✓この記事でわかること
- 1既知の認証情報を別サービスへ試す攻撃は、文字列の長さだけで防げない
- 2直接ログインされたアカウント数と関連プロフィール数を分けて読む
- 3使い回しの入口と、サービス側の共有・アクセス制御の問題を区別する
パスワードの使い回しは、別サービスから入手された認証情報を試す攻撃の入口になります。ただし、被害が広がった理由を利用者の使い回しだけに帰すこともできません。23andMeの2023年の事件では、直接アクセスされたアカウントと関連プロフィールを分けて読む必要があります。
1. 同じ認証情報を別のサービスへ試す攻撃
クレデンシャルスタッフィングは、入手したユーザー名・パスワードの組み合わせを別のサービスでも試す攻撃です。文字列が長く複雑でも、攻撃者がすでに同じ文字列を持っていれば、長さを推測して当てる必要はありません。
説明用に、通販AとサービスBで同じメールアドレス・パスワードを使った場合を考えます。Aから組み合わせが流出すれば、Bへの試行に使われます。Bには異なるパスワードを設定していた場合、その組み合わせではログインできません。ただし、これだけでBのあらゆる不正アクセスやデータ流出を防げるという意味ではありません。
2. 23andMeの直接侵害と、関連プロフィールへの影響
23andMeの2023年12月5日更新の説明は、次の規模を公表しています。いずれも当時の会社側の調査説明です。
直接アクセス：約14,000アカウント
他のサイトと同じ認証情報を使うアカウントに、credential stuffingでアクセスされたと説明しています。
DNA Relatives：約550万プロフィール
侵害されたアカウントにつながるプロフィール情報へアクセスされたという規模です。直接ログインされたアカウント数とは違います。
Family Tree：約140万プロフィール
こちらも侵害されたアカウントに関連する機能のプロフィール数です。異なる集計対象を足して、全員が同じパスワードを使い回していたと読むことはできません。
自分のアカウントへ直接ログインされていなくても、他の利用者から参照できる情報が影響を受ける場合があります。個別パスワードによって防ぐ入口と、サービス側の共有・アクセス制御によって防ぐ範囲は別です。
3. 2023年の会社説明と、後の調査を区別する
2026年5月28日、カリフォルニア州司法長官は会社の後継法人等への提訴を発表しました。発表では、使い回された認証情報に加え、DNA Relativesのコード上の問題による情報取得、検知や対応の不備を指摘しています。ここは同局の調査結果と訴えの説明として読み、会社の2023年の説明と混同しないようにします。
同年7月14日には、テネシー州司法長官が2023年の侵害をめぐる複数州の和解を発表しています。こちらもcredential stuffing対策、監視、既知の脆弱性への対応不足を挙げています。5月の提訴と7月の複数州の和解は、発表主体と手続きが異なります。すべての訴訟が同じ結論になったとは扱いません。
この事件から使い回しの危険を説明する際も、「サービス側の問題はなく、利用者だけが原因だった」と断定しないことが大切です。
4. 自分の管理では、変更範囲を決める
漏洩したサービスだけのパスワードを変更しても、別サービスに同じ組み合わせが残れば、その入口は残ります。AとBで使い回していた例なら、Aの変更だけでBの認証情報は変わりません。共通だったサービスを洗い出し、それぞれ異なるものへ変更します。
新しく作る文字列は、各サービスの長さ・文字種の条件に合わせます。当サイトの生成ツールは文字列を作る機能であり、登録先での変更や保存を自動で行うものではありません。具体的な生成条件はエントロピーと生成条件の解説、追加認証の選び方は二段階認証の記事で確認できます。
身に覚えのないアクセスがある場合は、対象サービスが案内する復旧手順とログイン履歴・セッション・共有設定も確認します。新しいパスワードを設定したことだけで、すでに取得されたデータまで取り戻せるわけではありません。