「また一日、また偏頭痛」はスポンジ・ボブのイカルドQ・テンタクルズが唱える素晴らしい朝の呪文です。これはほぼ毎週、アカウントのセキュリティにも当てはまります。常に新しいデータ侵害や残念な漏洩が発生し、対処しなければならない状況に陥っているように感じますが、今日の演習はまさにその大事件です。実際、最大のものは1,160,253,228通りのメールアドレスとパスワードの組み合わせで、合計7億7,300万の固有のメールアドレスに影響を及ぼしています。

セキュリティ研究者のトロイ・ハント氏は、自身の役立つウェブサイト「Have I Been Pwned」の中で、今回の侵害を「史上最大の侵害」と呼んでいます。あなたも実際に侵害されている可能性は十分にあります。もしかしたら、この大規模な「コレクション#1」データ侵害にあなたのアカウントが何回登場しているかにもよりますが、もしかしたら複数回侵害されているかもしれません。これは、2008年まで遡る（可能性はありますが）他の多くのデータ侵害の大きな組み合わせです。

影響を受けていますか?

おそらくそうでしょう。でも念のため、「Have I Been Pwned」にアクセスして、ウェブ上の様々なサービスで使用している（または使用していた）メールアドレスを入力してください。結果を見るとわかるように、あなたはおそらくかなりの数のデータ侵害の被害に遭っているはずです。もしあなたが今日の幸運な当選者なら、「Collection #1」もその1つに数えられます。

どのパスワードを心配する必要がありますか?

Have I Been Pwned を覗いてみれば、様々なハッキングや侵害に使用されたアカウントとパスワードの組み合わせの明確なリストを入手する方法がないことに気付いたかもしれません。当然のことながら、そのようなリストを提供すること自体がセキュリティ上の問題となります。なぜなら、誰でもこのサイトを使って新しいアカウント認証情報を探し、試すことができるからです。

代わりに、Hunt氏は別のパスワードスキャンツールを開発しました。現在使用している（または使用していた）パスワードを入力すると、ウェブサイトの大規模なリポジトリにあるデータ漏洩データにそのパスワードが出現するかどうかを確認できます。もちろん、「hunter2」や「password12345」のような一般的なパスワードを（愚かにも）使用している場合、このツールはあまり役に立ちません。しかし、パスワードがかなり強力で、おそらく他に類を見ないものである場合、このツールはパスワードを変更する時期が来たことを示す優れた警告サインとなります。ただし、まだ同じパスワードを使用している場合に限ります。

さて、どうしましょう？

幸いなことに、「コレクション #1」のデータ漏洩はメールアドレスとパスワードのみで、住所、実名、社会保障番号、クレジットカード番号、その他深刻なデータポイントは漏洩していません。クレジットカードの変更、信用情報監視の設定、信用情報レポートの凍結といった面倒な手続きは不要ですが、（今や漏洩してしまった）アカウントを少しでも管理するために、いくつかの対策を講じることをお勧めします。

まず、明白な事実から。もしあなたのパスワードがHave I Been Pwnedのデータベースに載っているなら、変更するべきです。もしあなたが全てのアカウントに異なるパスワードを複数設定しているなら（そうあるべきです！）、この確認作業は大変な作業になるでしょう。1Passwordのようなパスワード管理ツールを検討してみてはいかがでしょうか。このツールはこれらの作業をすべて自動で行ってくれ、あなたのパスワードが新たな侵害で見つかった際に通知してくれます。

パスワード管理アプリをまだ使っていないなら、今すぐ始める絶好の機会です。各アカウントに強力で固有のパスワードを設定すべきです。そうすることで、このようなセキュリティ侵害が、すべてのアカウントに同じ「安全な」パスワードを設定するのではなく、複数のアカウントのうちの1つだけに影響するようになり、安全を確保できます。

また、1Passwordのようなツールを使えば、複雑なパスワード（またはパスフレーズ）の管理も簡単になります。何かにログインするたびに、自分で作成した長い文字、数字、記号の文字列（大文字と小文字の区別も含む）を覚えておく必要はなく、1Passwordで認証し、サービスの複雑なパスワードをコピー＆ペーストするだけです。実に簡単です。

もちろん、もっとできることはたくさんあります。強力なパスワードは素晴らしいですが、二要素認証と組み合わせるとさらに効果的です。二要素認証に対応しているウェブサイトでは、必ず二要素認証を使用してください。二要素認証の仕組みはこちらで確認できます。たとえ誰かがあなたの強力なパスワードを入手したとしても、新しいログイン（例えば、普段とは違う場所からのログインも含む）を承認する必要がある限り、そのパスワードを使って何もすることはできません。