[{"data":1,"prerenderedAt":225},["ShallowReactive",2],{"content-/email-account-takeover-hardening":3,"all-pages-for-dir":204,"related-/email-account-takeover-hardening":205,"og-image-/email-account-takeover-hardening":224},{"id":4,"title":5,"body":6,"category":185,"concepts":186,"description":187,"extension":188,"meta":189,"navigation":190,"ogImage":186,"path":191,"project_name":185,"published":192,"publishedAt":193,"seo":194,"source":195,"stem":196,"tags":197,"todo":186,"unpublished":192,"updatedAt":186,"__hash__":203},"pages/2026-09/2026-09-10/email-account-takeover-hardening.md","メール乗っ取りで全部落ちるのか。Googleアカウントの二段階認証とパスキーを点検した",{"type":7,"value":8,"toc":169},"minimark",[9,14,18,21,24,27,30,33,36,39,42,45,48,51,54,57,60,63,66,69,72,75,78,81,84,87,91,94,97,100,103,106,109,117,120,123,126,129,132,135,138,141,144,147,150,153],[10,11,13],"h2",{"id":12},"メールを取られたらパスワードは要らない","メールを取られたら、パスワードは要らない",[15,16,17],"p",{},"朝いちばんに、こういう趣旨の文章を読んだ。\nメールを乗っ取られたら、攻撃者にパスワードは要らない。\n「パスワードを忘れた」を押すだけで、銀行も SNS も決済も暗号資産も、そしてパスワードマネージャーまで持っていかれる。",[15,19,20],{},"言われてみればそのとおりだ、と一度は思う。\nただ、この手の警告文は古い情報が混ざりやすい。\nClaude Code にレビューさせたら、実害ベースの警告として方向性は妥当だが、言い過ぎか情報が古い箇所が4点ある、という返事だった。\nある認証アプリを名指しで勧めている点と、「物理キーが必須」という書き方は、いまの状況に合っていないらしい。",[15,22,23],{},"引っかかったのは最後の一項目だった。\nパスワードマネージャーまで持っていかれる、という部分である。",[10,25,26],{"id":26},"パスワードマネージャーを使っている場合",[15,28,29],{},"自分はパスワードマネージャーを使っている。\nその前提で聞き直したら、「パスワードマネージャーまで全部持っていかれる」は当てはまらない、と返ってきた。\nゼロ知識設計なので、メールから「パスワードを忘れた」で再設定する経路がそもそも無い。",[15,31,32],{},"ただし、メールの陥落が波及する抜け道が3つある、と但し書きが付いた。\nどれも製品の設計の話ではなく、復旧材料を自分がどこに置いたかで決まる。",[15,34,35],{},"つまり、自分が安全かどうかを決めているのは製品ではなかった。\nそうなると、確かめる先は自分の設定しかない。",[10,37,38],{"id":38},"自分の設定を読み取りだけで見る",[15,40,41],{},"設定は一切変更しない条件で、Chrome DevTools 経由でアカウントの状態を読み取ってもらった。\nデューデリジェンスのつもりだったが、出てきたものは自分で思っていたより悪かった。",[15,43,44],{},"片方のアカウントは二段階認証が無効のままで、パスワードは2021年から変えていなかった。\n9月7日には「不正使用されたパスワードを検出」が出ており、9月3日には身に覚えのない Linux からのログインが残っていた。\nもう一方は二段階認証こそ入れていたが、SMS と秘密の質問という弱い経路が生きていた。",[15,46,47],{},"悪かったのは、個々の設定よりも組み合わせのほうだ。\n片方の復旧先がもう片方になっていて、両方の復旧先が同じ携帯番号1本に集まっていた。\nSIM スワップが1回成功すれば、そこから両方とも取れる。\n元記事が書いていたとおりの構造が、自分の設定の中にそのまま出来上がっていた。",[10,49,50],{"id":50},"二段階認証とパスワードの変更",[15,52,53],{},"まず二段階認証を有効にした。\n認証アプリとパスキーはすでに登録済みだったので、オンにするだけだった。\nどこにその画面があるのか分からなかったので、前面のタブに出してもらってから押した。",[15,55,56],{},"7:05 に二段階認証が有効になり、7:09 にパスワードを変えた。\nパスワードを変えた時点で、ログイン中の端末が17台から11台に減った。",[15,58,59],{},"面白かったのはこの後だった。\n再認証が通ったことで、それまで読めなかった設定画面まで読めるようになり、そこから新しい指摘が4件出てきた。\n点検は一度では終わらない。",[10,61,62],{"id":62},"バックアップコードを貼る場所",[15,64,65],{},"バックアップコードを保存しようとして、パスワードマネージャーの新規アイテムの種類で手が止まった。\n画面を撮って「これはどれで追加すると効率的か」と聞いたら、どれも選ばなくていい、という答えが返ってきた。",[15,67,68],{},"新規アイテムを作らず、すでにある Google のログインアイテムに貼る。\nパスワードとワンタイムパスワードを同じ場所に置けば、「Google」で検索したときに全部そろい、スマホからも見られる。\n言われてみれば当たり前だが、自分の手は新しい入れ物を作る方向に動いていた。\n両方のアカウント分のコードを、同じやり方で貼った。",[15,70,71],{},"弱い経路のほうも順に消した。\n先に認証アプリを足してから、SMS の電話番号を外し、秘密の質問を削除した。",[10,73,74],{"id":74},"パスキーの承認で出たエラー",[15,76,77],{},"片方のアカウントだけ、パスキーの「承認」を押すとエラーになった。\n作成そのものは通っているのに、承認の画面で止まる。",[15,79,80],{},"原因はアカウントの側ではなかった。\nこの Windows PC に、Bluetooth アダプタが1つも入っていない。",[15,82,83],{},"「承認」は、いま持っている別のパスキーで本人確認をする操作である。\n既存のパスキーが手元のタブレットやスマートフォンにしか無ければ、PC は Bluetooth でそちらへ繋ぎに行く。\n繋ぎに行けなければ、その画面で失敗する。\nもう一方のアカウントで同じ操作が通ったのは、そちらのパスキーが Windows Hello としてこの PC 自体に入っていたからだった。",[15,85,86],{},"承認待ちのまま放っておいてよい、待機期間が過ぎれば使えるようになる、とも言われた。\nそれで、いったん放置した。\nそのあと別のリンクから入ったら、パスキーは普通に使えた。",[10,88,90],{"id":89},"再設定用メールの未確認","再設定用メールの「未確認」",[15,92,93],{},"再設定用のメールに古いフリーメールを登録していて、これが「未確認」と表示されていた。\n自分ではそのメールを読めているので、何が確認できていないのか分からなかった。",[15,95,96],{},"確認していないのは自分ではなく、Google のほうだった。\n送られた確認コードを入力していないので、Google はそのアドレスを復旧に使えない。\nつまりその時点で、復旧先は携帯番号1本しか無かった。",[15,98,99],{},"どうせ差し替えるならと、再設定用のメールを Google の外へ出すことにした。\n名前も知らなかったサービスを勧められたので、新しくアカウントを作ってそちらへ移す。\n新しいアドレス側にも、二要素認証を認証アプリで入れた。\n復旧用のメールと電話番号は空のままにし、回復フレーズだけを有効にした。\n回復フレーズは PDF でダウンロードフォルダに落ちるので、パスワードマネージャーに貼ってから消した。",[15,101,102],{},"ユーザー名は作成後に変更できないと、あとから知った。\n気に入らなければ作り直しである。",[15,104,105],{},"8:04 に、両方のアカウントの再設定用メールが新しいアドレスに切り替わり、Google 側の確認まで終わった。",[10,107,108],{"id":108},"ブラウザに溜めた488件",[15,110,111,112,116],{},"ブラウザのパスワードマネージャーに488件も溜まっていたので、これを消すことにした。\nどこから消すのか分からず聞いたら、Web の管理画面には一括削除のボタンが無く、ブラウザの設定画面からしか消せないという。\n",[113,114,115],"code",{},"chrome://"," のページは Claude Code からは開けないので、そこは自分でアドレスバーに貼った。",[15,118,119],{},"ここで、頼んでいないエクスポートの画面が開いていることに気づいた。\n削除前の保険のつもりで押したものらしい。\n全件のエクスポートはすでに自分で済ませていたので、これは要らなかった。\n本人確認を通していないので、ファイルも落ちていなかった。",[15,121,122],{},"削除後、どちらのアカウントも「保存しているパスワードはありません」になった。",[10,124,125],{"id":125},"復旧用の電話番号",[15,127,128],{},"最後に残ったのが、両方のアカウントの再設定用の電話番号だった。\n新しいメール、バックアップコード、パスキー、認証アプリがそろった時点で、これはもう外していい。\n途中で指された「ようこそ」のタブがどれか分からず、出し直してもらってから消した。",[15,130,131],{},"これで、携帯番号1本に集まっていた復旧経路が両方から消えた。\n朝いちばんに見つかった単一障害点は、ここで無くなった。",[10,133,134],{"id":134},"残っている宿題",[15,136,137],{},"漏洩していたパスワードのうち1つは、あるレンタカーサイトのものだった。\n試したらもうログインできなかったので、そのサイト自体は問題ない。",[15,139,140],{},"ただ、漏れたパスワードの本当の危険は使い回しのほうにある。\nGoogle の診断では使い回しが26件出ていたので、パスワードマネージャー側の診断で「再利用されたパスワード」と「侵害されたウェブサイト」を見るのが宿題として残った。",[10,142,143],{"id":143},"作業記録の置き場所",[15,145,146],{},"今日やったことを、未公開のドキュメントとしてまとめさせた。\n書き上がってから、そのフォルダが git で無視されていないと知った。\n非公開にしている意味が無いのでは、と一瞬あわてた。",[15,148,149],{},"調べてもらうと、8月21日に自分の判断で git の追跡下に変えたフォルダで、いまの動きは意図どおりだった。\n非公開は「サイトに出さない」であって、「リポジトリに入れない」ではない。\n自分で決めたことを、1か月で忘れていた。",[10,151,152],{"id":152},"今日わかったこと",[154,155,156,160,163,166],"ul",{},[157,158,159],"li",{},"パスワードマネージャーが守ってくれるのは製品の設計までで、復旧材料をどこに置いたかは自分の側に残る",[157,161,162],{},"二段階認証を有効にすると、それまで読めなかった設定画面が開いて指摘が増える。1回洗って終わりにはならない",[157,164,165],{},"個々の設定より、復旧経路が1本に集まっていないかを見る。集まり方のほうが危ない",[157,167,168],{},"パスキーの承認が失敗する原因は、アカウント側ではなく端末側にもある",{"title":170,"searchDepth":171,"depth":171,"links":172},"",2,[173,174,175,176,177,178,179,180,181,182,183,184],{"id":12,"depth":171,"text":13},{"id":26,"depth":171,"text":26},{"id":38,"depth":171,"text":38},{"id":50,"depth":171,"text":50},{"id":62,"depth":171,"text":62},{"id":74,"depth":171,"text":74},{"id":89,"depth":171,"text":90},{"id":108,"depth":171,"text":108},{"id":125,"depth":171,"text":125},{"id":134,"depth":171,"text":134},{"id":143,"depth":171,"text":143},{"id":152,"depth":171,"text":152},"personal",null,"メールを奪われると「パスワードを忘れた」で全サービスが芋づる式に落ちる、という話を起点に、自分のGoogleアカウントの復旧経路を点検した。二段階認証の有効化、バックアップコードの保存先、パスキーの承認エラー、再設定用の連絡先の差し替えまでの記録。","md",{},true,"/email-account-takeover-hardening",false,"2026-09-10T00:00:00.000Z",{"title":5,"description":187},"make-diary","2026-09/2026-09-10/email-account-takeover-hardening",[198,199,200,201,202],"セキュリティ","Googleアカウント","二段階認証","パスキー","パスワード管理","S83LSnQtE7gBRp8_PZN7eAJYbicyygK6Kwp77uJ4Fjg",[],[206,210,213,216,220],{"title":207,"path":208,"publishedAt":209},"テキストファイルにパスワードをかける前に — 1Passwordのセキュアノートと保管庫","/1password-notes-and-vaults","2026-07-25T00:00:00.000Z",{"title":211,"path":212,"publishedAt":193},"2026年9月10日の開発日記 - 直したのに画面が応えない日","/2026-09-10-diary",{"title":214,"path":215,"publishedAt":193},"子どもが友達に家の Wi-Fi のパスワードを教えた。実害は何で、次からどうするか。Aterm でゲスト SSID を作るまで","/home-wifi-guest-ssid-aterm",{"title":217,"path":218,"publishedAt":219},"公開されているClaude Code用の図解スキルを、クローンせずにデューデリジェンスした","/svg-diagram-pattern-library-due-diligence","2026-08-09T00:00:00.000Z",{"title":221,"path":222,"publishedAt":223},"消えたファイルの原因を2日後に物証で特定した記録（Claude Code の再帰削除事故）","/recursive-delete-incident-postmortem","2026-07-31T00:00:00.000Z","https://log.eurekapu.com/og/blog/email-account-takeover-hardening.png?v=2026-09-10T00%3A00%3A00.000Z&title=%E3%83%A1%E3%83%BC%E3%83%AB%E4%B9%97%E3%81%A3%E5%8F%96%E3%82%8A%E3%81%A7%E5%85%A8%E9%83%A8%E8%90%BD%E3%81%A1%E3%82%8B%E3%81%AE%E3%81%8B%E3%80%82Google%E3%82%A2%E3%82%AB%E3%82%A6%E3%83%B3%E3%83%88%E3%81%AE%E4%BA%8C%E6%AE%B5%E9%9A%8E%E8%AA%8D%E8%A8%BC%E3%81%A8%E3%83%91%E3%82%B9%E3%82%AD%E3%83%BC%E3%82%92%E7%82%B9%E6%A4%9C%E3%81%97%E3%81%9F&author=Kei%20Komatsu&sig=15b0d26811d14444",1789078135455]