パスキーを使っていたら、パスワードが分からなくなった

──Facebook乗っ取り未遂の記録

──Facebook乗っ取り未遂の記録

結論から書く。治療院のSNSアカウントは、パスキーを使っていても、パスワードと登録メールの管理を別に持っておく必要がある。今回、私はそれを実地で学んだ。

発端は一通のメール
11月のある夜、Metaのセキュリティ窓口から「アクセスを再開するためのコード」というメールが届いた。Facebookを使っている誰かが、私のMetaアカウントへのアクセスを求めた、という内容だった。自分では何も操作していない。知人のアカウントが乗っ取られた話を聞いたばかりだったので、コードは使わず、メール内のリンクも開かなかった。

送信元は本物のMetaのアドレスで、文面も正規のものに見えた。偽メールというより、誰かが私のアカウントに入ろうとした痕跡と見た方がよい。

警告のつもりの投稿が削除された

皆さんにも注意してもらおうと、コード部分を隠してメール画面をFacebookに投稿した。ところが投稿は削除され、私のアカウントのほうが警告を受けて審査中になった。公式のセキュリティメールに見える画像は、詐欺やなりすましと判定されやすいらしい。善意の注意喚起でも、メール画面をそのまま載せるのは避けた方がいい。

現在のパスワードが分からない

パスワードを変えようとして、手が止まった。変更画面は「現在のパスワード」を求めてくる。私はiPhoneのパスキーで顔認証ログインしていたので、パスワードそのものを覚えていなかった。

パスキーは、パスワードの代わりに端末と顔認証で入る仕組みで、それ自体は安全性が高い。ただ、パスキーを使っていてもパスワードはアカウントに残っている。誰かがそのパスワードやメールのコードで入ろうとしたとき、パスキーが盾になるわけではない。二段階認証とも別の設定である。

iPhoneの「パスワード」アプリに保存された値を試したが、これも違っていた。パスワードの更新日を見ると、自分で変えた覚えのない日付になっている。ログイン場所の一覧には、覚えのないアメリカからのログインが残っていた。時期は更新日と重なる。誰かが一度入り、パスワードを変えていた可能性が高い。

実際にやった手順

最初に、登録メールと電話番号が自分のものから変わっていないかを確かめた。ここが差し替えられていると、リセットのコードが相手に届いてしまう。幸い、変更はなかった。

そのうえで、パスワード変更画面の「パスワードを忘れた場合」から、自分のメールにコードを送らせて新しいパスワードを設定した。途中、iPhoneのアプリ内ではエラーが出て、ログアウトまでしてしまった。パソコンのブラウザでFacebookを開き直し、「設定とプライバシー」から「Metaアカウント」（アカウントセンター）、「パスワードとセキュリティ」と進んで、ようやく変更できた。

最後に、Facebookの登録に使っている独自ドメインのメールのパスワードも変えた。リセットのコードはそのメールに届く。メールを取られたら、SNSも取られる。