社員がパスワードを使い回しているか確認する方法とやってはいけない調べ方

パスワードの使い回しは、文字数や複雑さより重い問題です。他社から流出したパスワードが社内でも通れば、社内でどれだけ複雑なルールにしていても、そのまま入れてしまいます。

この記事では、使い回しを確認する現実的な手段と、やってはいけない調べ方を整理します。

まず結論：完全な把握はできません

最初に、確認できる範囲には限りがあることを押さえておきます。社員が社外のサービスで何を使っているかを、会社が知る手段はありません。

やってはいけない調べ方

よかれと思って行う調査が、新しいリスクを作ることがあります。

社員にパスワードを申告させる

「使っているパスワードを提出してください」という調査は、絶対に行わないでください。

• 提出物そのものが、社内で最も危険な文書になる
• 正直に書かれる保証がなく、結果も信用できない
• 会社がパスワードを保有した事実が残り、事故時の説明が不可能になる

アンケートで自己申告させる

「使い回していますか」と聞くと、実態より良い答えが返ります。回答者に不利な質問なので当然で、その数字で判断すると実態から離れます。

漏洩リストに社員のメールアドレスを一括入力する

流出情報の検索サービスに、社員のアドレスをまとめて入れる方法です。運営が信頼できるか確認せずに行うべきではありません。

アドレス一覧を外部に渡すことになり、それ自体が個人情報の提供にあたる可能性があります。

使える確認手段

パスワードそのものを見ずに確かめる方法は、主に3つあります。

① 弱いパスワード・共通パスワードの検出（Active Directory環境）

Active Directoryがあれば、ハッシュ値の比較で問題を検出できます。見つかるのは次の3つです。

• 既知の流出パスワードと一致しているアカウント
• 社内で同じパスワードを使っている複数のアカウント
• パスワードが設定されていない、または期限切れのアカウント

2つ目が特に重要で、「営業部の全員が同じパスワード」のような状態はここで分かります。

② 漏洩した資格情報の検出（クラウドID基盤）

Microsoft Entra ID（旧Azure AD）などには、流出が確認された認証情報と一致するアカウントを知らせる機能があります。管理者はパスワードを見ずに、危険なアカウントを把握できます。

ただし上位のライセンスに含まれることが多く、契約によっては使えません。管理画面かライセンスの内容で確認してください。

③ ログから間接的に推定する

直接の検出ではありませんが、使い回しが悪用されている兆候はログに出ます。

• 正しいパスワードでのログインが、普段と違う時間帯や地域から発生している
• 特定のアカウントが、少ない試行回数で成功している
• 複数のアカウントに、順番に1〜2回ずつ試行されている

3つ目は、流出リストを使った攻撃の典型的な形です。試行が少ないため、回数の閾値では検知できません。

確認方法は不審なログインの確認方法とアクセスログの監査、攻撃の仕組みはパスワードリスト攻撃で扱っています。

検出できても対処が難しい

使い回している社員を特定できても、その後の打ち手は限られます。

どれも根本の解決になりません。使い回しは、覚えられる数を超えたパスワードを持たせている構造から起きるためです。紙に書く行為との関係はパスワードを付箋で管理している状態の危険で扱っています。

確実な手段は「使い回されても通らない状態」

検出に力を入れるより、仕組みで効かなくする方が確実です。二要素認証を入れると、パスワードが一致していてもログインできません。

• 社外まで調べられない問題を、社内の設定だけで効かなくできる
• 社員の行動を変えさせる必要がない
• 新しく入社した人にも自動的に適用される

あわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、使い回されたパスワードでのログインの失敗や見覚えのない接続元に、1台ずつ調べなくても気づけます。

個人情報や重要データを扱う範囲から段階的に入れる方法もあります。詳しくは多要素認証の基本、多要素認証の展開と運用、多要素認証の費用構造を参照してください。

費用をかけずに今日できること

仕組みの導入に時間がかかる場合は、先に次の2つが効きます。

• 定期変更の強制をやめる：単純な規則性で作る動機を減らせます
• 社名・サービス名を含むパスワードを禁止する：流出リストに載りやすい形を避けられます

設計の考え方はパスワードポリシーの設計、Windowsでの設定はグループポリシーによるアカウント保護の設定で扱っています。

全PC・サーバーを1台ずつ見て回らずにまとめて管理する方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。

普段の管理が楽になると何が変わるか

使い回しを「調べ続ける」運用は、担当者の手間がかかるうえ、終わりがありません。パスワードだけでは入れない状態にしておけば、使い回しの有無を一人ずつ確かめる必要が小さくなります。ログイン記録を1か所で見られるようにしておくと、社員から「ロックされた」と言われたときも、席まで行かずに、どのPCで誰が失敗したかをその場で確かめられます。取引先のチェックシートで使い回しへの対応を聞かれたときも、仕組みと記録で説明できます。

よくある質問

社員が社外で同じパスワードを使っているか調べられますか

調べられません。社外サービスでの利用状況は会社から観測できない範囲です。検出ではなく、使い回されても突破されない状態を作る方が確実です。

社内での使い回しは検出できますか

Active Directory環境であれば、ハッシュ値の比較により同一パスワードを使っている複数アカウントを検出できます。ただしドメイン管理者権限を要する作業で、扱いを誤ると重大な漏洩につながります。

全員に強制変更させれば解決しますか

数か月で元の傾向に戻ります。覚えられる数を超えている構造が変わっていないためです。紙に書き留める行為が増える副作用もあります。

いまの運用を棚卸ししてみる

applippliの無料棚卸しでは、10問・約3分で、パスワードの管理と認証の状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。