Skip to main content
世界パスワードデーの前日、コードホスティングサービスのGithubは、訪問者のパスワードを平文のまま内部ログシステムに誤って記録していたことを発表しました。報道によると、わずかなコードの誤りが原因で、修正されるまでの間、非公開の認証情報が露出していました。追加のセキュリティ対策として、Githubは2,700万人のユーザーのうち多数に対し、アカウントへのアクセスを回復するためにパスワードを変更するよう求めました。 この情報漏えいはその後Githubによって封じ込められ、一部の識者からは「軽微な不具合」として一蹴されていますが、私たちがパスワードを預けている組織は、ごく小さなバグひとつで大規模な情報漏えいを起こしかねないという事実を、改めて強く認識させる出来事です。また、今回のようなヒヤリとする事例は、「うまくいくことを祈る」といった方針に頼ることの危険性も浮き彫りにしています。 より深刻な事態を防ぐために、何ができるでしょうか。端的に言えば、二要素認証（2FA）です。パスワードだけでアカウントにサインインする代わりに、2FAではログインのたびに追加のセキュリティチェックを設定できます。たとえば、2FAによる確認として、認証用の6桁のPINを携帯電話に送信したり、個人のデバイス上のアプリにランダムなコードを表示したりする方法があります。意外に思われるかもしれませんが、ほとんどの組織ではこのオプションが提供されています。ただし、デフォルトでは無効になっていることが少なくありません。追加のセキュリティチェックによるわずかな手間は、データ損失やID盗難からの復旧に伴う苦痛をはるかに下回ります。