半年使ったアカウントの中身を考えてみてください。メールより率直な会話、生成した画像、 支払い方法、そしてそれを人生の他の部分と結びつけるメールアドレス。
そのうえで、運営はたいてい技術者の少ない小さな会社で、監督官庁が肩越しに見ているわけでも ありません。価値は高く、守りは並。その差が問題のすべてです。
この種のアプリが通常していないこと
すべてではありませんが、確認していないなら前提にしてよい程度には一般的です。
- 二要素認証がない。 あなたのメールを持つ者とアカウントのあいだには、パスワード一枚 しかありません。
- セッション一覧がない。 どこからログインしているか分からず、見覚えのないセッションを 切ることもできません。
- ログイン通知がない。 新しい端末からのサインインは静かに通ります。
- アカウント回復が薄い。 これは両刃です。締め出されたあなたには難しく、サポートに対して あなたになりすます者には易しい。
- セッションが長生きする。 使わなくなった端末が何か月もログインしたままのことがあります。
2FAとセッション一覧を備えているアプリがあれば、それは注目に値します。たいてい他の部分に ついても考えている開発体制を示しています。
効く四つのこと
1. 使い回さないパスワードを、管理ソフトから
当たり前で、それでも勝負のすべてです。現実的な脅威はこのアプリが狙われることではなく、 無関係なサービスから漏れたパスワードがここで試される攻撃です。
パスワード管理ソフトを使えば費用はかかりません。使い回しているものはすべて、無関係な 漏えい一件で他人のものになります。
2. 専用のメールアドレス
これは二つのことを同時にやります。本来の身元からアカウントを辿れなくし、そして一方が 破られても他方に波及しないようにします。
使い捨てではなく、自分で管理する本物のメールボックスを使ってください。一年後にパスワード 再設定を受け取れる必要があります。請求の領収書も同じアドレスで受け取るべきで、理由は 決済のプライバシーにあります。
3. 2FAがあるなら有効にする
用意されているなら使い、SMSより認証アプリを選んでください。用意がないなら、代わりに メールアカウントを2FAで守ってください。そこが回復経路であり、そこを固めれば再設定 リンクを送れるすべてのアプリを一度に守れます。
アプリ側が何も提供してくれないときに打てる、最も効果の大きい手です。
4. 使い終わった端末からログアウトする
共有のものや借りたものは特に。セッション一覧がないアプリなら、パスワードの変更が、多くの 実装で他のセッションを無効化する乱暴な手段になります。
技術ではない脅威
このカテゴリで実害を出すのはこちらなので、はっきり書いておきます。ロックの解けたあなたの 端末に触れる人です。
どんなパスワード方針もこれには効きません。効くのは端末側の作業で、 共有端末での使い方にまとめてあります。
アプリから情報が漏れたら
起こります。手順は毎回同じです。すぐにパスワードを変え、使い回していた先でも変える。 依頼していないパスワード再設定が来ないかメールを見張る。支払い方法を確認し、カード番号の 差し替えを検討する。そして残るかどうかを決める。明確な告知と現実的な時系列とともに扱われた 漏えいは、三か月後に報道で判明した漏えいとは別の信号です。
運営が実際に何を言っているかを読んでください。範囲について — つまり会話が含まれていたか について — の曖昧さは、それ自体が答えです。
契約する前に
支払う前の二分間の設定確認は、どんな宣伝ページよりも多くを教えてくれます。2FAはあるか。 セッション一覧はあるか。自分で削除できるのか、それともサポートの宛先だけか。
何年もの履歴を積み上げる前提で作られたアプリ — Nomi、Replika — ほど、 これは効いてきます。最終的にあなたについて最も多く抱えることになるからです。その中身は アプリが知っていることに、手放し方は アカウントの削除にあります。
