ライフハッカー［日本版］

自宅の鍵や携帯電話と同じ、もしくはそれ以上に大事なGoogle／Gmailアカウント。個人情報の宝庫であることはもちろんですが、ともすると仕事の秘密情報まで漏洩してしまうおそれがありますね。

デジタル系ブログメディア「Digital Inspiration」では、Google/Gmailアカウントをハッキングされてしまった筆者が、実体験を元に学んだセキュリティ術を紹介しています。

正確にはどうやってパスワードが破られたのか不明ながら、ハッキングに気づいた筆者はすぐにTwitter上で他のユーザのヘルプを求めたそうです。彼らの情報に従い、そのアカウントの所有者であることを認証してもらうためGoogle復旧要請フォームに必要項目を入力し、オンライン提出した後、Googleと何度かやりとりした末、3時間かけてようやくアカウントの復旧にこぎつけたのだとか。

この苦い経験から学んだポイントとして、以下の10点を挙げています。
　

• その1: Google/Gmailアカウントにログインし、電話と連携させておく。こうすれば、第三者が自分のGoogleパスワードを回復させようとしている都度SMSテキストメッセージを受信することができる。
• その2: Google/Gmailアカウントのセカンダリメールとして、Yahoo!MailやGmailなどで新規メールアドレスを作る。メールのチェックは手動もしくはPOP3/IMAP経由でデスクトップクライアントから行う。自動転送機能はオフにしておくこと。
• その3: 新規メールアドレスのパスワードはメインのGoogle/Gmailアカウントと異なるものを設定する
• その4: Googleアカウントに関する以下の情報を紙に書き出す。第三者に自分のGoogleアカウントやメールアドレスが乗っ取られてしまったとき、Googleの復旧認証で必要だ。
  1. Gmail・Googleアカウントを作った年月
  2. （他のユーザからの招待でアカウント作成した場合）招待を送った人のメールアドレス
  3. 頻繁にやりとりしているメールアドレス5つ
  4. Gmailアカウントで作成したラベル名
  5. AdSense、Orkut、Bloggerなど他のGoogleサービスを使いはじめた年月日（正確な日がわからない場合は、できるだけ近い日を推測すること）。
• その5: Wi-FiネットワークでGmailや他のGoogleサービスにアクセスしている場合は、https://gmail.comなどのセキュアモードを使うこと。Gmailの設定画面＞「全般」の「接続方法」で「常にhttpsを使用する」にチェックしておく。多少動作が重くなるかもしれないが、この方が安全だ。
• その6:Gmail受信ボックスのフッター表示で、自分のアカウントがアクセスされているIPアドレスをチェックしよう。不明なIPアドレスを見つけたら、Googleのパスワードを速やかに変更すること。
• その7: Gmailから他のサービス（Yahoo!メールやHotmailなど）にメールをコピーしておくと、Gmailアカウントに問題が生じても、とりあえず過去のメールにはアクセスできる状態が確保される。OutlookやThunderbirdとGmailアカウントを連携させて、自動的にオフラインバックアップを取るようにするのもよい。
• その8: 予行演習をしておく。Google/Gmailアカウントをすべてログアウトし、Googleのこのフォームを使ってパスワードの復旧プロセスをやってみるのだ。この一連の流れを実践することで、SMS設定（上記その1参照）やセカンダリメールアドレス（上記その2参照）が正しく動作するかもチェックできる。
• その9:（Google Appsユーザのみ） メインのGoogle/Gmailアカウントとは別に、公開用のメールアドレスを持っておくこと。Google Appsのユーザは、ユーザ名を完全非公開にしたadmin用のアカウントも別に作っておくのもよい。
• その10:（Google Appsユーザのみ） Google Appsの管理画面にアクセスできなくなったら、自分がウェブドメインの真の所有者であることをGoogleに認証してもらうため、CNAMEを作成する必要がある。Google Appsの管理者のためのパスワードをリセットするには、以下のURLにアクセスすること。
  
  
  
  https://google.com/a/cpanel/～（ウェブドメイン名。例xyz.com）/VerifyAdminAccountPasswordReset

このほか、一般的なパスワードセキュリティ術としては、お気に入りの曲やサイトを活用する方法やより安全なパスワード設定のコツ、絶対に使ってはいけないパスワードなどが参考になります。できるだけ他人に知られないような安全なパスワードを設定することと、用途別にアカウントを使い分けることがセキュリティ確保のポイントのようですね。

Gmail and Google Apps Account Got Hacked [Digital Inspiration]

Kevin Purdy（原文／松岡由希子）
　

ＩＴアーキテクトのやってはいけない
設計、メソドロジ、実装・テスト、運用、セキュリティのアンチパターン