最近、情報流出のニュースをよく見かけます。多かれ少なかれ、私の情報もどこかで漏れているはずです。ダークウェブあたりで流出データを仕入れ、IDでグループ化してまとめれば、あっという間に立派な攻撃用リストの完成です。（私は作りませんし、攻撃もしませんよ。）
そのリストを使って勝手にログインされ、ピザでも大量注文されたらたまらない…というのは冗談半分ですが、そんな面倒ごとに巻き込まれたくないのも本音。念のため、対策を取ることにしました。
Webサービスに登録しておけば便利なのは確かです。
これまでも用途に合わせて複数のメールアドレスを使い分けてはいましたが、近頃の流出規模を見ていると、もはやメールアドレスすら定期的に変えなければいけない時代に入ったのだと実感します。情報は漏れるのが当たり前という前提で、ユーザー側も自衛しなければならない。そう思い立ち、この土日はひたすらその対策を行なっていました。
生活のあれこれをオンラインで済ませている分、登録サービスの数はかなりのもの。新規のアドレスを作り、ログインしては登録情報を変更し、ログアウトする。その果てしない繰り返しです。
黙々と作業を進める中で、いくつか考えさせられることがあったので書き残しておきます。
ひとつは、IDがメールアドレスであるにもかかわらず、後から変更できないサイト・アプリが意外とあること。変更できないとなると、残された選択肢は退会くらいしかありません。私自身はポイントなどに執着がないので退会で構いませんが、そのサービスが好きでコツコツとポイントを貯めてきた人にとっては、なかなかの致命傷です。
もうひとつは、2段階認証や多要素認証が用意されていないこと。Webサイトなら対策がまだ行われていない（もしくは経営者がイケてない）だったとしても、専用アプリで未対応なのはなぜなのだろうと、考えてしまいます。AppleやGoogleのアプリ審査で、多要素認証がないものは落としてくれればいいのに、とさえ思ってしまうほどです。
一方で、ごく少数ですがIDがメールアドレスではないサービスもありました。一昔前は、任意の英数字でIDを決めるのが当たり前だった記憶があります。ある程度のリテラシーは求められるものの、今となってはむしろこちらのほうが理に適っているのではないかと感じました。IDがメールアドレスだからこそ芋づる式に使い回され、流出したときにリスト化されてしまう。サイトごとにランダムな独自IDが使われていれば、ここまで状況が悪化することもなかったのかもしれない、などと思ったりもします。（パスワードの使い回しはしない前提）
とはいえ、変更作業はまだまだ終わらない。
焦らず、少しずつ進めていこうと思います。
