【使い回し】1つの流出が全アカウントを危険にする理由

趣味の掲示板で使っていたパスワードが、偶然メインのメールアドレスと同じだった——その一例だけで、請求メールの転送設定が書き換えられるケースがあります。使い回しは「便利さ」の代償に全アカウントの共通鍵を配っている状態です。

クレデンシャルスタフィングの3ステップ

1. 漏えいデータベースからメール＋パスワードのペアを収集
2. ボットがAmazon・PayPal・メール等へ秒間数百回ログイン試行
3. 成功した組み合わせを再利用・転売

攻撃側は「弱いサイト」から侵入し、強いサイトを狙い撃ちします。あなたが弱かったサービスが犯人になることが多いのです。ペアリストに載るのは平文保存されたデータベース漏えいが主因で、ハッシュが強くても別サイトで同じ平文なら関係ありません。

数字で見る被害のスピード

公開されている漏えいリストは数十億件規模に達することがあります。パスワード変更のメールが届く前に、すでに別サービスで試行が始まっているケースも報告されています。対策は「後追い」ではなく先に一意化です。新規登録のたびにサイトごとに別のランダム文字列を作る無料ツールを開き、コピーしてから登録する習慣だけで、スタフィングの成功率は大きく下がります。

漏えい確認と「載っていた」後の動き

Have I Been Pwned 等でメールアドレスを照会すると、過去の漏えいイベントが返ることがあります。「載っていた＝今すぐ乗っ取られた」ではありませんが、その組み合わせは既知になります。載っていたサービスは最優先で変更し、同じ文字列を使っていた別サイトは一覧化してください。手順の詳細は漏えい疑い時の7項目チェックリストに沿うと漏れません。

優先して分けるべき3アカウント

1. メール（復旧の要）
2. 金融・決済
3. クラウドストレージ（身分証スキャン・写真）

これらは必ず別パスワードにし、パスワード管理アプリの選び方と無料版の線引きで保管を自動化します。マスターパスワードだけ覚え、個別は生成ツールから都度コピーする流れが現実的です。

使い回しをやめる実務手順

1. 現行パスワードを変更する順番表を作る（メール→銀行→その他）
2. パスワード生成ツールでサイトごとに16文字を新規作成（コピーのみ、送信なし）
3. 古いパスワードが漏れた疑いがある場合は漏えい疑いの対処手順を実施
4. 変更後、ブラウザに残った自動入力を削除し、古い値が再登録されないよう確認

家族・副業アカウントの落とし穴

家族共有の動画サービスや副業用ECに「メインと同じパスワード」を入れると、そこが破口になります。家族でのWi-Fi・共有アカウントの渡し方も参照してください。共有用は専用の長いランダムを別枠で用意し、仕事用メールとは絶対に分けます。

ブラウザ自動入力と「見えない使い回し」

同じメールアドレスに複数サービスの自動入力が紐づくと、意識せず同じPWが保存されます。管理アプリ導入後はブラウザ保存をオフにし、古いエントリを削除してください。新規登録画面では、必ず一意ランダムを生成してから貼り付ける習慣にすると、見えない使い回しが止まります。

SaaS・無料トライアルの罠

試用だけのサービスにメインPWを入れ、解約し忘れるケースが多いです。トライアルは捨てメール＋専用ランダムに分け、本番PWを入れないルールを決めます。解約時はアカウント削除まで完了させ、同じ組み合わせが再登録されないようにします。

まとめ

使い回しは時間を節約しません。1つの流出が連鎖します。今日から新規登録は無料パスワード生成ツールで一意の文字列を作り、管理アプリに保存する習慣をつけましょう。既存アカウントは週末1時間でメールと金融から順に置き換える計画を立てるだけでも、リスクは大幅に下がります。