Googleパスワードマネージャーは本当に安全か　アカウントが乗っ取られた時のリスクと対策は

9月末からほぼ毎日のように報道される企業や団体からの情報漏えい。何者かの不正アクセスにより顧客の個人情報などが大量に流出する事態となり、各関連企業・団体は対応に追われている。

顧客である利用者側にとって、よく知られた対策のひとつに「パスワードを使い回さない」が挙げられるが、ネット上ではブラウザにパスワードを保存する、いわゆる「パスワードマネージャー」が危険なのではないかという指摘が上がっている。

そもそも「パスワードマネージャー」とはアプリやサ－ビスのIDとパスワードをひもづけて記録・管理するサービスのことで、よく使われているのがChromeにも搭載されている「Google パスワード マネージャー」だ。一度記憶させたらログイン画面でIDとパスワードが自動入力されるため、利用者も多い。

住所や電話番号は本当に必要なのか　相次ぐ流出事件で見直される個人情報入力

「パスワードマネージャー」の最大のメリットは、その自動入力の便利さとパスワードの使い回しを防ぎやすいこと。アカウント作成時に安全なパスワードが自動で生成されるため、それを利用すれば複雑なパスワードを使い回すことなく登録でき、さらに自動保存されるので自分で覚えておく必要がなくなる。

一方で利用者から聞かれる不安の声は、パスワードをGoogleアカウントにまとめるというその特性から来るものだ。ネット上では「ネット上でパスワード管理ってやばい？」「Googleに不正アクセスされたら全部パスワードが漏れる」という声も多い。

実際、Googleアカウント自体が侵害された場合、保存しているパスワードがすべて窃取されてしまう可能性は高い。そのため、Googleにアクセスするためのマスターパスワードは絶対に使い回さないことが必須となる。

さらに、可能な限りパスキーの設定もおすすめだ。パスキーはパスワードの代わりに指紋認証・顔認証・画面ロックでログインする認証方法のことで、たとえサービス側からパスワードが流出してしまった場合でも、生体認証が必要なパスキーでのログイン方法も設定しておけば、不正ログインは防ぐことができる。

大切なのはGoogleの不正ログイン自体を防ぐこと

その上で、もっとも気をつけなければならないのが、情報窃取型マルウェア感染だ。この場合、ログイン済みのCookie、つまり保存されたユーザー個人のデータが盗まれてしまうため、Googleを含むクラウド同期型パスワードマネージャー全般が危険にさらされてしまう。

そのため、もっとも大切なのは、マルウェアの感染自体を防ぐことだ。マルウェアの感染経路としては、サイトにアクセスした際、偽の認証エラー画面を出してコマンド画面にコードを貼り付けさせる、有料ソフトを「無料」とうたってダウンロードさせる、ブラウザ拡張機能をインストールさせる、などがある。そのため、まずは怪しいソフトをダウンロードしたり、コマンドのコピー＆ペーストの要求には絶対に応じないことを意識する必要がある。

パスワードマネージャーの利用はIPA（独立行政法人情報処理推進機構）も不正ログイン対策として推奨している。もっとも避けたいのは、Googleの乗っ取りへの不安からパスワードマネージャーの利用をやめて、パスワードを管理しきれなくなること。

結果として、セキュリティーがぜい弱な場所にパスワードをペーストしておいたり、パスワードを使い回してしまう事態になりかねない。

大切なことはGoogleの不正ログイン自体を防ぐこと。Googleは必ずパスキーか2段階認証を設定することが現実的な対策となる。情報漏えいが相次ぐ時代だからこそ、パスワードマネージャーで使い回しを防ぐことが重要だ。