「起きたらiPhone勢はここを見ようね」というXの投稿が、10月22日の朝から一気に広がっています(14時時点で約6.3万いいね・約5万ブックマーク・950万表示超え)。
見る場所は、iPhoneの「パスワード」アプリ →「セキュリティ」。ここに赤い「漏洩の危険がある(漏洩の可能性がある)パスワード」が出ていたら、そのサービスのパスワードを変えましょう、という話です。
ただし、ここでわかるのは「そのパスワードが、過去に世の中で漏れたパスワードの一覧に入っているか」。いま話題のPHPの脆弱性で自分の情報が漏れたかどうかは、この画面ではわかりません。やり方と、表示の意味を順番にまとめます。
ひとことで言うと
- 何の投稿?:iPhoneの「パスワード」アプリの「セキュリティ」画面を見よう、という呼びかけ(10/22 7:37投稿)。返信でChromeの「パスワード チェックアップ」も紹介
- なぜ今?:前の日からPHP(Webサイトを動かす仕組み)の重大な脆弱性で、pixivやグラブルなど多くのサービスが緊急メンテ。「自分は大丈夫?」と不安になった人が一斉に確認した
- 見る価値は?:あります。使い回しや、過去に漏れたパスワードを見つけるのにはとても便利
- でも:PHPの件で漏れたかどうかの判定ではない。投稿者自身も、のちに「この情報だけで判断するのは少し甘かったかも」と追記している
iPhoneでパスワードの漏洩を確認する方法(やり方)
iOS 18以降のiPhoneには「パスワード」というアプリが入っています(ホーム画面で見つからなければ、画面を下にスワイプして検索に「パスワード」)。
- ①「パスワード」アプリを開く(Face IDなどで本人確認)
- ②「セキュリティ」をタップ
- ③ 赤い「!」がついた「漏洩の危険があるパスワード」が出ていないか見る
- ④ 出ていたら、そのサービスを選んで「パスワードを変更…」から、新しいパスワードに変える
グレーの「!」は「使い回しのパスワード」や「推測されやすいパスワード」。今すぐ危ないという意味ではありませんが、ひとつ漏れると全部に入られる原因になるので、時間のあるときに変えておくと安心です。
検出の機能は「設定」→「アプリ」→「パスワード」の「漏洩の危険があるパスワードを検出」でオン・オフできます。オフになっていると何も出ないので、念のため確認を。iOS 17以前は「設定」→「パスワード」→「セキュリティに関する勧告」が同じ画面です。
Chromeの「パスワード チェックアップ」のやり方
パスワードをGoogle(Chrome)に保存している人は、こちらも見ておきましょう。投稿者の返信で紹介されている方法です。
- Chromeアプリの右下「…」→ パスワード マネージャー →「パスワード チェックアップ」(表示はバージョンで少し違います)
- パソコンやほかのブラウザからでも、Googleのパスワード チェックアップ(passwords.google.com)で確認できる
- 「不正使用されたパスワード」が出たら変更、「使い回されているパスワード」「安全でないパスワード」も順に見直す
「漏洩の可能性」の赤文字は何を意味する?
Appleの公式資料(Appleプラットフォームのセキュリティ)によると、iPhoneは保存しているパスワードを、「過去の漏洩で出回ったことが分かっているパスワードの一覧」(資料の時点で約15億件)と照らし合わせています。
- 照らし合わせは、パスワードそのものではなく、暗号化した値の一部だけを使う仕組み。Appleにパスワードが送られないように作られている
- つまり赤文字=「このパスワード、どこかの漏洩データに入っているよ」という意味
- 同じ文字列を別の人が使っていて漏れた場合でも出る。「あなたのアカウントが今日乗っ取られた」という意味ではない
赤文字が出ていたら、どこから漏れたかに関係なく、そのパスワードはもう安全ではありません。変えるのが正解です。
PHPの脆弱性で漏れたかどうかは、わかる?
わかりません。理由はシンプルで、この画面は「すでに出回っている漏洩パスワードの一覧」と比べているだけだからです。
- PHPの件は、10/21夜に修正版が出たばかり。各社は「念のため」の緊急メンテで、10月22日昼の時点で、この件で個人情報やパスワードが漏れたと発表したサービスは見つけられていません
- もし今後どこかで漏れたことが分かれば、そのサービスから公式のお知らせ(メールやサイト)が出るのが普通
- なので、いま赤文字が出た人は「過去のどこかの漏洩」に入っていた、と考えるのが自然
とはいえ、これをきっかけに使い回しを直すのは、どの漏洩に対しても効く対策。投稿者の「パスワードの使い回しを全部変更 or 携帯のアップデート」という締めくくりは、そのとおりです。どのサービスが止まっていたかは、PHP脆弱性で止まるサービス一覧にまとめています。
今日やることチェックリスト
- iPhoneの「パスワード」→「セキュリティ」で赤い「!」がないか見る
- Chromeの人は「パスワード チェックアップ」も
- 赤いものは今日変える。メールアドレスと同じパスワードを使っていたら、メールのパスワードから先に
- 使い回しは時間のあるときに少しずつ。パスキーや2段階認証が使えるサービスは、ついでにオンに
- iPhoneを最新のiOSに更新
- 「パスワードが漏れました」というSMSやメールのリンクは押さない。変更は必ずアプリや公式サイトを自分で開いて行う(騒ぎに乗じた偽の通知が出回りやすい)
Xの反応
投稿には約5万件のブックマークがつき、実際に確認してみた人が多いことがうかがえます。一方で「意味がない」という意見もあり、投稿者は追記で、この情報だけで漏洩したかどうかを判断するのは「少し甘かったかもしれません」と補足しました。
つまり、「PHPの件の確認」としては不正確、「自分のパスワードの健康診断」としてはかなり有益、というのが落としどころです。
まとめ
- iPhoneは「パスワード」アプリ→「セキュリティ」、Chromeは「パスワード チェックアップ」で確認できる
- 赤文字=そのパスワードが過去の漏洩データに入っている。変えるのが正解
- PHPの脆弱性で漏れたかどうかは、この画面ではわからない(10/22昼時点で流出の発表は見つからず)
次に読むなら:スマホに突然出る怖い画面の正体は「盗聴されています」はニセの警告でまとめています。
コメント