの標準機能、専用のアプリケーションといったパスワード管理ツールを使うことも推奨しています。紙のノートに書いて、パソコンとは別の場所に保管する方法を挙げている資料もあります。

WordPressでは、ユーザーのプロフィール画面からパスワードを設定し直せます。設定画面にはパスワードの強度を示す表示があるので、それも参考にしてください。

パスワードは、いつ変えるのか

以前は「パスワードは定期的に変更しましょう」と言われることがありましたが、今は考え方が変わっています。総務省は「定期的な変更は不要」とし、内閣サイバーセキュリティセンターも、定期的な変更は基本は必要なく、流出したときに速やかに変更する、としています。

決まった周期で変える必要はありません。変えるのは、次のようなときです。

• 漏れたかもしれない、と分かったとき——利用しているサービスから流出の知らせが届いた、身に覚えのないログインの通知が来た、など
• 上の確認で、使い回しや推測されやすいものが見つかったとき
• パスワードを知っている担当者が辞めたとき

漏れたかもしれない、と思ったら

1. 会社のメールと、漏れた疑いのあるアカウントのパスワードを変える——会社のメールを先にするのは、ほかのサービスの再設定の知らせがメールに届くからです。
2. 同じパスワードを使っていたところを、すべて変える——ひとつだけ変えても、同じパスワードを使っていたほかのアカウントには、不正なログインを試されるおそれが残ります。
3. ホームページの見た目や中身を確かめる——見た目が変わっていたり、知らないページが増えていたりしたら、作った会社か、管理を頼んでいる会社にすぐ相談してください。いつ気づいたか、何を変えたかを、そのまま伝えれば十分です。

書き換えられてしまっていた場合に、何をどの順番でやるかはホームページが改ざんされた・乗っ取られたにまとめています。あわてて不審なファイルを消すと、入られた経路をたどる手がかりも消えてしまうので、先にそちらをご覧ください。

保守を頼む場合

パスワードの管理に加えて、WordPressの本体やプラグインを更新し、知られている弱点を突かれる危険を減らしておくことも大切です。blancのWordPress保守プラン（ライト）は月額5,500円（税込・最低契約期間3ヶ月）で、WordPress本体・プラグインの定期バージョンアップ、有償テーマのバージョンアップ、更新前後のサイト動作確認を行います。料金の一覧は料金表のページにあります。月額で頼めることの中身は保守・管理契約の記事にまとめています。

まとめ

どれも、今日からご自身で確かめられます。ひとつめだけでも、このあと書き出してみてください。