抜かれて困る会員登録は、パスワードで作らない
情報漏えいのニュースが続くので、僕は抜かれて困るサービスほど、メールとパスワードで会員登録せず、Googleのアカウントでログインしてパスキーを付けています。
ここ1か月、日本の会社の情報漏えいが本当に多いです。10月の頭、僕は自分の記録に「さすがにちょっと多すぎる」と残しました。それから2週間たっても、まだ続いています。
いま検索が急に伸びているのが、ヤマト運輸です。ネットで買い物をして、届いてから払う「クロネコ代金後払いサービス」に不正アクセスがあって、9月28日にサービスが止まりました。10月2日の第2報では、一部の利用者の氏名、住所、電話番号、メールアドレス、請求金額、商品の明細などが漏れた可能性がある、と出ています。クレジットカードの情報とパスワードは含まれない、とも書かれています。
このサービスは、会員登録をした覚えがなくても、通販の支払いで選んだだけで使っていることがあります。自分で登録したつもりがない場所にも、住所と電話番号はちゃんと置いてある、ということです。
住所が漏れるのは、僕には止められない
最初に割り切っておくと、名前や住所が会社のサーバーから抜かれるのを、使う側が止める方法はほぼありません。預けた先が破られたら、それで終わりです。
僕は、盗む側から見ても、それがいちばん効率がいいんだと思っています。一人ずつ狙うより、たくさんの人が登録しているサーバーに入って、まとめて抜くほうが理にかなっている。AIでハッキングがやりやすくなったなら、なおさらです。登録している場所が多いほど、自分の名前が入った名簿の数も増えていきます。
僕の感覚では、個人情報ぐらいだったら、被害としては「まあまあまあ」という感じです。気持ちのいい話ではないですけど、まだ取り返しはつきます。取り返しがつかなくなるのは、お金が絡んだときです。銀行やクレジットカードまで行かれると、カードを止めて、再発行して、という後始末しか残りません。
だから僕が気にしているのは、漏れるかどうかより、漏れたあとにどこまで連鎖するかのほうです。同じメールアドレスと同じパスワードであちこちに登録していると、1か所から抜けた組み合わせで、別のサービスの扉まで開いてしまいます。住所は止められなくても、パスワードを何か所に置くかは自分で決められます。
もう一つ、漏れた情報の使われ方もあります。抜かれた人が、そのまま詐欺の的になる。ヤマトのお知らせでも、心当たりのないメールやSMSのURLは開かずに削除してほしい、と呼びかけています。名前と住所と買った物が分かっていれば、本物っぽい偽の連絡はいくらでも作れますからね。
登録するなら、Googleのアカウントで入る
僕は正直、日本の会社はセキュリティ関係がガバガバだと思っています。なので、基本は大手にしか登録しません。
登録するときも、メールアドレスとパスワードでは作りません。最近は「Googleで続ける」のようなボタンがあるところが多いので、そちらで入ります。アカウントができたら、パスキーも登録します。全部のサービスでやっているわけではなくて、抜かれたらダメなところ、お金やカードが絡むところでは徹底している、という形です。
パスキーは、パスワードの代わりに、スマホやパソコンの指紋・顔・画面ロックでログインする仕組みです。Googleのヘルプには、パスキーはパスワードと違って共有もコピーも書き留めることもできない、とあります。僕にとって大きいのは、ここです。覚えて打ち込むものがないので、偽のサイトに誘導されても、渡してしまう文字列がありません。
鍵を1本にまとめると、その1本が怖くなる
ただ、これには分かりやすい弱点があります。
10月3日、SNSでYouTubeのアカウントを乗っ取られた人を何人も見ました。二段階認証をしていたのに、パスワードも、認証用の電話番号も、復元用のメールも書き換えられて締め出された、という話です。そのとき僕は、Googleのアカウントでいろいろなところにログインしている人は、そこを取られたら全部持っていかれるな、と思いました。僕も完全にその一人です。
つまり、Googleでログインに寄せるというのは、合鍵を1本にまとめることです。あちこちの小さな鍵穴を減らす代わりに、その1本を取られたら全部開く。
それでも1週間後、僕はやっぱりGoogleに寄せる、と話していました。大元がハッキングされたら、その先でいくら設定しても意味がない。だったら大元は、大手のテック企業だけにしておく。僕の認識では、Googleそのものが破られたという話はまだありません。Googleが破られたら、そのときはもうどうしようもない、と割り切っています。
あちこちのパスワードを管理するより、大元の1本をガチガチに固めるほうが、僕には現実的でした。
パスキーに文句を言っていたのも、僕です
偉そうに書いていますけど、パスキーが面倒なのも本当です。
8月、作業用のブラウザでXにログインし直そうとしたら、パスキーでのログインを求められて、うまく入れませんでした。そのとき僕は「パスワードとユーザ名だけでログインしたいんだけど」と文句を言っています。今はパスキーを勧めているので、だいぶ都合のいい話です。
そもそも僕は、会員登録自体が嫌いです。今年の2月には、サイトを開いた瞬間に登録画面が出てくるのは「うざい」と記録に残しています。メールが届く、通知を切るのが面倒、パスワードがまた一つ増える。登録しなくても見られるなら、そのほうがいいと今も思っています。
ただ、この二つは同じ方向を向いていました。登録が面倒なら、登録先を増やさなければいい。どうしても作るなら、覚えるものを増やさない形で作る。僕の中では、面倒くさがりのまま守れるやり方が、Googleでログインしてパスキー、だったんです。
次に「会員登録」と出たら
今日すぐ全部のアカウントを作り直す必要はないと思います。僕が見ているのは、次に登録画面が出たときの一瞬です。
まず、そこが抜かれて困る場所かを考えます。カードを登録する、ポイントや残高が貯まる。どちらかに当てはまるなら、お金が絡む側として扱います。そうでなければ、登録せずに済む道があるか探します。ゲスト購入で済むなら、それで終わりです。
お金が絡むほうなら、メールとパスワードの欄に手を伸ばす前に、「Googleで続ける」のようなボタンがあるかを見ます。あればそちらで作って、作ったあとに設定画面でパスキーを追加できるか確かめます。ボタンがない小さなサイトで、カードまで登録するのは、僕なら一度止まります。
これで住所の漏えいが防げるわけではありません。それは預けた側の仕事で、ヤマトの件も、こちらが何をしていても漏れる可能性はありました。それでも、漏れたあとに鍵まで一緒に持っていかれるかどうかは、登録した瞬間の選び方で変わります。
ヤマトの件で気になった人は、まず届いた心当たりのないSMSを開かないこと。そのうえで、次の会員登録から、パスワードの欄を一回だけ疑ってみてください。
制作プロセス
このコンテンツは、僕自身の一次情報をもとに制作しています。
出典1：全部自分で管理するほど、逆に危ないんじゃないか
出典2：アカウントの乗っ取りが、ひとごとではなくなってきた
出典3：情報漏えいの裏で、株価のショートでも儲けているんじゃないか
出典4：会員登録不要のサービスが求められる理由
AI活用
制作には、以下のAIモデルと僕の声をもとにしたAI音声を使用しています。
文章：Claude Opus 5.5
台本：Claude Opus 5.5
音声：Gemini 3.8 Flash TTS
ニュースレター
今週の大事な変化と、それをどう判断し、どう動いたかを毎週まとめています。