パスワードの使い回しは、文字数や複雑さより重い問題です。他社のサービスから流出したパスワードが社内システムでも通ってしまえば、こちらの対策とは無関係に突破されます。この記事では、使い回しの有無を確認する現実的な手段と、やってはいけない調べ方を整理します。
まず結論：完全な把握はできません
社員が社外のサービスで何を使っているかを、会社が知る手段はありません。これは技術の問題ではなく、そもそも観測できない範囲です。
そのため目的を切り替える必要があります。
- × 使い回している人を特定する
- ○ 使い回されていても突破されない状態を作る
後述しますが、実務としてはこちらの方が確実で、費用も結果的に小さくなります。ただし現状把握が必要な場面もあるので、まず確認手段から扱います。
やってはいけない調べ方
社員にパスワードを申告させる
「使っているパスワードを提出してください」という調査は、絶対に行わないでください。
- 提出物そのものが、社内で最も危険な文書になる
- 正直に書かれる保証がなく、結果も信用できない
- 会社がパスワードを保有した事実が残り、事故時の説明が不可能になる
調査した結果として新たなリスクを作る形になります。
アンケートで自己申告させる
「使い回していますか」という質問には、実態より良い答えが返ります。回答者に不利になる質問なので当然です。
数字は集まりますが、その数字をもとに判断すると実態から離れます。
漏洩リストに社員のメールアドレスを一括入力する
流出情報を検索できるサービスに、社員のメールアドレスをまとめて入力する方法です。入力先の運営が信頼できるか確認せずに行うべきではありません。
社員のアドレス一覧を外部に渡す行為になり、それ自体が個人情報の提供にあたる可能性があります。
使える確認手段
① 弱いパスワード・共通パスワードの検出（Active Directory環境）
Active Directoryを運用している場合、パスワードそのものを見ずに、ハッシュ値の比較で問題を検出できます。
検出できるのは主に次の3つです。
- 既知の流出パスワードと一致しているアカウント
- 社内で同じパスワードを使っている複数のアカウント
- パスワードが設定されていない、または期限切れのアカウント
2つ目が特に重要です。社内での使い回しは、実際に検出できます。「営業部の全員が同じパスワード」のような状態はここで露見します。
実施には注意が必要です。ハッシュ値を扱う作業はドメイン管理者権限を要し、扱いを誤ると重大な情報漏洩になります。手順を理解している担当者が、記録を残して実施すべき作業です。「試しにやってみる」で着手する範囲ではありません。
② 漏洩した資格情報の検出（クラウドID基盤）
Microsoft Entra ID（旧Azure AD）などのクラウドID基盤には、流出が確認された認証情報と一致するアカウントを通知する機能があります。
管理者は「どのアカウントが危険な状態か」を、パスワードを見ることなく把握できます。
ただしこの種の機能は上位のライセンスに含まれることが多く、契約内容によって使えない場合があります。ご利用中のプランで有効かどうかは、管理画面またはライセンスの内容をご確認ください。
③ ログから間接的に推定する
直接の検出ではありませんが、使い回しが悪用されている兆候はログに出ます。
- 正しいパスワードでのログインが、通常と異なる時間帯や地域から発生している
- 特定のアカウントに対して、少数回の試行で成功している
- 複数のアカウントに対して、順番に1〜2回ずつ試行されている
3つ目は、流出したリストを使った攻撃の典型的な形です。大量の試行ではないため、回数の閾値では検知できません。
確認方法は 不審なログインの確認方法、 アクセスログの監査で扱っています。攻撃の仕組みは パスワードリスト攻撃を参照してください。
検出できても、対処が難しい
仮に「使い回している社員」を特定できたとして、その後どうするかを考えておく必要があります。
| 対処 | 結果 |
|---|---|
| 本人に注意する | 社外サービス側は変更されない。社内だけ変えても効果は限定的 |
| 全員のパスワードを強制変更する | 数か月後に元の傾向に戻る。付箋が増える副作用がある |
| 条件をさらに厳しくする | 覚えられず、より単純な規則性で作られる |
どれも根本の解決になりません。使い回しは、覚えられる数を超えたパスワードを持たせている構造から発生します。個人の是正では止まりません。
紙に書く行為との関係は パスワードを付箋で管理している状態の危険で扱っています。
確実な手段は「使い回されても通らない状態」
二要素認証を入れると、パスワードが一致していてもログインできません。使い回しの有無を調べる必要そのものが小さくなります。
これが「検出より仕組み」を推す理由です。
- 調査の対象が社外まで及ばない問題を、社内の設定だけで無効化できる
- 社員の行動を変えさせる必要がない
- 新しく入社した人にも自動的に適用される
個人情報や重要データを扱う範囲から段階的に入れる方法もあります。全社一律である必要はありません。
多要素認証の基本、 多要素認証の展開と運用、 多要素認証の費用構造を参照してください。
費用をかけずに今日できること
仕組みの導入に時間がかかる場合、先に効くのは次の2つです。
- 定期変更の強制をやめる：単純な規則性で作る動機を減らせます
- 社名・サービス名を含むパスワードを禁止する：流出リストに載りやすい形を避けられます
設計の考え方は パスワードポリシーの設計、Windows環境での設定は グループポリシーによるアカウント保護の設定で扱っています。
よくある質問
社員が社外で同じパスワードを使っているか調べられますか
調べられません。社外サービスでの利用状況は会社から観測できない範囲です。検出ではなく、使い回されても突破されない状態を作る方が確実です。
社内での使い回しは検出できますか
Active Directory環境であれば、ハッシュ値の比較により同一パスワードを使っている複数アカウントを検出できます。ただしドメイン管理者権限を要する作業で、扱いを誤ると重大な漏洩につながります。
全員に強制変更させれば解決しますか
数か月で元の傾向に戻ります。覚えられる数を超えている構造が変わっていないためです。紙に書き留める行為が増える副作用もあります。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、パスワードの管理と認証の状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。