この前Twitterアカウントを乗っ取られた件は根が意外と深刻

この前Twitterのアカウントが乗っ取られ一週間ほど勝手に使われていた件、どうやって乗っ取ったのかあれ以来ずっと考えてきた。
当初パスワードをどうやって知ったのかばかり気にしていた。
アカウント名とパスワードが対になって流出するケースはどういうものがあるかといえば、その組み合わせで使ったサイトから盗み出されるケースしかない。
そもそもあのTwitterアカウントでは書き込みがごくわずかしかなくパスワードを推測できるほど情報量はないし、仮にたくさん書いてあったとしても推測などできないようにしてある。

最近日本のネットサービスでも不正ログインが相次いでいるというニュースやブログを見てTwitterはメールアドレスでもログインできることを思い出し、ちょっと見方を変えてみた。
アカウント名とパスワード、ではなく、メールアドレスとパスワードの組み合わせで流出したのではないか。
そう考えるともうちょっと疑うべき対象が増える。
その前提でさらに考えてみたが、一番考えたくない結論しか出てこない。

こうなってくるともはや自分だけでなく社会の常識すら疑うしかない。
アカウントを作るネットサービスの運営会社やそこで働く人間がユーザーのロングイン情報を横流ししたり売り飛ばしたりしているとしか考えられない。
マイナーなサービスで収益も小さく従業員の給料も安く、金目当てでやることが十分考えられる。
また、ハッキングの被害にあったという話が出てこないのはハッキングではなくアクセス権限のある内部の者がごく日常的な業務の範囲でやっているからなのではないか。
それ以外ありえない。

となると、パスワードの管理とか設定の仕方を少し考え直すべきだ。
マイナーで直接的な意味でのシステムだけでなく経営面や事業者としての質まで含めた意味で価値が低いとされるものの脆弱性を利用しアカウント情報を手に入れ、より大規模で価値の大きいサービスのアカウントへの侵入を試みる、というのがここ最近不正侵入問題を起こしている連中の基本的な行動原則だ。
したがって、重要なサービスではできるだけ高強度のパスワードを設定すると同時に、自分自身比較的どうでもいいと思っているようなマイナーだったり胡散臭かったりすぐ潰れそうなどちらかというとアカウント情報を売りとばしそうな雰囲気のサービスには意図的にできるだけ強度の低いパスワードを設定すべきだ。
情報が流出し悪人の手に渡った場合、解析が必要な場合でも簡単にログインを試せてすぐ使えないことがわかり、速やかに"はずれ"としてリストから削除されることになる。

巷ではパスワードをただひたすら強力にすることだけが論じられているが、長くなれば覚えにくくなり、覚えにくければ使いまわしが減るどころか増え、結果的に価値の大きいパスワードが泡沫サービスから流出することにつながりかねない。
よく言われているように使いまわしは避けるべきだが、その際どうでもいいサービスには強度の低い知ったところで無価値に近いパスワードを設定すべき。

で、自分はどうしていたかというと、Twitterが大きな価値を持つに至っているのにそれを軽視して単純なパスワードのままにしていたのがまずかった。