Adobe、LinkedIn、Yahoo、Facebook、Twitch、Equifax、Marriott — これらはニュースの見出しになった侵害にすぎません。話題にならなかった侵害はさらに何千件もあります。私たちがメールアドレスやパスワード、時にはクレジットカード番号や自宅住所まで預けた企業のデータベースが盗まれ、売却されてきました。そしてほぼすべての場合、盗まれたデータの中で最も価値があるのはメールアドレスです。なぜなら、それはあなたのデジタルライフの他のすべてに通じる万能鍵だからです。
侵害のニュースを聞いたときの多くの人の反応は、その1つのサービスでパスワードを変更してそのまま済ませることです。この反応は理にかなっていますが、より大きな全体像を見逃しています。侵害による被害は、ハッキングされたサービスだけにとどまりません。それは何か月も、時には何年も続く形で外へと広がっていきます。この全連鎖を理解することは、そもそもメールアドレスを共有することについての考え方を変えます。
この記事では、その連鎖を詳しく見ていきます — 侵害の直後に何が起きるのか、数週間から数か月後に何が起きるのか、なぜあなたのメールアドレスが攻撃者にとってこれほど価値があるのか、そして実際に何ができるのかを解説します。目的はあなたを怖がらせることではありません。あなたの本物のメールアドレスが実際にどこに存在すべきかについて、より賢い判断ができるよう、明確な全体像を示すことです。
問題の規模
仕組みに入る前に、この問題が実際にどれほど大きいかを理解しておくと役立ちます。セキュリティ研究者Troy Huntが構築した無料の侵害チェックサービスHave I Been Pwnedは、現在、数千件もの個別のデータ侵害にわたって130億件以上の侵害アカウントを追跡しています。この数字は1,300万ではありません。130億です。世界の成人人口は約65億人です。この130億件のうち多くは重複データ（同じメールアドレスが複数の侵害に現れる）ですが、それでもこの規模は驚異的です。
Statistaのスパムメールトラフィックに関するデータによると、世界中で送信されるメールの約45〜50%がスパムです。そのスパムのかなりの部分は、データ侵害から収集された盗まれたメールリストによって支えられています。これは一部の不運な人だけが影響を受けるニッチな問題ではありません — 数年以上メールアドレスを使い続け、オンラインサービスへの登録に使ったことがあるなら、少なくとも1つの侵害に登場している可能性は十分にあります。
続きを読む前に、一度立ち止まって、Have I Been Pwnedで自分自身のアドレスを確認してみることをお勧めします。その結果を見ると、この記事の残りの部分がずっと具体的に感じられるはずです。多くの人は自分のメールが2〜8件の侵害に載っているのを見つけます。もっと多く見つかる人もいます。もし何も出てこなければそれは良いことですが、何から自分を守っているのかを理解しておく価値は依然としてあります。
攻撃者があなたのメールで行うこと — 完全な連鎖
多くの侵害報道が見落としているのはこれです：1件の侵害による被害は一度に起きるわけではなく、1種類の攻撃だけで終わるわけでもありません。前のステップによって次のステップが可能になるという一連の出来事があり、その連鎖を理解することが、問題を抽象的なものではなく現実のものとして感じさせるのです。
ステップ1：侵害データベースが売買される
大規模な侵害が発生してから数時間から数日以内に、盗まれたデータはダークウェブの市場に現れます。データベースは大量に売買され、時には驚くほど安い金額で取引されます。何百万ものメールアドレスとハッシュ化されたパスワードを含むファイルが、わずか数百ドルで売られることもあります。攻撃者の視点から見れば、これは単に作業のための原材料を調達しているにすぎません。
ステップ2：スパムキャンペーンがすぐに始まる
侵害の最も即時的かつ目に見える影響は、スパムの急増です。あなたのメールアドレスは大量送信リストに追加され、米連邦取引委員会（FTC）は毎日何十億通ものスパムメールが送信されていると推定しています。盗まれたメールリストはその主な出所の1つです。あなたが利用しているサービスが侵害を発表した後、数日から数週間して新たなスパムの波に気づくかもしれません。それは偶然ではありません — あなたのアドレスがちょうど新しいリストに載ったのです。
ステップ3：クレデンシャルスタッフィング攻撃
侵害にパスワードが含まれていた場合 — たとえハッシュ化されていても — 脅威は大幅にエスカレートします。クレデンシャルスタッファーと呼ばれる自動化ツールは、侵害から得たメールとパスワードの組み合わせを取得し、数十から数百の他のサービスに対して体系的に試します。あなたのNetflixのログイン。あなたのAmazonアカウント。あなたの銀行。あなたのメールプロバイダー自体。Troy Huntは詳細に文書化していますが、クレデンシャルスタッフィング攻撃はアカウント乗っ取りの膨大な割合の原因となっています。パスワードの使い回しがこの攻撃をこれほど効果的にしている理由です — 複数のサービスで同じパスワードを使っている人は特に脆弱です。だからこそ、影響を受けた1つのパスワードだけを変更するのでは不十分なのです。
ステップ4：あなたについて知っている標的型フィッシング
「こちらをクリックしてアカウントを確認してください」といった一般的なフィッシングメールは見分けやすいものです。しかし、より高度な攻撃者は侵害データを使い、実際にあなたについて知っていることを参照した標的型のメッセージを作成します。彼らはあなたがどのサービスの顧客だったかを知っています。時にはあなたのユーザー名、名前、支払いカードの下4桁を知っていることもあります。「あなたの[実在するサービス名]アカウントには確認が必要です — あなたのユーザー名は[実際のユーザー名]です」というフィッシングメールは、一般的な一斉送信よりもはるかに説得力があります。この種の攻撃はスピアフィッシングと呼ばれることもあり、侵害データこそがそれを可能にするものです。
ステップ5：複数の侵害にまたがるプロファイル構築
侵害データの最も高度な使い方は相関分析です。攻撃者は複数の侵害からのレコードを集約し、個人の詳細なプロファイルを構築します。あなたのメールがゲームフォーラムの侵害、フィットネスアプリの侵害、そしてオンラインショッピングの侵害に登場したとしましょう。すると誰かは、あなたがゲームをすること、どのくらいの頻度で運動しているか、どこで買い物をしているか、さらには配送データからおおよその居場所まで知ることになります。Electronic Frontier Foundationは詳しく書いていますが、データの集約は個々には無害な情報の断片を、はるかに侵害性の高いものへと変えてしまいます。このプロファイリングは、より標的化されたフィッシング、ソーシャルエンジニアリング、そして極端な場合には個人情報の盗用へとつながります。
現在の露出を確認する方法
最良の出発点はHave I Been Pwnedです。メールアドレスを入力すると、既知の侵害のデータベースを検索します。表示された各侵害について、侵害されたサービスの名前、侵害の日付、そしてどのカテゴリのデータ（メール、パスワード、ユーザー名、名前、電話番号など）が漏洩したかがわかります。これにより、データがどこで侵害され、どのような具体的なリスクが該当するのかが正確にわかります。
重要なのは、Have I Been Pwnedが無料の侵害通知アラートを提供していることです。メールアドレスを入力して確認すると、その時点から、あなたのメールがデータベースに追加された将来の侵害に現れた場合、直ちにメール通知を受け取れます。これは利用可能な最も価値ある無料のセキュリティツールの1つです — これにより、何か月も後になって（もしあれば）侵害の露出を知る人から、数日以内に知って迅速に対応できる人へと変わることができます。
結果を確認する際は、パスワードが含まれていた侵害に特に注意してください。それらは前述のクレデンシャルスタッフィング攻撃のため、最もリスクの高い露出です。そうした侵害については特に、同じパスワードを使っていたすべてのサービスでそのパスワードを変更したことを確認し、今後はパスワードマネージャーを使ってパスワードの使い回しをやめましょう。
なぜあなたのメールが侵害の中で最も価値あるデータなのか
考えてみる価値があることがあります：盗まれたクレジットカードは数分で無効にできます。漏洩したパスワードは変更できます。しかし、あなたのメールアドレスはどうでしょうか？それは半永久的です。あなたはそれを何年も、もしかしたら数十年も使ってきました。数十、あるいは数百のサービスがそれで登録されています。それはパスワードのリセット、銀行の通知、二要素認証コードへの鍵です。それはあなたのアイデンティティに、解きほぐすのが非常に難しい形で結びついています。
GDPRは、EU居住者に、メールアドレスを含む個人データの削除を、それを保持しているあらゆるサービスに要求する法的権利を与えています。実際には、今では多くの企業がこのための自動化されたシステムを持っており、何年も使っていないサービスに対してでも削除リクエストを提出できます。しかし、GDPRの削除リクエストは、そのリクエストを受け取った企業にしか影響しません — すでに売却されたり、サードパーティの侵害データベースにコピーされたりしたデータには手が届きません。あなたのメールが一度世に出てしまえば、どんな規制もそれを取り戻すことはできません。予防こそが唯一完全に信頼できる戦略です。
OWASPのセキュリティガイダンスは、メールアドレスがパスワードと同じ保護に値する高価値なデータであることを一貫して強調しています。しかし、多くの人はメールアドレスをパスワードよりもはるかに無頓着に共有しています。なぜなら、メールアドレスの方が機密性が低いように感じられるからです。実際には逆です — あなたのメールはパスワードよりも永続的で、より中心的で、変更が難しいものなのです。
攻撃対象領域の問題
あなたの本物のメールアドレスを保持しているすべてのサービスは、潜在的な侵害ポイントです。あなたのメールがインターネット上のデータベースに存在する場所が多いほど、盗まれる機会も多くなります。数字で考えてみましょう：もし長年のうちに50個のオンラインサービスに登録し、それぞれが年間2%の確率で侵害を経験する（現在の状況に基づく控えめな見積もり）とすると、いずれかが特定の年に侵害される確率は非常に高くなります。サービスが多いほど、露出も高まります。
3年前に無料のテンプレートをダウンロードするために登録し、一度使ってすっかり忘れてしまったサービス — それでも、どこかで生きているデータベースレコードです。その企業は買収されたかもしれませんし、セキュリティインシデントを経験したかもしれませんし、費用を賄うためにメールリストを売却したかもしれません。あなたには、その情報を入力してから何が起きたのかを知る術がまったくありません。
ここで、重要でない登録に使い捨てメールアドレスを使うことが、この状況を根本的に変えます。そのテンプレートダウンロードサイトの背後にあるデータベースが2年後に侵害されても、あなたの本物のメールアドレスはそこにありません。使用された一時アドレスはもう存在しません。盗むものも、売るものも、追跡すべき結果の連鎖もありません。あなたの本物のメールの攻撃対象領域は小さいままです — 重要で継続的なコミュニケーションのために本当に必要なサービスだけがそれを持っているのです。
メールが侵害された場合の対処法
もしあなたのメールが侵害に登場したことを発見したら、ここにおおよそ優先順位順の実践的な行動の流れがあります。
- どの侵害に登場したかを正確に確認する — Have I Been Pwnedで確認し、どのデータが含まれていたか（メールだけか、パスワードや名前なども含むか）を記録する
- そのサービスのパスワードを直ちに変更する — 理想的にはパスワードマネージャーで生成した長く一意なものに
- パスワードの使い回しを確認する — 他の場所で同じパスワードを使っていた場合、最も機密性の高いアカウント（メール、銀行、金融サービス）から始めて、すべての場所で変更する
- 影響を受けたすべての対応アカウントで二要素認証を有効にする — 攻撃者があなたのパスワードを持っていても、第二要素なしではログインできない
- Have I Been Pwnedで侵害モニタリングを設定する — 将来の露出について直ちに通知を受けられるように
- 受信トレイを注意深く監視する — 侵害されたサービスに言及するフィッシングの試みに注意する。攻撃者はあなたがそこの顧客だったことを知っており、その知識を利用する可能性がある
- スパムをメールプロバイダーに報告する — ほとんどのメールサービスではメッセージをスパムとしてマークでき、それによってフィルターがより多くのスパムを検出するよう訓練される
- そのアカウントがまだ必要かどうかを検討する — 侵害されたサービスをもう使っていないなら、アカウントを削除することでそのデータベースからあなたのデータが削除される
これからのためのより良い習慣を築く
これらすべてから得られる重要な洞察は、メールの攻撃対象領域を減らすことが、あなたが使える最も効果的な予防策であるということです。侵害後にパスワードを変更するだけでなく、二要素認証を使うだけでもなく（どちらも重要ですが）— そもそもあなたの本物のメールアドレスがどこに存在するかを制限することです。侵害は、侵害されたサービスに一度も渡されていないデータを漏洩させることはできません。
これを実践する現実的な方法は、段階的なメール利用です。あなたの本物のメールアドレスは、本当にそれを必要とするサービスに使います：銀行、勤務先、最も親しい連絡先、定期的に利用し信頼しているサービスです。それ以外のすべて — ダウンロード、ウェビナー、フォーラムへの投稿、SaaSのトライアル — には、使い捨てアドレスがあなたの本物のメールを方程式の外に保ちます。Proton Mailのようなプライバシー重視のメールサービスは、メインのメールとして検討する価値があり、SimpleLoginのようなエイリアスサービスは、より長期的な関係のための転送アドレスの管理に役立ちます。
本当に一度きりのやり取りには、一時メールアドレスが最もクリーンな解決策です — 設定は不要、アカウントも不要、本物のアイデンティティも関与しません。そのサービスがいずれ侵害されても（そして統計的には多くのサービスがそうなります）、あなたの本物のアドレスはそのデータベースには単に存在しません。連鎖が始まる前に、あなたはそこから抜け出していたのです。
あなたのGDPRの権利についての注記
もしあなたがEUにいる場合（またはEUの顧客にサービスを提供する企業と取引している場合）、GDPRはあなたに実際に行使できる権利を与えます。あなたのデータを保持しているどの企業にも連絡し、第17条（「消去の権利」）に基づいて削除を要求できます。多くの企業は今では自動化されたプライバシーリクエストポータルを持っています — 企業名に「プライバシーリクエスト」または「データ削除」を加えて検索してみてください。これは、もう使っていないサービスに対して行う価値があります。なぜなら、その企業のアクティブなデータベースからあなたのデータが削除され、将来侵害された場合の露出が減るからです。
その限界は現実的なものです：削除リクエストは、その企業が現在保持しているデータにしか影響しません。すでに第三者に売却されたデータ、すでに侵害データベースにコピーされたデータ、すでにスパム業者の手にあるデータには、GDPRリクエストは届きません。これは、不必要にメールが広がるのを防ぐことが、後から掃除しようとするよりもはるかに効果的である、もう1つの理由です。
結びに
これらすべてを理解する目的は、あなたをインターネットの利用に対して疑心暗鬼にさせることではありません。それは、あなたがメールアドレスをどこで共有するかについて下す決定には現実的で持続的な結果があり、習慣の小さな変化が時間の経過とともに露出を大きく減らせることを理解してもらうためです。あなたの本物のメールアドレスは価値があります。それにふさわしく扱ってください。それを本当に値するサービスにのみ与え、それ以外はすべて使い捨てアドレスに吸収させましょう。
まだであれば、今日Have I Been Pwnedでメールを確認してください。侵害アラートを設定してください。そして次に何かがあなたのメールアドレスを求めてきて、それに値するかどうか分からないときは、あなたの本物のアドレスを危険にさらすことなく同じ役割を果たせるtemp mailを検討してみてください。