セキュリティソフトから「あなたのメールアドレスがダークウェブ上で見つかりました」という通知が届くと、心臓がヒヤッとします。しかも同じころに、使ったかどうか覚えていないネットショップから「情報が流出しました」というメールまで届くことがあります。こうなると、どこから手をつければいいのか分からなくなりますよね。
この記事は、セキュリティソフトのダークウェブモニタリングで流出を知らされた人に向けて書いたものです。通知のどこを見て、何をどの順番で変えればいいかが分かります。
やることは、実はそこまで多くありません。見る場所が1つと、変える設定が2つだけです。
ダークウェブモニタリングの通知で最初に見るのは「流出した項目」
通知が届いたら、最初にセキュリティソフトの通知詳細を開いてください。見るのは「何が流出したか」という項目です。
そもそもダークウェブモニタリングとは何か。ネットの裏側（ダークウェブ）で、流出した情報が出回っていないかを見張る機能です。ノートンなどのセキュリティソフトに入っていて、自分の情報が見つかると通知が届きます。
通知詳細には、見つかった情報の種類が並んでいます。メールアドレスだけなのか、パスワードや住所、電話番号まで入っているのか。ここで、このあとの作業の重さが大きく変わります。
👉 関連：Google『パスワード漏洩』通知は放置でも平気?
パスワードも載っていたなら、話は別です。そのパスワードを使っているサービスは、すぐ変える必要があります。一方で、メールアドレスだけなら、なりすましメールや迷惑メールが届きやすくなる程度です。それだけで、すぐにアカウントを奪われるわけではありません。
個人的には、通知が本物かどうかと、何が流出したのかを確かめるのが先だと思っています。そこが分からないままだと、どのパスワードを変えればいいのかも決まらないからです。
👉 関連：KDDIメアドとパスワード流出で最悪どうなる?対処法
今回のショップの漏洩が原因とは限らない理由
ダークウェブ上のデータは、1回の事件の分だけではありません。過去に起きたいくつもの流出事件の情報が、積み重なって出回っている状態です。
そのため、今回の通知の出どころは、通知詳細で確認するまで分かりません。Yahoo!ショッピングの店舗の件なのか、昔登録した別のサービスの件なのか。流出元の名前や時期が書かれていれば、それが手がかりになります。
ここがややこしいところです。
全部この店のせいだと思い込むと、店で使っていたパスワードだけを変えて安心してしまいます。でも本当の流出元が別のサービスなら、そちらのパスワードはそのまま残ります。流出元がはっきりしないときは、同じメールアドレスで登録しているサービスをまとめて見直すほうが確実です。
「情報流出のお知らせ」はなりすましメールやフィッシング詐欺も疑う
たとえば、使ったかどうか覚えていないストアから「お客様の情報が流出しました」というメールが届いたとします。本文にある「詳細はこちら」のリンクを、押していいのか迷う場面です。
ここで気をつけたいのが、情報漏洩のお知らせを装ったフィッシング詐欺です。フィッシング詐欺は、本物そっくりのにせページに誘い込み、IDやパスワードを入力させる手口のことです。差出人をお店の名前に見せかけたなりすましメールで届くので、見た目だけでは区別がつきません。
👉 関連：Google「保存したパスワードの一部がウェブ上に漏洩しました」は詐欺？
本物かどうかを確かめるときは、次の順番で進めます。
- メールの中のリンクは押さずに、そのまま閉じる
- Yahoo!ショッピングの公式アプリか、ブックマークしておいた公式サイトを開く
- ログインして、お知らせやメッセージの欄に同じ内容が出ているかを見る
公式の画面に同じお知らせがあれば、そのメールは本物だったと判断できます。見当たらなければ、メールのほうを疑うのが安全です。迷惑メールの見分け方は、Yahoo!メールの迷惑メール対策ページにもまとまっています。
パスワードの使い回しをやめて、メールアカウントから守る
最初に守るのは、流出したメールアドレスの「メールアカウントそのもの」です。ほとんどのサービスは、パスワードを忘れたときの再設定メールをこのアドレスに送ります。つまりメールアカウントを乗っ取られると、ほかのサービスのパスワードまで次々に変えられてしまいます。
もう一つ危ないのが、パスワードの使い回し（同じパスワードを複数のサービスで使うこと）です。1つのサービスから漏れたパスワードで、ほかのサービスにもログインされてしまいます。家と車と会社の鍵を、全部同じ1本にしているようなものです。
時間はサービス1つにつき、数分ほど見ておけば足ります。変える順番は次の3つです。
- メールアカウントのパスワードを変える
- ネットショッピング・銀行・SNSなど、同じメールアドレスで登録している大事なサービスを1つずつ変える
- どのサービスも違うパスワードにして、使い回しをなくす
2段階認証をオンにしておけば、パスワードが漏れても入られにくい
パスワードを変え終わったら、次の順に設定画面を開きます。
- メールアカウントのセキュリティ設定で、2段階認証が「有効」になっているか
- ネットショッピングのアカウント設定で、2段階認証が「有効」になっているか
- 銀行・決済サービスのセキュリティ設定で、2段階認証が「有効」になっているか
2段階認証は、パスワードのほかに、スマホに届くコードなどでもう一回本人確認をする仕組みです。パスワードが漏れていても、スマホが手元になければログインできません。
メールアドレスだけの流出なら、アカウントを今すぐ消すより、パスワード変更と2段階認証のほうが効果があります。アカウントを消しても、すでに出回ったメールアドレスが戻ってくるわけではないからです。
大事なのは、流出した情報を「消す」ことより、「悪用されても入られない状態にする」ことです。パスワード変更と2段階認証がそろえば、メールアドレスを知られていても入り口はふさがります。
まとめ
通知が来た日にやることは、見る場所1つと設定2つだけでした。
- 結論：通知が届いたら、まず通知詳細で「パスワードや住所も流出していないか」を見る
- 次にやること：メールアカウントのパスワードを最優先で変え、大事なサービスのパスワードの使い回しをやめて、2段階認証をオンにする
- 覚えておくこと：「情報流出のお知らせ」メールのリンクは押さず、Yahoo!ショッピングの公式アプリか公式サイトから直接お知らせを見る
ダークウェブモニタリングの通知は、「流出した項目」を見てから動けば十分間に合います。まずはメールアカウントのパスワード変更と、2段階認証の設定から手をつけてください。
