メール乗っ取りで全部落ちるのか。Googleアカウントの二段階認証とパスキーを点検した
メールを取られたら、パスワードは要らない
朝いちばんに、こういう趣旨の文章を読んだ。 メールを乗っ取られたら、攻撃者にパスワードは要らない。 「パスワードを忘れた」を押すだけで、銀行も SNS も決済も暗号資産も、そしてパスワードマネージャーまで持っていかれる。
言われてみればそのとおりだ、と一度は思う。 ただ、この手の警告文は古い情報が混ざりやすい。 Claude Code にレビューさせたら、実害ベースの警告として方向性は妥当だが、言い過ぎか情報が古い箇所が4点ある、という返事だった。 ある認証アプリを名指しで勧めている点と、「物理キーが必須」という書き方は、いまの状況に合っていないらしい。
引っかかったのは最後の一項目だった。 パスワードマネージャーまで持っていかれる、という部分である。
パスワードマネージャーを使っている場合
自分はパスワードマネージャーを使っている。 その前提で聞き直したら、「パスワードマネージャーまで全部持っていかれる」は当てはまらない、と返ってきた。 ゼロ知識設計なので、メールから「パスワードを忘れた」で再設定する経路がそもそも無い。
ただし、メールの陥落が波及する抜け道が3つある、と但し書きが付いた。 どれも製品の設計の話ではなく、復旧材料を自分がどこに置いたかで決まる。
つまり、自分が安全かどうかを決めているのは製品ではなかった。 そうなると、確かめる先は自分の設定しかない。
自分の設定を読み取りだけで見る
設定は一切変更しない条件で、Chrome DevTools 経由でアカウントの状態を読み取ってもらった。 デューデリジェンスのつもりだったが、出てきたものは自分で思っていたより悪かった。
片方のアカウントは二段階認証が無効のままで、パスワードは2021年から変えていなかった。 9月7日には「不正使用されたパスワードを検出」が出ており、9月3日には身に覚えのない Linux からのログインが残っていた。 もう一方は二段階認証こそ入れていたが、SMS と秘密の質問という弱い経路が生きていた。
悪かったのは、個々の設定よりも組み合わせのほうだ。 片方の復旧先がもう片方になっていて、両方の復旧先が同じ携帯番号1本に集まっていた。 SIM スワップが1回成功すれば、そこから両方とも取れる。 元記事が書いていたとおりの構造が、自分の設定の中にそのまま出来上がっていた。
二段階認証とパスワードの変更
まず二段階認証を有効にした。 認証アプリとパスキーはすでに登録済みだったので、オンにするだけだった。 どこにその画面があるのか分からなかったので、前面のタブに出してもらってから押した。
7:05 に二段階認証が有効になり、7:09 にパスワードを変えた。 パスワードを変えた時点で、ログイン中の端末が17台から11台に減った。
面白かったのはこの後だった。 再認証が通ったことで、それまで読めなかった設定画面まで読めるようになり、そこから新しい指摘が4件出てきた。 点検は一度では終わらない。
バックアップコードを貼る場所
バックアップコードを保存しようとして、パスワードマネージャーの新規アイテムの種類で手が止まった。 画面を撮って「これはどれで追加すると効率的か」と聞いたら、どれも選ばなくていい、という答えが返ってきた。
新規アイテムを作らず、すでにある Google のログインアイテムに貼る。 パスワードとワンタイムパスワードを同じ場所に置けば、「Google」で検索したときに全部そろい、スマホからも見られる。 言われてみれば当たり前だが、自分の手は新しい入れ物を作る方向に動いていた。 両方のアカウント分のコードを、同じやり方で貼った。
弱い経路のほうも順に消した。 先に認証アプリを足してから、SMS の電話番号を外し、秘密の質問を削除した。
パスキーの承認で出たエラー
片方のアカウントだけ、パスキーの「承認」を押すとエラーになった。 作成そのものは通っているのに、承認の画面で止まる。
原因はアカウントの側ではなかった。 この Windows PC に、Bluetooth アダプタが1つも入っていない。
「承認」は、いま持っている別のパスキーで本人確認をする操作である。 既存のパスキーが手元のタブレットやスマートフォンにしか無ければ、PC は Bluetooth でそちらへ繋ぎに行く。 繋ぎに行けなければ、その画面で失敗する。 もう一方のアカウントで同じ操作が通ったのは、そちらのパスキーが Windows Hello としてこの PC 自体に入っていたからだった。
承認待ちのまま放っておいてよい、待機期間が過ぎれば使えるようになる、とも言われた。 それで、いったん放置した。 そのあと別のリンクから入ったら、パスキーは普通に使えた。
再設定用メールの「未確認」
再設定用のメールに古いフリーメールを登録していて、これが「未確認」と表示されていた。 自分ではそのメールを読めているので、何が確認できていないのか分からなかった。
確認していないのは自分ではなく、Google のほうだった。 送られた確認コードを入力していないので、Google はそのアドレスを復旧に使えない。 つまりその時点で、復旧先は携帯番号1本しか無かった。
どうせ差し替えるならと、再設定用のメールを Google の外へ出すことにした。 名前も知らなかったサービスを勧められたので、新しくアカウントを作ってそちらへ移す。 新しいアドレス側にも、二要素認証を認証アプリで入れた。 復旧用のメールと電話番号は空のままにし、回復フレーズだけを有効にした。 回復フレーズは PDF でダウンロードフォルダに落ちるので、パスワードマネージャーに貼ってから消した。
ユーザー名は作成後に変更できないと、あとから知った。 気に入らなければ作り直しである。
8:04 に、両方のアカウントの再設定用メールが新しいアドレスに切り替わり、Google 側の確認まで終わった。
ブラウザに溜めた488件
ブラウザのパスワードマネージャーに488件も溜まっていたので、これを消すことにした。
どこから消すのか分からず聞いたら、Web の管理画面には一括削除のボタンが無く、ブラウザの設定画面からしか消せないという。
chrome:// のページは Claude Code からは開けないので、そこは自分でアドレスバーに貼った。
ここで、頼んでいないエクスポートの画面が開いていることに気づいた。 削除前の保険のつもりで押したものらしい。 全件のエクスポートはすでに自分で済ませていたので、これは要らなかった。 本人確認を通していないので、ファイルも落ちていなかった。
削除後、どちらのアカウントも「保存しているパスワードはありません」になった。
復旧用の電話番号
最後に残ったのが、両方のアカウントの再設定用の電話番号だった。 新しいメール、バックアップコード、パスキー、認証アプリがそろった時点で、これはもう外していい。 途中で指された「ようこそ」のタブがどれか分からず、出し直してもらってから消した。
これで、携帯番号1本に集まっていた復旧経路が両方から消えた。 朝いちばんに見つかった単一障害点は、ここで無くなった。
残っている宿題
漏洩していたパスワードのうち1つは、あるレンタカーサイトのものだった。 試したらもうログインできなかったので、そのサイト自体は問題ない。
ただ、漏れたパスワードの本当の危険は使い回しのほうにある。 Google の診断では使い回しが26件出ていたので、パスワードマネージャー側の診断で「再利用されたパスワード」と「侵害されたウェブサイト」を見るのが宿題として残った。
作業記録の置き場所
今日やったことを、未公開のドキュメントとしてまとめさせた。 書き上がってから、そのフォルダが git で無視されていないと知った。 非公開にしている意味が無いのでは、と一瞬あわてた。
調べてもらうと、8月21日に自分の判断で git の追跡下に変えたフォルダで、いまの動きは意図どおりだった。 非公開は「サイトに出さない」であって、「リポジトリに入れない」ではない。 自分で決めたことを、1か月で忘れていた。
今日わかったこと
- パスワードマネージャーが守ってくれるのは製品の設計までで、復旧材料をどこに置いたかは自分の側に残る
- 二段階認証を有効にすると、それまで読めなかった設定画面が開いて指摘が増える。1回洗って終わりにはならない
- 個々の設定より、復旧経路が1本に集まっていないかを見る。集まり方のほうが危ない
- パスキーの承認が失敗する原因は、アカウント側ではなく端末側にもある