他のすべてをリセットしうるアカウントを守る
デジタルアイデンティティは一つのアカウントではない。それは、メインのメールアドレス、電話番号、端末のロック解除コード、金融口座、クラウドストレージ、医療ポータル、税務記録、そしてアカウント復旧手段を結びつける連鎖である。メインのメールアドレスを乗っ取った攻撃者は、パスワードを破ることなく、他のいくつものアカウントをリセットできてしまうかもしれない。AIはフィッシングやなりすましをより速く、より巧妙にしうるが、最も有効な防御策は依然として通常のセキュリティ対策である——それぞれ異なる認証情報、フィッシングに強いサインイン方法、安全な復旧手段、アップデート、そして確認を習慣化することである。CISAは、強固なパスワード、多要素認証、フィッシングの見分け方、ソフトウェアの更新を、消費者が取るべき中核的な行動として挙げている。
本ページは米国の家庭向けの一般的なガイダンスであり、個別の法律、金融、サイバーセキュリティに関する助言ではない。ストーキング、家庭内暴力、標的型のハラスメント、あるいは端末の侵害に直面している人は、アカウントを変更する前に、資格を持つ支援者やセキュリティの専門家と共に安全計画を立てる必要があるかもしれない。急な変更が加害者に気づかれてしまうことがあるためである。
まず復旧を左右するアカウントから始めること:メインのメールアドレス、プラットフォームアカウント、携帯電話会社、パスワードマネージャー、金融口座である。その後、優先度の低いサービスに取り組むこと。この順序によって、弱い復旧手段が他の場所でのより強固な保護を無効化してしまう可能性を減らせる。
パスワードマネージャーを使い、使い回しをなくす
信頼できるパスワードマネージャーを使い、アカウントごとに異なるパスワードを生成・保存すること。現実的な目標は、何十もの複雑な文字列を暗記することではなく、一つの情報漏えいが他のすべてのサービスに対して無力になるようにすることである。マネージャー自体は、長く固有のマスターパスワードと、利用可能な中で最も強力な多要素認証で保護すること。マスターパスワードを、復旧コードのそばに暗号化されていないメモとして置いてはならない。
影響の最も大きいアカウントから先に変更し、その後、使い回しに気づいたパスワードを順次更新すること。あるサービスが情報漏えいを報告した場合は、警告メッセージ内のリンクではなく、既知のアプリまたは自分で入力したアドレスを通じて認証情報を変更すること。共有アクセスについては、パスワードをテキストメッセージで送るのではなく、個別のサービスログインか、パスワードマネージャーの家族共有機能を優先すること。
パスキーやセキュリティキーを優先し、復旧手段も計画しておく
パスキーおよびFIDO/WebAuthnセキュリティキーは、認証情報が正規のサイトに紐づくよう設計されている。適切に設定されたパスキーは、偽のドメインが本物のサイト用の使い回し可能な秘密情報を取得できないため、フィッシングに強い。NISTはこの検証者名との紐づけについて説明しており、同期型パスキーのトレードオフについても解説している。これにより、パスキーはメール、パスワードマネージャー、クラウドアカウント、金融サービスにおいて、提供されている場合は有力な選択肢となる。
「パスキー」は必ずしも独立したハードウェアキーを意味しない。パスキーは一台の端末に保持されることもあれば、プラットフォームアカウントを通じて同期されることも、物理的なセキュリティキーに保存されることもある。同期型のパスキーは端末をまたいだ使いやすさと復旧を向上させるが、その代わりにプラットフォームアカウントとその復旧プロセスがセキュリティ境界の一部になる。ハードウェアキーはその同期アカウントへの依存を減らせるが、単一のキーは紛失や破損の可能性がある。価値の高いアカウントについては、サービスが許す場合、少なくとも二つの認証器を登録すること——一つを日常用に、もう一つを安全で別の場所に保管するバックアップとすること。
既存のサインイン方法は、新しい方法を別のセッションで試し、復旧手段を確認するまで削除しないこと。一回限りの復旧コードは、施錠された場所にオフラインで保存すること。新しい認証器を追加すると通知が発生するか、古いセッションを無効化できるか、どの電話番号やメールアドレスがアカウントをリセットできるかを確認すること。NISTの現行の認証器に関するガイダンスは、復旧を後付けのものとしてではなく、それ自体一つのライフサイクル上の出来事として扱っている。
パスキーが利用できない場合は、そのサービスが対応する中で最も強力な多要素認証を使うこと。認証アプリやハードウェアトークンは、一般にSMSが抱えるいくつかの弱点を回避できる。SMSはパスワード単体よりは通常良い選択だが、フィッシングへの耐性はなく、電話アカウントのセキュリティに依存する。携帯電話会社のアカウントにPINを設定し、利用可能であればポートアウトやSIMスワップのロックを有効化し、求めてもいない相手にワンタイムコードを読み上げてはならない。本物のサポート担当者が、ログインを認証するコードを必要とすることはないはずである。
復旧手段と端末を強化する
アカウント復旧の設定は年に2回、そして電話番号、メールアドレス、人間関係、家庭構成が変わった後に見直すこと。以前の職場のアドレス、古い番号、見覚えのない端末、古いアプリパスワード、もはや復旧アクセス権を持つべきでない人を削除すること。復旧用の連絡先を使う場合は、その人が責任を理解し、自分自身のアカウントを守れる場合に限ること。
電話、コンピューター、ブラウザ、パスワードマネージャー、セキュリティソフトウェアの自動更新を有効にすること。誕生日や同じ数字の繰り返しではない端末用パスコードを使い、可能であれば端末全体の暗号化を有効にし、すぐにロックされるよう設定すること。ロック画面上のメッセージプレビューが、ログインコードや個人情報を表示してしまう場合は非表示にすること。重要なデータは検証済みの方法でバックアップするが、クラウドバックアップはそのクラウドアカウントを通じてアクセスできることを忘れず、そのアカウントを相応に保護すること。これらのアカウントの背後にあるルーター設定、ネットワークの分離、接続機器の強化については、ホームネットワークと端末のセキュリティを参照のこと。
見えなくなることを追い求めず、身元の露出を減らす
SNSの非公開設定は、何気ない露出を減らすが、投稿を永久に非公開にするわけではない。公開する必要のない生年月日、自宅住所、日常の場所、通う学校、旅行の日程、親族の名前、電話番号は削除すること。子どもをタグ付けしたり、鮮明な声や顔の録画を公開したりする前に、親族に確認すること。目的は、説得力のある口実の材料を組み立てにくくすることであって、クローン化が不可能になると約束することではない。
人物検索サイトは、公開記録、SNS、その他のデータブローカーから情報を集めている。FTCは各サイトのオプトアウト手続きの見つけ方を説明しているが、オプトアウトは不完全であり、繰り返し行う必要がある場合がある。削除依頼専用のメールアドレスを使い、実際に必要とされる確認情報のみを提供し、完了した依頼の日付入りリストを保管すること。見知らぬ「削除」サービスに、身分証明書を安易にアップロードしてはならない。
必要に応じて信用情報を凍結する
信用情報の凍結は、信用ファイルへのアクセスを制限し、その人の名義で新たな与信を開設しにくくする。既存アカウントの乗っ取り、銀行残高の不正利用、税務詐欺、医療分野でのなりすまし、その他あらゆる形態の身元詐欺を止めるものではない。米国では、凍結は無料であり、全国規模の信用情報機関それぞれに個別に依頼する必要があり、正当な与信が必要になった際には解除できる。信用情報機関のアカウントと凍結管理用の認証情報を保護すること。
保護者は未成年者のために凍結を依頼できる。子どもは通常、すでに信用ファイルを持っているべきではない。IdentityTheft.govは、子どものファイルを確認し凍結するための、信用情報機関ごとの手順を提供している。その結果得られる記録には身元を特定できる情報が含まれるため、安全に保管すること。
信用情報の監視サービスは、ファイルが変更された後に通知できるが、変更そのものを防ぐわけではない。銀行やカードの通知も併せて確認し、広告経由でたどり着く紛らわしいサイトではなく、連邦政府が認めた情報源であるAnnualCreditReport.comを通じて信用報告書を取得すること。
家庭に取引に関するルールを設ける
本物らしく見える要求が正当かどうかを、技術だけで判断することはできない。金銭、認証情報、復旧コード、コンピューターへのリモートアクセス、秘密の保持を求める予期しない要求には、その場のやり取りの中で応じない、というルールを定めること。連絡を打ち切り、本物であるとすでにわかっている番号、アプリ、あるいは対面の経路を通じて確認すること。家族の確認用フレーズは役立つが、オンラインで見える事実は使わず、そのフレーズを送金の許可とみなさないこと。折り返しの電話ともう一人による確認の方が、より強い裏付けとなる。
アカウントの権限を持つすべての人にこのプロトコルを教えること。多額の送金については、銀行に通知、上限額、あるいは二人目による承認について尋ねること。
身元盗用やアカウント乗っ取りが起きた場合
信頼できる端末から対応すること。明細書、カード、公式サイトを通じて該当機関に連絡し、漏えいした認証情報を変更し、見覚えのないセッションを無効化し、メッセージ、取引の詳細、タイムスタンプを保存すること。身元情報が悪用された場合は、IdentityTheft.govが個別の復旧プランとFTCの身元盗用報告書を作成してくれる。サイバー犯罪については、適切な場合はFBIのインターネット犯罪苦情センターに報告するが、FBIは偽のIC3サイトについて警告しているため、アドレスは直接入力すること。
前払い手数料と引き換えに盗まれた資金を取り戻すと約束する「復旧業者」には支払わないこと。回収できるかどうかは、支払い手段と通報の速さに左右される。銀行、カード発行会社、送金サービス、ギフトカード発行会社に直ちに連絡し、取引を停止または取り消せるか尋ねること。FTCは支払い手段ごとに最初に連絡すべき相手を一覧にしている。
実行可能な最初の週末プラン
- メインのメールアドレスとパスワードマネージャーを、固有の認証情報とフィッシングに強い多要素認証で保護する。
- バックアップ用の認証器を登録・テストする。復旧コードを印刷するか、安全に記録する。
- 携帯電話会社のアカウントをロックし、復旧用のアドレス、番号、セッション、端末を確認する。
- 対応するすべての家庭内の端末で、自動更新と端末暗号化を有効にする。
- 頻繁に新規与信を必要としない家族については、信用情報を凍結する。
- 通常と異なる金銭や認証情報の要求には、常に独立した折り返しの電話ともう一人の確認を必要とすることに家族で合意する。
どんなチェックリストも、身元盗用を不可能にすることはできない。現実的に達成できるのは、よくある侵入口をなくし、被害の拡大を抑え、復旧を速めることである。