ユーザー名やパスワードが流出するデータ漏えいが長年にわたって頻繁に起きており、犯罪にも使われている。盗まれた莫大な数のユーザー名とパスワードの組み合わせもネット上で無料で出回っており、犯罪者にとってはほとんど価値のないものになってしまったほどだ。
それもほんの序の口に過ぎず、最近ではもっと多くの認証情報がブラック・マーケットで売られている。このような状況だけに、自分の使っているパスワードのうちのどれを変える必要があるのか、把握するのはますます難しくなっている。そこで、グーグルは「Chrome」のユーザーを保護すべく、新しい拡張機能を考案した。
このほどグーグルが発表したChrome拡張機能「Password Checkup」は、ユーザーがさまざまなサイトで入力するパスワードが、流出したパスワードのリストに載っていないかチェックしてくれる機能だ。この機能は、ユーザーがChromeでネットをブラウジングしていると、常に実行される。普段は何もしていないように見えるが、流出したとわかっているユーザー名とパスワードのペアを見つけると警告を発してくれるのだ。
このツールは実際のリスクを指摘してくれるまで、ユーザーが注意を引かれることはないだろう。ここ数年で報道されたデータ流出やサイバー犯罪のニュースに参っていた人たちも、Password Checkupを使えばパスワードの“支配権”を多少なりとも取り戻すことができるはずだ。
## 流出データのデータベースを参照
グーグルのアカウントは、ユーザーのメールアドレスへの“鍵”になっていることが多い。このため特に慎重に扱わなければならないことから、グーグルはこれまでも（グーグルがハッキングされたからではなくユーザーが複数のサイトでパスワードを流用したせいで）グーグルの認証情報が流出した際には、ユーザーに知らせる取り組みを続けてきた。
グーグルは新しいPassword Checkupのために、合計40億のユーザー名とパスワードからなる流出した認証情報のデータベースを使っている。グーグルのセキュリティチームが同社にとってより大きな脅威の検出に取り組む過程でオンラインでアクセスして集めたデータベースだ。
グーグルによると、同社は盗まれた認証情報を買ったことはない。また、セキュリティ専門家のトロイ・ハントが運営している「Have I Been Pwned（HIBP）」など、ほかのセキュリティのための情報収集プログラムとも、いまのところ協力してはいない。しかし、盗まれた認証情報を専門家から提供されれば受け入れるという。
グーグルはそれらの情報を、流出したパスワードをユーザーが二度と使わないようにするためにすでに利用している。また、スマートホーム機器を開発するNestなどグーグルの別の部門も、アカウント乗っ取りの問題に対処するために流出したパスワードの使用を防ぐ機能に取り組んでいる。
「わたしたちは、これまでに1億1,000万件ほどのグーグルのパスワードをリセットしました。大規模な認証情報やデータの流出があったためです」と、同社で不正利用や詐欺対策の研究リーダーを務めるエリー・ブルツタインは言う。
「わたしたちの狙いは、どこでもそれができるようにすることです。目立たないようにバックグラウンドで機能し、10秒たつと『これは流出したデータです。パスワードの変更をおすすめします』という警告をユーザーに出します。警告が出たら、100パーセント変更してもらいたいのです」
## グーグルが取り組んだ「4つの脅威」への対策
グーグルがもつ流出した認証情報のデータベースは拡大しているが、どうやら完ぺきではないようだ。そこで試しに、すでに流出したことがわかっている認証情報でログインして、Password Checkupをテストしてみた（つまり、パスワードをまだリセットしていないアカウントが、ひとつあったわけだ）。しかし、Password Checkupは警告を発しなかった。