企業への不正アクセスによる情報漏えいが相次いでいます。内閣官房国家サイバー統括室（NOC）は10月9日、企業のWebシステムに侵入されデータを盗まれる事案を複数確認したとして、対策の徹底を呼びかけました。企業側の対策に加えて、私たち利用者にもできる備えがあります。それが「パスキー」と「2ファクタ認証」です。
なぜパスワードだけでは危ないのか
パスワードは、サービス側に保存されている情報が漏れたり、偽サイト（フィッシング）に入力させられたりすると、他人に使われてしまうおそれがあります。同じパスワードを使い回していると、1つの漏えいで複数のサービスが危険になります。NOCも企業向けの注意喚起の中で、多要素認証（MFA）の導入を対策のひとつに挙げています。
パスキーとは
パスキーは、パスワードの代わりに使うサインイン方法です。Appleによると、パスキーはパスワードと違い、フィッシング詐欺に強く、常に強力で、秘密の情報を共有しない設計になっています。
| パスワード | パスキー | |
|---|---|---|
| サインイン | 文字を入力 | Face ID・Touch IDなどで承認 |
| サービス側に保存されるもの | パスワード（の情報） | 公開鍵（秘密ではない） |
| 偽サイト対策 | 入力してしまうと盗まれる | フィッシング詐欺に強い |
| 使い回し | 起きやすい | アカウントごとに別の鍵が作られる |
サインインに必要な「秘密鍵」は自分のデバイスに保管され、サーバー側が知ることはありません。そのため、サービス側から情報が漏れても、パスキーそのものが盗まれる心配が小さくなります。iPhoneでは、パスキーはiCloudキーチェーンで自分のApple製デバイス間に同期されます。
2ファクタ認証とは
パスワードに加えて、信頼済みのデバイスに表示される（または電話番号に届く）6桁の確認コードを使う方式です。Appleは、たとえパスワードが他人に漏れても本人以外はアカウントにアクセスできないようにする認証方式だと説明しています。
Apple Accountの2ファクタ認証を確認する
- 「設定」を開いて、自分の名前をタップ
- 「サインインとセキュリティ」をタップ
- 2ファクタ認証がオンになっているか確認（オフならオンにして画面の案内に従う）
ほとんどのアカウントでは、2ファクタ認証がすでに有効になっています。なお、iCloudキーチェーン（パスキーの同期）を使うには2ファクタ認証が必須です。
デジコツの解説：今日からできる3つの対策
- パスキーに対応したサービスから切り替える：GoogleアカウントやApple Accountなど、よく使うものから
- 2ファクタ認証をオンにする：パスキー未対応のサービスでも、2段階認証の設定があれば有効に
- パスワードの使い回しをやめる：漏えいの知らせが来たサービスは、すぐにパスワードを変える
Googleアカウントのパスキー設定はこちら、パスコードを知られたときの備えはiPhoneの「盗難デバイスの保護」、パスコードの強化はこちらをご覧ください。
まとめ
情報漏えいは利用者側では防ぎきれませんが、パスキーと2ファクタ認証を使えば、パスワードが漏れても乗っ取られにくくなります。まずはApple Accountの「サインインとセキュリティ」を確認し、よく使うサービスからパスキーに切り替えていきましょう。
出典：Appleサポート（パスキーのセキュリティについて）、Appleサポート（Apple Accountの2ファクタ認証）、ケータイ Watch
