パスワードが流出する仕組み — ハッカーが暗号を破る以上に多い現実

あなたのパスワードはどうやって漏れると思いますか。多くの人は映画の場面を思い浮かべるでしょう。暗いスクリーンの前に座ったハッカーが、複雑な数学を使ってパスワードを「クラック」する — という場面です。しかし現実はずっと単純で、同時にずっと危険です。実際のパスワード漏洩の大多数は、ハッカーが数学で暗号を破るのではなく、もっと直接的な方法で起きています。

データベース侵害 — サービスそのものからの盗難

あなたがWebサービスにアカウントを作るとき、そのサービスはあなたのパスワードをサーバーに保存します。このサーバーは鍵付きの金庫のようなものです。ただし、その金庫を守る企業が不注意だったり、セキュリティに投資していなかったりすると、攻撃者に侵入されることがあります。2013年のYahoo、2019年のTwitterなど、数百万人のアカウント情報が盗まれた大規模な事件は、すべてこのパターンです。

ここで重要なポイントがあります。まともなサービスは、パスワードそのものをサーバーに平文で保存しません。代わりに、パスワードを数学的な一方向の変換（ハッシュ化と呼ぶ）にかけて保存するのです。ハッシュは、元のパスワードから生成されますが、ハッシュからは元のパスワードを復元できません。封筒に手紙を入れて重いプレス機で圧縮した後、原形復帰できなくするようなものです。

ですからデータベース侵害が起きても、攻撃者が手に入るのはハッシュです。パスワードそのものではありません。では、攻撃者はここからどうするのか。答えは、大量のパスワード候補を試すのです。一般的なパスワードを何百万個も生成し、それぞれをハッシュ化して、盗まれたハッシュと照らし合わせます。これを「レインボーテーブル攻撃」と呼びます。適切に実装されたハッシュ（bcryptやArgon2など現代的なアルゴリズム）は、この作業を極度に遅くするため、単純なパスワードを使わなければ実用的な時間内に破られません。

ただし注意点があります。2012年のLinkedIn侵害では、古い弱いハッシュアルゴリズムが使われていたため、数百万のパスワードが数日で復元されました。つまり、攻撃側の技術より、侵害されるサービス側の実装の質が大きく影響するのです。

フィッシング — 金庫の鍵を自分から渡してしまう

ハッカーがデータベースを盗む必要はありません。あなたが自分でパスワードを教えてしまう方が楽だからです。これをフィッシングと呼びます。

あなたが信頼しているサービス（銀行、メール、SNS）に見えるが、実は攻撃者が作ったニセのWebサイトにアクセスさせられます。そこでパスワードを入力すると、攻撃者がそれを記録し、その後あなたのアカウントに不正アクセスします。

フィッシングが成功するのは、多くの場合、ユーザーが急いでいたり、メールのリンクをよく見ていなかったり、URLの微妙な違い（例えば「goggle.com」vs「google.com」）に気づかないためです。自動的に検出できる仕組みもありますが、完璧ではありません。

マルウェア — あなたのパソコンやスマートフォン内での盗難

データベースやフィッシングサイトを経由せず、あなたのデバイス上でパスワードを盗むこともできます。これがマルウェア（悪意のあるソフトウェア）です。

キーロガーと呼ばれるマルウェアは、あなたがキーボードを押した内容をすべて記録します。あなたがパスワードを入力すると、攻撃者がそれを見ることができます。あるいは、ブラウザの拡張機能を装ったマルウェアが、あなたのデータを盗むこともあります。

これを防ぐには、デバイスを最新に保つ、信頼できるソースからしかソフトウェアをインストールしない、ウイルス対策ソフトを使うなど、基本的なセキュリティ習慣が必要です。

認証情報の使い回し — 一つの鍵で全ての扉を開ける

パスワードが漏洩するもっとも一般的な理由は、実は「一つのパスワードを複数のサイトで使い回す」ことです。

たとえば、あまり有名でないサイトがデータベース侵害を受けたとします。攻撃者はそこから盗んだメールアドレスとパスワードのペアを、他のサービス（Gmail、Amazon、銀行）で試します。多くの人がパスワードを使い回しているため、攻撃者は複数のアカウントに侵入できます。これを「認証情報詰め込み攻撃」（credential stuffing）と呼びます。

防ぐには、すべてのサイトで異なるパスワードを使う必要があります。ただし、何十個ものサイトで別々のパスワードを覚えるのは現実的ではありません。ここでパスワードマネージャーが役立ちます。これは暗号化された鍵箱のようなもので、すべてのパスワードを一つの強力なマスターパスワードで守ります。

多要素認証 — 鍵を一つから複数に増やす

パスワード漏洩に最も効果的な対抗手段は、多要素認証（MFA）です。これは、ログイン時にパスワードだけでなく、別の方法（例えば、スマートフォンに届くコードや、ハードウェアセキュリティキー）の確認も求めるシステムです。

パスワードが漏洩しても、攻撃者は第二の認証方法を持っていないため、アカウントに侵入できません。特にハードウェアセキュリティキー（小さな金属のUSBデバイス）は強力です。あなたが物理的に持っているデバイスなので、インターネット経由では盗まれません。

パスワード漏洩を防ぐ方法は一つではありません。複数の層で守る必要があります。強力で使い回さないパスワード、多要syllable認証、そしてセキュリティ侵害を知らせてくれるサービス（多くの企業がこれを提供します）を組み合わせることで、リスクを大幅に減らせます。

次のステップとして、パスワードマネージャーの選び方、ハードウェアセキュリティキーの仕組み、そして自分のパスワードが既に漏洩していないか確認する方法を学ぶことをお勧めします。