前回のパスキー冗長化に続き、不正アクセス被害による情報漏えいを踏まえて運用方法を見直しています。
漏えいした情報にはたいてい「電話番号」と「メールアドレス」が含まれていますが、今後攻撃の対象になる可能性が十分あると考えています。ログインの際にパスワードだけでなく追加の認証をするサービスがそれなりに普及しており、SMSやメールでワンタイムコードを送っているためです。これらが侵害されると被害が広がってしまいます。
今回はメールアドレスを適切に管理するために検討した内容を紹介します。
異なるプラットフォームのフリーメールを確保
一般的なメールアドレス作成の選択肢として、「キャリア」「プロバイダ」「独自運用」「フリーメール」あたりが考えられます。
一連の不正アクセスによって個人情報とセットで「電話番号」や「メールアドレス」の情報が漏れている状況を踏まえると、対策として新しいメールアドレスを作って登録情報を切り替える、という案があります。ただ登録数が多いほど手間がかかりますし、今後も不正アクセスで漏えいしてしまったらせっかく変更してもあまり意味がありません。
そのため、メールアドレスのセキュリティまわりを適切に設定しつつ、もし第三者に侵害されてもそのことに早期に気づけて復旧の手段を確保しておくこと、が望ましいと考えます。この点を踏まえて「パスキー認証に対応しているフリーメールでメールアドレスを複数確保して扱う」のが個人でできる現実的な対策かなと考えています。
この要件で検討した結果、Google (Gmail)とMicrosoft (Outlook)でメールアドレスを新たに作成することにしました。
イメージとしては以下のようにメールアドレスは鍵管理下にあるパスキーでアクセス・管理し、連絡用に相互のメールアドレスを設定することにより、一方で不測の事態になっても気づけて復旧できることを想定しています。
なお、iCloud (Apple)も候補にしていましたが、「Appleデバイスを所有していないと実質使えない」という制限から今回の管理からは除外しました。
アカウント・メールアドレス作成
メールアドレスの作成はそれぞれのプラットフォームのアカウントと連動しているため先にアカウントを作ります。GmailはGoogle アカウント、OutlookはMicrosoft アカウントです。
今回アカウントから新規で作成してみましたが、GoogleではSMS送信、Microsoftではメールアドレスが必要でした。
パスキー・認証の設定
Google アカウント、Microsoft アカウントのセキュリティ設定に関しては公式に推奨事項が書いてあります。
- （Google）アカウントのセキュリティを強化する
- （Microsoft）Microsoft アカウントをセキュリティで保護する方法
これらを参考にしつつ以下の通り設定しました。
Google アカウント
- セキュリティとログイン
- 2 段階認証プロセス有効にする
- パスキーとセキュリティ キー > パスキーを作成
- 2 段階認証プロセスの電話番号
- 可能な場合はパスワードをスキップする
- バックアップコード（8桁の数字 10個）を控えておく
Microsoft アカウント
- セキュリティ > アカウントのセキュリティ > サインイン方法の管理
- お客様の身元を証明する方法 > アカウントにサインインする別の方法を追加します。> セキュリティキーを追加
- パスワードレス アカウント > オンにする
- 2段階認証 > オンにする（連絡用メールアドレスを選択して回復コードが生成されるので控えておく）
Microsoft、Googleどちらもパスキーに対応しており、YubiKeyにも登録できました。Microsoftではパスワードレスアカウントをオンにすることにより、パスワードは削除することができます。
通知・予備の設定
続けて連絡・復旧用の設定をします。
Google アカウント
- セキュリティとログイン
- 再設定用の電話番号
- 再設定用のメールアドレス
再設定用の電話番号およびメールアドレスは、ログインできない場合やアカウントが不正に使用された場合に連絡を受ける手段です。ここにOutlookのメールアドレスを設定しておきます。
Microsoft アカウント
- セキュリティ > アカウントのセキュリティ > サインイン方法の管理
- お客様の身元を証明する方法 > アカウントにサインインする別の方法を追加します。> コードをメールで送信する
メールアドレスを設定すると「アラートを受信する」がオンになっていて、通常とは異なるサインイン時に通知・追加コードを受信することができます。ここにGmailのアドレスを設定しておきます。
転送設定の確認
攻撃者によってメールアドレスに不正アクセスされてしまうと、よく実行される手口はメール転送の設定です。侵害に成功すると、別のメールアドレスにメールを転送して受信メールを参照して2要素認証の突破などをします。
もし使っているメールに不審な点がある、と感じたらまずは転送設定を疑うことをおススメします。参考にそれぞれの設定箇所を載せておきます。
Gmail
- 設定（右上の歯車アイコン） > すべての設定を表示 > メール転送と POP/IMAP
Outlook
- …（右上の水平三点リーダー）> 設定 > メール > 転送と IMAP
おわりに
GmailとOutlookのフリーメールを安全に使うための設定例を紹介しました。どちらもパスキー設定ができてYubiKeyのような物理セキュリティキーも使えるため、無料で個人利用できるメールアドレスとしては最善だと考えます。
また、それぞれのメールアドレスを相互に設定しておくことにより、一方で何か起きた時にも対処の余地があります。
今利用中のサービスについては変更しなくても、スパムやフィッシングメールが増えた際や今後登録するサイト・サービス用のメールアドレスとして使っていくのも良いのではないでしょうか。
私自身まだ作成したばかりですが、切り替えも兼ねて今後の登録用として使っていこうかなと思っています。
参考になりましたらクリックしていただけると嬉しいです。
