「人が死ぬのは2度ある」と二段階認証の落とし穴｜monotips station 第254回

イントロダクション

2025年4月9日配信の第254回では、身近な人の死をきっかけにした「二度目の死」の考え方と、二段階認証をすり抜ける手口を取り上げます。人の記憶に残ることと、仕事を誰か一人に預けきらないこと。別々に見える二つの話題が、最後には「どうすれば人や仕事をつないでいけるか」という問いへ重なっていきます。

本題に入る前には、4月13日に始まる万博の話題も出ました。しばっちは大阪で食べたホテルのバイキングやワインの話をし、あらかわは、忙しい週にジムでウォーキングしながら顧客とLINEをしていたら、15分が過ぎていたと振り返ります。

1. 人の記憶に残ることが「二度目の死」を遠ざける

この章では、しばっちが身近な人を亡くした経験から考えた、死生観と仕事の引き継ぎについて話します。

1-1. 仕事を頼む相手が一人だけでも、リスクになる

しばっちは、身近な人の死をあまり経験してきませんでした。親戚のおじいさんが亡くなったことはあっても、一緒に仕事をし、話し、酒を飲んだ人がいなくなるのは初めてに近い経験です。今年1月に亡くなった同業者のことは、年初にあらかわにも話していました。

自分が倒れたときに備えて、仕事を他の人へ振っておく。そうした備えの必要性は、以前から話題にしていたといいます。今回しばっちが気づいたのは、仕事を頼む相手が特定の一人だけでも、リスクになることでした。その人に頼んでいた仕事が、相手が亡くなったことで自分に戻ってくる。では、どうするのか。実際に仕事を頼んでいたからこそ、問題が目の前に現れました。

「特定の人にだけ仕事をお願いすることも、リスクだとすごくわかった」（しばっち）

仕事を抱える本人だけでなく、頼まれる側にとっても、仕事が一人に集中していないかを考える必要があります。しばっちは、今回の経験を通じてそのことを実感したと話しました。

1-2. 体の死と、記憶から消えること

「人が死ぬのは2度ある」というタイトルを聞いたあらかわは、最初にゴルゴ13を連想しました。話の中心になったのは、ディズニー映画『リメンバー・ミー』です。あらかわは映画をほとんど見ないと話しながらも、しばっちに勧めていました。収録の最後には、タイトルのきっかけとして思い出したのは、1967年の映画『007は二度死ぬ』だったと訂正しています。

『リメンバー・ミー』では、生きている人たちが死者を全員忘れると、その人は死者の国からもいなくなるという筋が描かれます。しばっちは、一度目の死を生物学的な死、つまり肉体や生命の活動が終わること、二度目の死を人々の記憶から完全に消えることとして整理しました。亡くなったあとも誰かに思い出され、その人に影響を与えているなら、二度目の死はまだ訪れていない、という考え方です。

しばっちは、映画の舞台となるメキシコには「死者の日」という祭日があり、日本のお盆に近い行事として紹介しました。家族が亡くなった人を忘れずに供養することで、その人は生き続けるという考え方です。お盆はしめやかに過ごす印象があるという話から、あらかわは宴会のように過ごす地域もあると応じました。しばっちも、実家ではにぎやかに過ごし、長崎では死者を喜ばせるためににぎやかにするという風習があると話しています。

そこから二人は、人は他者との関係のなかで存在し、覚えてもらっているあいだは、その人の存在がある形で続くという見方をたどります。あらかわが「それなら聖徳太子や織田信長はまだ元気ということか」と問い返すと、しばっちは、実際に会ったことのない歴史上の人物は、本人とは違う形で記憶されているとも話しました。映画に登場する歌手にも触れ、映画を勧めるやりとりがありました。『リメンバー・ミー』の主題歌の日本語版を誰が歌っているかは、調べておくことになりました。

インターネットやSNS、ブログに残した記録を見て、その人が生きていたことを思い出せるなら、二度目の死は遠ざかるかもしれません。一方で、あらかわは「デジタルタトゥー」という言葉は過去のよくない出来事を指すことが多く、ここでの意味とは少し違うのではないかと補足しました。時間がたち、その人を知る人がいなくなれば、記録はただのデータになるかもしれない。しばっちは、人は人の記憶のなかに生きる、誰かを忘れないことがその人の存在を支える、という考えに至ったと話します。

1-3. 花見をするなら、気持ちが動いているうちに

しばっちは、亡くなった同業者の事務所で毎年花見をしていたそうです。急な別れのあと、仲のよかった人たちで集まり、もう一度花見をして見送ろうという話が出て、しばっちも参加することになりました。「一段落」と表現しようとして言いにくさを感じたことからも、簡単に区切れるものではない様子が伝わります。

1月に亡くなり、4月に集まることについて、あらかわは、このくらいの時期にしないと日常に流れてしまうと話しました。三か月ほどたって集まるのは、偲ぶ会とまでは呼ばなくてもよいタイミングだと感じたそうです。

「このぐらいでやらないと、もうみんな日常の中で流れていってしまう」（あらかわ）

しばっちには、別の人を見送る集まりをしようとしながら、忙しくて予定が合わず、何年も実現しなかった記憶もあります。亡くなって一年ほどのころに、みんなで出かけようと話したものの実行できず、三年ほどたつと今さらという気持ちになったと振り返りました。二人は、気持ちが動いているうちに集まることや、亡くなったあとだけでなく、生きているうちに相手を思って行動することについて話しました。

2. 二段階認証を付けていても、すり抜ける手口がある

あらかわのテーマは、証券口座の不正ログインから見えてきた認証の落とし穴です。二段階認証を設定していても、使い方や攻撃の手口によっては突破されることがあると、四つの事例を挙げました。

2-1. 払い出し先が本人名義でも、口座内の売買は操作される

あらかわは、楽天証券がニュースになっていると切り出しました。証券口座からの払い出し先は基本的に本人名義の銀行口座に限られるため、口座に現金を置いても安全だという見方があったそうです。一方で、ネット証券に不正ログインされ、知らない中国株を買われたり、保有株を勝手に売買されたりする事例があると紹介しました。

攻撃者はその売買だけでは直接利益を得ない場合があり、何をしたのかをつかみにくいといいます。あらかわは、攻撃者が先に株を買い、多くの人に同じ株を注文させて値を上げてから売り抜ける、といった間接的な利益の得方もあり得ると説明しました。

二段階認証の使い勝手についても話題になりました。あらかわは、楽天証券はパスワード入力などの手順が比較的スムーズで、SBI証券などはその都度入力を求められて手間がかかると感じているそうです。使いやすさは利点ですが、手順が簡単なぶん、攻撃に使われる可能性も考える必要があるという見方でした。楽天証券の認証メールには絵文字が届くことがある、とも紹介しています。

認証コードをスマートフォンのショートメッセージで受け取り、番号を覚えて元のアプリへ戻ると、アプリが最初から起動し直していたという経験も出ました。認証を付けても、使うときの手間が残ることがあります。

2-2. 偽サイトに、本物の認証コードを入力させる

一つ目はフィッシングです。公式を装ったメールやショートメッセージで「アカウントに異常を検出した」と不安をあおり、リンク先の偽サイトへIDとパスワードを入力させます。その後、正規のサービスから届いた二段階認証コードも偽サイトに入力すると、不正ログインが成立する仕組みです。

ショートメッセージで不審な連絡が届くことは、二人とも経験していました。あらかわは、Gmailではメールをある程度弾いている一方、「ヤマトで不在です」といったショートメッセージが届くことがあると話します。正規の通知も同じ手段で届くことがあり、ヤマトや佐川がその形式で送っているかは分からないため、届いた連絡をまとめて信用しないようにしているそうです。

あらかわがよく見ているプロゲーマーは、YouTubeなど配信の収益につながるアカウントをまとめて乗っ取られたと、あとから配信で経緯を説明していました。スポンサーになりたいという大手企業を名乗るDMがきっかけで、本人にとっては少し背伸びだと感じる相手でも、連絡が来れば魅力的に映る内容だったそうです。応じたあとにパスワードを書き換えられ、ログインできなくなっていったといいます。あらかわは、パソコンに保存していた認証情報を見られたのではないかと考え、「覚えさせたらだめですね」と話しました。

2-3. 認証通知を連打して、誤って承認させる

二つ目は、MFA疲労攻撃です。攻撃者がIDとパスワードを入手したうえで、短時間に何度も認証リクエストを送ります。ユーザーが大量の通知を処理するうちに誤って承認すると、不正アクセスにつながります。しばっちは「知らない相手なのに承認するのか」と驚き、二人は誤操作を防ぐためにロックする仕組みが必要ではないかと話しました。

番組では、2022年5月にシスコシステムズがこの手法で攻撃を受けた事例も紹介されました。何らかの方法でIDとパスワードを入手し、短時間に多数の認証リクエストをユーザーの端末へ送ったと説明しています。

2-4. SIMの再発行で、認証コードの届き先を変える

三つ目はSIMスワップです。あらかわは、eSIMを使ったときの便利さに触れたうえで、SIMが再発行される仕組みを悪用する手口を説明しました。攻撃者が個人情報を集め、被害者になりすまして通信事業者へ再発行を依頼する。物理SIMでも、故障したとして送り先を変えられれば、新しいSIMカードを攻撃者側へ送らせることがあり得ます。ショートメッセージの認証コードは、そのSIMが届いた先へ送られます。

通信事業者の本人確認が課題だという話になりました。被害に遭った場合に保証を請求できるかは、二人のあいだで結論が出ていません。あらかわは、ショートメッセージの二段階認証は使わない方がよいという意見です。しばっちは以前はショートメッセージの方が便利だと思っていましたが、最近はGoogleの二段階認証アプリにまとめていると話しました。海外にいたときにショートメッセージが届かず、Amazonにログインできなくなり、日本へ戻ってから設定をやり直した経験もあります。セラーセントラルに入れず焦ったそうです。

認証アプリについても、マルウェアで生成コードを盗む手口があり得るという話が出ました。この回では具体的な事例は紹介されず、今後そうした攻撃が出てくる可能性や、攻撃者にとって利益があるなら狙われるかもしれないという見方が交わされました。現時点では、認証アプリは比較的安全な側だという感触で話を終えています。

2-5. 正規サイトとのあいだに割り込む

四つ目は、ユーザーと正規サイトのあいだに入り、認証情報をリアルタイムで盗む中間者攻撃です。偽のページにIDとパスワードを入力すると、攻撃者は同時に正規サイトへその情報を入力します。正規サイトから届いた認証コードを偽ページにも入力させ、そのコードを使って正規サイトへログインする流れです。手間のかかる方法でも、特定の人を狙う攻撃ならあり得ると話しました。

正規のサイトかどうかは、検索するだけでは見分けにくいことがあります。広告のリンクを開いた先が偽サイトという場合もあるため、普段使うサイトをブックマークしておくことが対策として挙がりました。おかしいと気づいたら、すぐサービスへ連絡することや、SIMの再発行を防ぐには通信事業者の本人確認が重要だという話も出ています。

物理的なセキュリティキーや生体認証にも触れました。あらかわは、パソコンに指紋認証が付いている例や、物理キーはUSBメモリというよりドングルに近い形だと説明します。キーをなくすと困ることから生体認証が広がっているという見方も出ましたが、指の状態によって指紋認証が通らないことがあり、顔認証にも難しさがあると話しました。新しい手口を追うことは大切でも、普段からセキュリティ情報を見続けるのは簡単ではありません。二人は、思いもよらない突破方法が日常にあると意識しておくことを確認しました。

「ITに強いから騙されへん、と思っている人ほど騙されやすい」（あらかわ）

あらかわ自身もそういうところがあるので注意したいと話します。便利さとセキュリティの手間には両面があり、どこまで対策するかは考える必要があります。それでも、証券口座には二段階認証を付けておくことは最低限の対策として挙げていました。

2-6. パスワードを保存しない工夫と、亡くなったあとのログイン

あらかわが自分の主な対策として挙げたのは、パソコンにパスワードを覚えさせず、毎回入力することです。パスワードはいくつかのパターンを使い回し、メモに書いているとも話しました。メモをなくすと困る点は本人も認めつつ、誰かに任せるより自分を信頼する方がよいという考えです。

しばっちは、突然亡くなった場合に家族が困るのではないかと問い返しました。銀行や証券のログイン方法を遺書のようなものに書いておく必要があるかもしれない、という話が出ます。また、亡くなってすぐ銀行へ連絡すると口座がロックされるので、先に現金を引き出すという言い方があることにも触れました。二人は、仕事柄なんとかなるという感触を交えながら、セキュリティには引き続き気をつけたいと話しました。

3. 大きな案件を頼むなら、仕事が続く体制も考える

認証の話を終えたあと、あらかわは、誰かが倒れても仕事を続けられる依頼先や受け方について話しました。相手の対応がよくても、窓口が一人だけなら大きな案件を頼む条件に合わない場合があります。

3-1. 窓口が一人だけの相手には、今回は頼まない

あらかわは、ある案件を誰に頼むか検討していると話します。判断材料の一つは、相手が組織かどうかでした。自分自身も個人事業主でありながら、個人事業主に頼むのは避けたいと考えたのは、仕事がその人次第になるからです。

相手の対応はよく、親切そうで、きちんとしているように見えたため、頼みたい気持ちもありました。それでも「窓口はあなた一人です」と言われたことがネックになり、今回変えたい条件には合わなかったと説明しました。

3-2. 案件の金額に合わせて、チームを組む

あらかわ自身が大きな案件を受けるときは、複数人でチームを組むようにしたいと話します。どちらかが倒れても、もう一人がフォローできるように連絡先を共有しておく。それがお客さんに対しても必要な体制だという考えです。

一方、しばっちは、複数人で取り組むと品質が低い方に引っ張られそうだと気にします。あらかわは、チームを組むかどうかは案件の金額で決めてもよいと応じました。5万円、10万円の仕事で毎回チームを組むのは負担ですが、200万円、300万円規模なら組むことを考える。身内にお金を渡して、何かあったときに見てもらえるようにする方法もあると話しました。

「お客さんが事業を継続できるやり方を、考えてやっていかないといけない」（あらかわ）

外注を活用する方法もあり、事業によって形は違います。できる人同士、信頼できる人同士で組むことが大切だと二人は話しました。しばっちの仕事でも、そうした人たちと組織を作る方法があるかもしれません。事業を続けることと、今生きている人を大事にすること。その二つを考えながらやっていこうと、収録を締めくくりました。

エピソードの総括

今回の話から持ち帰れること

しばっちは、一度目の死を体の活動が終わること、二度目の死を人々の記憶から消えることとして捉えた
特定の一人だけに仕事を頼む体制にも、引き継ぎのリスクがある
見送る集まりは、気持ちが動いているうちに実行することが大切だと二人は話した
二段階認証があっても、偽サイト、認証通知の連打、SIMの再発行、正規サイトとのあいだへの割り込みで突破される可能性がある
あらかわは、ショートメッセージ認証を避け、パソコンにパスワードを保存しない方法を挙げた
5万円・10万円の案件と200万円・300万円の案件では、チームを組むかどうかの考え方が変わる

亡くなった人を思う集まりを先延ばしにしないこと、認証の入口を慎重に扱うこと、大きな案件では受け手が倒れても仕事が続く体制を考えること。第254回では、人や仕事を一人に任せきりにせず、記憶や仕組みを次の人につなぐ視点が語られました。

monotips stationについて

monotips stationは、ビジネスの小技を紹介するメディア「monotips」から生まれたPodcastです。編集長のあらかわと副編集長のしばっちが、毎週、ビジネスが少しよくなるTIPSを紹介しています。番組への感想やリクエストは、WEBマガジン「monotips」のお問い合わせフォーム、またはnote・Xで受け付けています。