電子書籍サービスのブックライブは11月10日、止めていたログインを再開し、メールアドレスでログインするときに、パスワードに加えてメールで届く確認コードの入力を全員に求める形に変えた。他社のサービスで漏れたメールアドレスとパスワードを使った不正なログインを防ぐための措置だと説明している。
ブックライブ自身から情報が漏れたという発表ではない。それでも、ほかの場所で使っているのと同じパスワードを登録していた人には、自分の側で確かめることが残る。
止めて、確認コードつきで開け直した
ブックライブは同じ10日の昼、公式 X で、他社のサービスで漏れたメールアドレスとパスワードによる不正なアクセスのおそれが高まっているとして、予防のためにログインを一時的に止めたと知らせていた。一部の IP アドレスからのアクセスも制限していた。
その後のお知らせで、ログイン時の二要素認証を必須にしたうえでログインを再開した。対象はすべての利用者で、メールアドレスでログインすると、登録したアドレスに確認コードが届く。利用ガイドによると、コードの有効時間は 10 分間で、入力を何度か間違えると 24 時間ログインできなくなる。一部の IP アドレスからのアクセス制限は、安全が確認できるまで続けるとしている。
自分のパスワードは、どこで漏れたか分からない
今回の措置が想定しているのは、どこか別のサービスから漏れたメールアドレスとパスワードの組を、ほかのサービスに片っ端から試すやり方だ。同じ組を使い回していれば、漏れた先とは関係のないサービスにも入られる。11月に入ってからも、Maru-Jan の全会員 185 万人分のパスワード流出のように、パスワードを含む流出の発表が続いている。
確認コードが必須になったことで、パスワードだけ知られても入られにくくはなった。ただ、それはブックライブの話で、同じパスワードを使っているほかのサービスは守られない。確かめるなら、ブックライブに登録したのと同じパスワードを、どこで使っているかを思い出すところからになる。
手間と、新しく気をつけること
確認コードには手間もついてくる。登録したメールアドレスで受信できなければログインできないので、ブックライブは受信できるかの確認を求めている。古いアドレスのまま放っていた人や、迷惑メールのフォルダに振り分けられる人は、ここでつまずく。
もう一つは、確認コードを狙う連絡だ。ブックライブは、確認コードを尋ねることはないとして、コードを聞いてくるメールや電話に注意するよう呼びかけている。コードは自分で入力するためのもので、人に伝えるものではない。漏れたかもしれないと分かったときの順番は、漏えいの知らせが来たらやること、順番つきの手順にまとめてある。
次に開くのはブックライブのインフォメーションのページだ。一部の IP アドレスへのアクセス制限が解除されるか、措置の理由について続報があるかを、そこで確かめたい。
ことば
- 二要素認証 — パスワードに加えて、メールで届くコードなど別の手段でも本人かを確かめる仕組み。パスワードだけが漏れても、コードを受け取れない人はログインできない。
- パスワードの使い回し — 複数のサービスで同じメールアドレスとパスワードの組を使うこと。一か所から漏れた組が、ほかのサービスへの不正なログインに試される原因になる。
ブックライブと同じパスワードを、あなたはほかにどこで使っているだろうか？
