今回の楽天証券の不正アクセス、年初のSBI証券の不正アクセスの被害など、また爆発的に生成AIのサービスやツールが増えるに連れて、今後益々個人もセキュリティ意識の向上が急務になります。

楽天証券で不正アクセス後に持ち株を売られ、中国株を大量に買われる事案が発生中

丁度海外でも以下のポストが注目されており、インターネットの巨大な詐欺ネットワークとデジタル衛生の重要性について書かれていますので翻訳してご紹介します。

I wrote a quick new post on "Digital Hygiene".

Basically there are some no-brainer decisions you can make in your life to dramatically improve the privacy and security of your computing and this post goes over some of them. Blog post link in the reply, but copy pasting below… pic.twitter.com/gRyeVouko5

— Andrej Karpathy (@karpathy) March 18, 2025

ネット上には、詐欺を目的とした広大なネットワークが存在する

インターネット上には、詐欺を目的とした広大なネットワークが存在し、私たちの個人情報やデータを狙っています。

その始まりは、大手テクノロジー企業が広告のために個人の詳細なプロフィールを構築し、それをデータブローカーに販売することから始まるといいます。

さらに、頻繁に発生するデータ流出により、個人情報がダークウェブに流出し、ハッキング、フィッシング、ランサムウェア攻撃、クレジットカード詐欺、ID盗難など、様々なサイバー犯罪の温床となっています。

そこで、このガイドでは、日常のデジタルセキュリティを向上させるための基本的な対策から、少し専門的なものまで紹介します。

1. パスワード管理

パスワードは「第一の要素」、つまり「あなたが知っている情報」です。

初心者のままではいけません。登録するすべてのウェブサイトやサービスに対して、新しくてユニークで、推測しにくい強力なパスワードを作成しましょう。

これをブラウザ拡張機能と組み合わせれば、パスワードの生成や自動入力を非常に素早く行うことができます。例えば、私は「1Password」を使っていて、気に入っています。

この方法により、あなたのパスワードが

– 推測やクラックされにくくなり、
– たった一度の流出で他の多数のサービスまで乗っ取られる

といったリスクを防ぐことができます。その代わりに、すべての「第一の要素（パスワード）」が一か所に集まることになるので、その保管場所をしっかりと守る必要があります。

2. ハードウェアセキュリティキー（2要素認証）

あなたの人生で最も重要なサービス（例：Google や 1Password）は、必ず「2要素認証」、つまり「あなたが持っているもの」で追加の保護を施す必要があります。攻撃者がこれらのサービスにアクセスするには、両方の要素を手に入れる必要があるのです。

多くのサービスで一般的に使われている「2要素認証」は電話番号で、パスワードに加えて、SMSで送られてくるPINコードを入力するという仕組みです。

これは、2要素認証が全くない状態よりは明らかに良いですが、実は電話番号を使う方法は非常に脆弱であることが知られています。その理由は「SIMスワップ攻撃」です。

これはつまり、攻撃者があなたの携帯会社に電話し、あなたになりすまして、あなたの電話番号を自分のスマホに移すことが意外と簡単にできてしまう、というものです。

嘘のように聞こえるかもしれませんが、実際に起きていることで、私の周りにもこの攻撃の被害に遭った友人が何人もいます。だからこそ、ハードウェアセキュリティキーの購入と設定を強くおすすめします。これは業界標準の強力な保護手段です。

私は特に「YubiKey（ユビキー）」を愛用しています。これらのデバイスは、プライベートキー（秘密鍵）をデバイス内部のセキュリティチップに生成・保存する仕組みになっており、そのキーがあなたのノートパソコンのような汎用コンピュータに露出することはありません。

一度設定すれば、攻撃者はパスワードを知っているだけでは不十分で、あなたのセキュリティキーを実際に物理的に持っていないとログインできないようになります。これだけで、あなたがアカウントを乗っ取られるリスクは約1000分の1にまで低下します。

ハードウェアキーは2〜3本購入して設定し、それぞれを別々の物理的な場所に保管することをおすすめします。そうすることで、1つ紛失してもアカウントにロックアウトされる心配が減ります。

これらのセキュリティキーは、いくつかの認証方式をサポートしています。最も強力な保護を得るためには、サービス側の「第二の要素」設定の中から 「U2F」 という方式を探してください。Google や 1Password はこれに対応しています。

どうしてもU2Fが使えない場合は、「TOTP（時限ワンタイムパスワード）」を使う手もあります。なお、YubiKeyはTOTP用の秘密鍵も保存できるので、YubiKey Authenticatorアプリを使って、スマホにYubiKeyをかざすだけでコードを取得することができます。

これは、他のソフトウェア型認証アプリにTOTPの秘密鍵を保存するよりもはるかに安全です。なぜなら、一般的なコンピュータやスマホは信用しすぎてはいけないからです。

この投稿では詳細までは触れませんが、要点としては、YubiKeyを2～3本使ってセキュリティを大幅に強化することを強くおすすめする、ということです。

– SMS認証は危険（SIMスワップ攻撃で簡単に乗っ取られる）。
– 物理的なセキュリティキー（例：YubiKey）を使用し、ハッキングリスクを大幅に削減。
– 複数の YubiKey を用意し、別々の場所に保管することで、紛失時のリスクを軽減。

3. 生体認証（Biometrics）

iPhone なら Face ID を活用し、アプリのロックにも使用する。

4. セキュリティ質問の対策

「母親の旧姓は？」といった「セキュリティ質問」は危険です。ネット上で簡単に調べられる情報なので、ランダムな答えを生成し、パスワードマネージャーに保存するのがベスト。

5. ディスク暗号化

Mac の場合、「FileVault」を必ずONにすることで、PCが盗難された場合でもデータを保護することができます。

6. スマートデバイス（IoT）の危険性

「スマート家電」はできる限り使わない。

– インターネット接続されたデバイスは、ハッキングされるリスクが高い。
– 例：CO2モニターを購入したら、データを確認する前に個人情報を要求された。
– マイクやカメラ付きのIoT機器は、プライバシーの脅威になり得る。

7. メッセージアプリの選び方

– Signal を推奨（エンドツーエンド暗号化、メタデータを保存しない）。
– メッセージの自動削除（例：90日）を設定し、情報漏洩リスクを軽減しよう。

8. ブラウザと検索エンジンの選択

– Brave ブラウザを推奨（プライバシー重視の Chromium ベースブラウザ）。
– Brave Search を推奨（プライバシー優先の検索エンジン、Googleとは無関係）。
– DuckDuckGo は実質的に Bing ベースなので注意。

9. クレジットカードの使い方

– 各サイトごとに異なるクレジットカード番号を使用（Privacy.com などのサービスを利用）。
– 1つのクレジットカードを複数のサイトで使わない（情報流出のリスクを減らす）。

上限を設定（例：1か月$50）し、不正利用の被害を最小限に抑える。

10. 住所情報の管理

– ネット上で物理的な住所を提供しない（仮想住所サービスを利用）。
– Virtual Post Mail を活用し、郵便をデジタル化。

11. Eメールのセキュリティ

– Gmail は便利だが、Proton Mail などのプライバシー重視のメールサービスも活用。
– メール内のリンクは絶対にクリックしない（フィッシング詐欺対策）。
– 画像の自動読み込みをオフにして、追跡を防ぐ。

12. VPNの活用

– Mullvad VPNを推奨（ログを保存せず、匿名性が高い）。
– 信頼できないサービスを使う際にVPNを利用し、IPアドレスを隠す。

13. 広告・トラッキング対策

– DNSレベルで広告をブロック（NextDNS推奨）。
– 物理的な代替手段としてPi-holeも有効（ネットワーク全体で広告を遮断）。

14. ネットワーク監視

– Little Snitch を使用し、どのアプリがどこに通信しているか監視。
– 不審なトラフィックがあればアプリを削除し、リスクを最小限に。

結論：安全なデジタルライフを確立する

必要最小限の情報だけを提供し、データの漏洩を防ぐ。ソフトウェアに対価を支払うことで、自分が「商品」にならない環境を作る。利便性とプライバシーのバランスを取ることが重要。

著者の「まだできていないこと & 今後の改善点」

– GmailやG Suiteは依然として使い続けている（便利すぎる…）。
– 𝕏（旧Twitter）を利用（Mastodonなどに移行するのが面倒）。
– VoIPの番号サービス（MySudoなど）には興味あり。
– ユニークなメールアドレスを作る習慣を身につけたい。

この「デジタル・ハイジーン」の旅は、まだ続いています。