パスワードマネージャーを使うのは賢いセキュリティ対策です。これは目新しいことではありません。しかし、優れたパスワードマネージャーは、あなたの認証情報を、あなただけが知っている単一の「マスター」パスワードで保護します。しかし、そのマスターパスワードを紛失してしまったらどうなるでしょうか？

マスターパスワードを紛失したり忘れたりした場合、他のウェブ上のアカウントのように「パスワードを忘れた場合」ボタンをクリックするだけでは、ログインできないことがよくあります。多くの場合、いくつかの手順を踏まなければならず、あるいは全くログインできないこともあります。この記事では、人気のパスワードマネージャーをいくつか紹介し、このような厄介な状況に陥らないための対策をご紹介します。

人気のパスワードマネージャーとそのマスターパスワードポリシー

パスワードマネージャーを使い始めると、マスターパスワードを覚えておくことが重要だという警告が表示されるでしょう。必ず覚えておくべきパスワードがあるとすれば、それはマスターパスワードです。結局のところ、それが重要なのです。強力で強力なパスワードを一つ覚えて（または確保して）おけば、残りは自動生成してくれるので、簡単です。

マスターパスワードの紛失は、選択するパスワードマネージャーによって簡単に解決できる場合もあれば、復旧が大変な事態になる場合もあります。ここでは、最も人気のあるパスワードマネージャーと、それぞれの紛失したマスターパスワードの取り扱い方法をご紹介します。

ラストパス

LastPassには、マスターパスワードを紛失した場合のアカウント復旧に関する専用ガイドが用意されています。簡単に言うと、本当にパスワードを忘れてしまったり紛失してしまった場合は、ワンタイムパスワード（OTP）を有効にして保管庫にアクセスできます。これは一度だけ有効です（その後パスワードをリセットする必要があります）。セキュリティ上の理由から、LastPassで以前使用したことがあるコンピューターを使用する必要があります（この点を指摘してくれたSnow Dogに感謝します！）。また、LastPassアカウントで使用しているメールアカウントへのアクセスも必要です。

マスターパスワードを最近変更したためログインできない場合は、Vault（保管庫）を以前の状態に戻すことができます。以前のパスワードでログインすることはできますが、以前のバージョン以降に行った変更内容は失われます。もちろん、これはマスターパスワードを紛失したが、LastPassに関連付けられたメールアカウントを覚えている（またはアクセスできる）という前提です。これはジレンマかもしれません。

それでも解決しない場合、または該当のメールアドレスにアクセスできなくなった場合は、残念ながらアカウントは利用できなくなっています。保管庫を削除してやり直すことは可能ですが、パスワードは失われ、最初からやり直す必要があります。

ダッシュレーン

DashlaneはLastPassよりも少し制限が厳しく、これは良い面と悪い面の両方があります。つまり、Dashlaneの担当者は誰もあなたのアカウントにアクセスしたり、アクセスを許可したりすることはできません。つまり、マスターパスワードを紛失した場合、たとえデバイス間で同期されていたり、クラウドに保存されていたりしても、保管庫は永久にロックされてしまいます。

Dashlaneのモバイルアプリをご利用で、デバイスのPINを設定している場合（そしてアプリがスマートフォンの再起動時にのみパスワードの入力を求めるように設定している場合）、パスワードにアクセスできる状態が長く続くため、どこか別の場所に書き留めておくことができる可能性があります。モバイルアプリからマスターパスワードを変更することはできません。それ以外の場合、新しいアカウントを作成するか、既存のアカウントをリセットする（同じメールアドレスを再利用できるようにする）しかありません。ただし、これを行うとアカウント内のすべてのデータが削除されるため、最初からやり直すことになります。

これは厳しすぎるように思えるかもしれませんが、パスワードマネージャーにとってはむしろ良いことです。不便ではありますが、誰かがソーシャルエンジニアリングであなたのアカウントに侵入する手段がなくなることを意味します。

キーパス

KeePassでは、マスターパスワード、キーファイル、またはその両方を使って保管庫を保護できます。パスワード保管庫は常にコンピュータに保存されるため、第三者に盗まれる心配はありません。DropboxやGoogle Driveを使ってデバイス間で同期できますが、開くにはパスワードまたはキーファイルが必要です。

ただし、ここに落とし穴があります。KeePassは無料でオープンソースであり、中央チームによるサポートもほとんどないため、マスターパスワードやキーファイルを紛失した場合、どうしようもありません。バックドアもパスワードリセット機能も一切ありません。パスワードを変更したことが原因でロックアウトされた場合、以前のVaultのバックアップがあれば、バックアップから復元して以前のパスワードを使用することができます。詳細はこちらをご覧ください。

さて、KeePassデータベースのクラッキングを試みることを検討するかもしれません。おそらくそれは賢明ではありません。KeePassにはブルートフォース攻撃やクラッキング攻撃に対する保護機能が組み込まれていますが、その方法を説明するチュートリアルも存在します。しかし、マスターパスワードまたはキーが強力だった場合（そしてそうあるべきです）、有効な秘密の方法は存在せず、時間と労力をかける価値がないと多くの専門家が同意しています。選択肢の一つではありますが、お勧めしません。

1パスワード

1Passwordのパスワード保管庫へのアプローチは、Dashlaneとよく似ています。1Passwordは保管庫やその暗号化キーにアクセスできないため、パスワードをリセットしたり、データへのアクセスを許可したりすることはできません。その理由についてはここで説明されており、役立つヒントもいくつか紹介されていますが、要点は前述の通りです。パスワードが分かっているバックアップから復元できる場合は、そうしてください。ただし、その時点から現在までの変更はすべて失われます。

別のデバイスで1Passwordにログインしている場合は、パスワードにアクセスして保存できるかもしれませんが、再度ログインを求められるとロックアウトされます。同様に、1Passwordはアカウントの2段階認証をサポートしていないため、失うものは何もありません（ただし、追加の保護もありません）。どちらにしても結果は同じです。マスターパスワードを忘れてしまった？運が悪ければ、もう手遅れです。

ロボフォーム

Roboformは長年パスワード管理サービスを展開してきましたが、マスターパスワードを忘れてしまった場合、他のサービスと同様にどうしようもありません。Roboformのサイトで詳しく説明されていますが、要点は次のとおりです。Roboformからログアウトしていてマスターパスワードを忘れてしまった場合、パスワードをリセットすることはできますが、その過程ですべてのデータが削除されます。ただし、Roboformがマスターパスワードを常に記憶するように設定していれば、このような状況に陥ることはありません（ソフトウェアのアップデートや再インストールなど、何らかの理由でログアウトしない限り）。Roboformでは、パスワードで保護できる項目とできない項目がありますが、ログアウトしてログインできなくなった場合は、最初からやり直す必要があります。

こんなことが起こらないようにするには

パスワードを忘れてしまったら、もうどうしようもない状況に陥ってしまう、というパターンに気づいた方もいるかもしれません。ほとんどのパスワードマネージャーは、パスワードを覚えていた時の状態にバックアップするか、最初からやり直すかのどちらかを要求します。後からパスワードボルトにアクセスするための最善の方法は、今から準備することです。手遅れになる前に、できることをいくつかご紹介します。

• バックアップコード／ワンタイムパスワードを書き留めるかエクスポートする：多くのパスワードマネージャーは、緊急時に使用できるバックアップコードやその他のワンタイムパスワードをサポートしています。通常、これらはアカウント設定時やオンデマンド生成時に一度だけ表示されます。パスワードを変更したりアカウントに復帰したりするための手段として機能しますが、書き留めるか、パスワード保管庫以外の安全な場所に保管する必要があります。この手順は、2段階認証を設定しているスマートフォンを紛失した場合と似ています。これらのコードをエクスポートして安全な場所に保管しておけば、後でデータにアクセスできます。

• マスター パスワードを書き留めて安全な場所に保管する: マスター パスワードはすべてのパスワードの鍵となるため、通常はパスワードを書き留めることはお勧めしません。もちろん、わかりやすい場所に保管してはいけませんが、パスワードを忘れたり、その他の予期せぬ事態が発生した場合に備えて、パスワードを安全な場所に書き留めておく価値がある場合があります。パスワードをどこかのファイルに暗号化することもできますが、そうすると暗号化キーが必要になり、暗号化されたものを復号するために必要なものを暗号化するという厄介な作業に陥ってしまいます。パスワードを紙切れに書いて耐火金庫に保管することもできます。予期せぬ事態が発生してパスワードを忘れてしまった場合でも、パスワードがあることを忘れないようにするためです。

• 緊急連絡先を活用する：お気に入りのパスワードマネージャーがパスワード共有や緊急連絡先に対応している場合は、必ず緊急連絡先を設定してください。例えばDashlaneは、あなたがアクセスできない場合に保管庫にアクセスできる緊急連絡先をサポートしています。この機能は主に医療上の緊急事態などを想定していますが、パスワードを忘れた場合にも同様に機能します。緊急連絡先はパスワードをリセットしてログインを回復することはできませんが、あなたのアカウントにはアクセスできます。これはあなた自身が持つよりも多くの情報です。緊急連絡先の助けを借りて、他のパスワードを書き留めたり、エクスポートしたり、リセットしたりすることができます。

• アクセスできる今のうちにパスワードをエクスポートしましょう。「データフリーダム」、つまりサービスが閉鎖された時や新しいサービスを試したい時に、データを簡単にエクスポートして持ち出せる機能を備えたサービスを選ぶことが重要です。パスワードマネージャーにそのオプションがあることを確認してください。たとえオプションがなくても、アカウントのユーザーIDとパスワードをプレーンテキストのCSV形式でデスクトップに出力するだけでも、何らかのエクスポート機能は備えているはずです。もしそうなら、データをエクスポートし、そのファイルを安全な場所に保存しましょう。ただし、これには明らかな欠点があります。アップデートやパスワード変更を行うたびに新しいファイルをダンプする必要があり、ファイルが暗号化されていない場合は、安全な場所に保管できるUSBドライブなど、安全な場所、あるいは別の方法で暗号化された場所（別のパスワードが混在することになります）など、安全な場所に保管することをお勧めします。それでも、保管庫から締め出されてしまった時に数日前のパスワードのダンプがあれば、何もないよりはましです。

• データのバックアップ：パスワードボルトを安全な場所にバックアップするのと同じように、データ全般のバックアップも必ず取ってください。確実なバックアップを取ることは良い習慣ですが、ほとんどのパスワードマネージャーは暗号化されたデータをローカルに保存します。アプリとそのファイルを古いバージョンに復元すれば、古いパスワードを使ってログインできます（ボルトも古いバージョンのままですが、何もないよりはましです）。これは、マスターパスワードを変更してしまい、以前のパスワードや新しいパスワードを使ってログインできない場合にのみ役立ちますが、古いバージョンの復元は、主要なパスワードマネージャーのカスタマーサポートからよく寄せられるアドバイスです。

もちろん、マスターパスワードを紛失した場合の備えは、紛失する前に行うのが最適です。たとえ安全な場所にバックアップを取っていたとしても、マスターパスワードを忘れたり、紛失したりしないように注意することは言うまでもありません。そうしておけば、何かあった場合でも、これらの方法のほとんどで、ある程度の復旧が可能です。

いずれにせよ、パスワードマネージャーはメールアカウントやインターネットバンキングのアカウントとは異なることを覚えておくことが重要です。パスワードをリセットするためのリンクが記載されたメールが送られてきて、それで全てがうまくいく、といったことはありません。多くの人は、すべてのパスワードを安全に管理するほど慎重であれば、保管庫へのアクセスも確実に確保できるほど慎重であるはずだと考えています。

タイトルグラフィックはIsaArt（Shutterstock）を使用して作成しました。追加の写真はjakelieferとWajahat Mahmoodによるものです。