パスワードのぞき見（ショルダーサーフィング）完全ガイド：リスクと実践的対策
エバープレイ編集部はじめに：パスワードのぞき見とは何か
パスワードのぞき見（英語では shoulder surfing）は、他人が入力するパスワードやPIN、認証情報を物理的に見て取得する行為を指します。公共の場や職場、カフェ、電車内などで画面やキーボード越しに観察する単純な手口から、監視カメラやスマートフォンで撮影する高度な手法まで存在します。本コラムでは、手口の種類、被害例、技術的・物理的・運用的対策を網羅的に解説します。
パスワードのぞき見の手口と典型的なシナリオ
のぞき見は単純だが効果的な攻撃です。代表的な手口とシナリオを挙げます。
- 肩越しに見る：最も古典的。カフェや電車内で横に立ち、視線でパスワードを読み取る。
- 録画・撮影：スマートフォンや小型カメラでキーボードや画面を撮影し、後で解析する。
- 反射を利用する：窓や眼鏡、スマートウォッチの画面などの反射に映る文字列を利用する。
- キーロガー併用：物理的なのぞき見とマルウェア（キーロガー）を組み合わせ、二重に情報を収集する。
- 社会工学と組合せ：例えば近くで話しかけて気を逸らす間に入力させる、あるいは偽の端末（偽のWi‑Fiやキオスク）へ誘導する。
被害の深刻さ：なぜ無視できないのか
のぞき見による情報漏えいは、その場でのアカウント乗っ取り、なりすまし、銀行口座の不正送金、企業情報の漏洩などにつながります。特に同じパスワードを複数のサービスで使い回している場合、1回ののぞき見が複数サービスの突破につながるリスクがあります。さらに、取得した認証情報はダークウェブで売買され、二次被害を生むことがあります。
技術的対策：認証の強化と最新技術の活用
技術的対策はのぞき見による被害を最も効果的に軽減します。
- 多要素認証（MFA）の導入：パスワードだけでなく、所持要素（スマホの認証アプリ・SMS・ハードウェアトークン）や生体認証を要求することで、パスワードが漏れても不正利用を防ぎやすくなります。特に認証アプリやFIDO2/WebAuthnなどのフィッシング耐性の高い方式が推奨されます（参考：NIST, OWASP）。
- パスワードマネージャーの利用：長く複雑なランダムパスワードを生成・自動入力することで、画面上でパスワードを手入力する頻度を減らし、のぞき見の機会を減らします。ただし、マスターパスワードの保護やデバイス自体の物理的保護は重要です。
- パスワード入力方式の工夫：ワンタイムパスワード（OTP）やワンタイム認証コード、パスワードの代替となるパスキー（パスワードレス）を採用することで、のぞき見で得た情報の再利用を困難にします。
- 端末側セキュリティ：OSやブラウザの自動ロック、スクリーンセーバー、暗号化、リモートワイプ機能を有効化しておくと、端末の物理的窃取時にも被害を低減できます。
物理的対策：すぐに実践できる行動とツール
のぞき見は物理的接近を利用するため、物理的防御が有効です。
- プライバシーフィルター（のぞき見防止フィルム）：画面角度を限定して側面からは見えにくくする物理フィルター。ノートPCやスマホに装着すると効果的です。
- 画面の角度と配慮：公共の場では画面を人通りや通路から背け、空間の背もたれや壁を背にして座るなど位置取りを工夫します。
- 入力のマスク化：特にATMやPOS端末では手で鍵盤を覆って入力するなど、手元を隠す習慣をつけます。
- 監視カメラや反射のチェック：窓ガラスや鏡、メタリックな物体に画面やキーボードが反射していないか注意します。
職場・組織における対策（ポリシーと教育）
企業や組織は運用面からの対策が重要です。
- セキュリティポリシー：パスワードの使い回し禁止、MFAの必須化、端末の自動ロックなどを規定します。
- 物理的環境の整備：オフィスレイアウトの見直し、ミーティングルームやフリーアドレス席でのスクリーン配置、プライバシーパネルの導入。
- 従業員教育：のぞき見のリスク、具体的な防止行動、怪しい行動の報告手順を定期的に訓練します。
- 監査とログの活用：異常なログインや同一パスワードの複数アカウント利用などを検出する仕組みを導入します。
特殊ケースと注意点
いくつかの特殊な事例にも注意が必要です。
- ATMや店頭端末：物理的に画面と入力を覆える設計や、テンキーのランダム配列などがあるが、ユーザー側も周囲を確認して入力を覆う習慣が必要です。
- 生体認証の盲点：指紋や顔認証は便利だが、マスク着用時や高解像度の写真・偽造指紋での突破リスク、デバイス固有の脆弱性が存在するため、単一の対策に依存しないことが重要です。
- 共有端末：図書館や公共端末でのログアウト忘れ、ブラウザの自動保存が二次的リスクを生むため、共有端末では必ずセッション終了とフォーム履歴の削除を行う。
被害を受けた場合の対処法
もしのぞき見でパスワードが漏れた可能性があると感じたら、迅速に行動することが被害拡大防止につながります。
- 直ちに該当アカウントのパスワードを変更し、同じパスワードを使っている他サービスも変更する。
- MFAを有効化していなければ有効化する。既に有効化している場合は、認証デバイスの再登録やトークンの無効化を検討する。
- 金融被害の可能性がある場合は、銀行やカード会社へ速やかに連絡し不正取引の監視・停止を依頼する。
- 企業アカウントであれば、セキュリティ担当へ報告し、ログ確認やパスワードリセットの運用を実施する。
日常でできる実践的なチェックリスト
毎日できる簡単な習慣を以下にまとめます。
- 公共の場でログイン操作する際は周囲を見渡す。背後や横に不審者がいないか確認する。
- パスワードは入力ではなく自動入力を基本にする（信頼できるデバイスのみ）。
- MFAとパスキー（可能ならWebAuthn/FIDO2）を有効にする。
- 画面フィルターを持ち歩く、または端末に貼る。
- 同一パスワードの使い回しをやめ、パスワードマネージャーで管理する。
法的・倫理的観点
他人の入力をのぞき見る行為は多くの国・地域でプライバシー侵害や不正アクセスの助長と見なされうる行為です。組織内での監視や録画を行う場合は、従業員のプライバシーと法令順守（個人情報保護法や労働法など）を踏まえた透明な運用が求められます。
まとめ：対策は多層防御が鍵
パスワードのぞき見は単純だが広範囲な被害を生みます。物理的な注意、デバイスと認証方式の強化、運用ルールと教育という多層的な対策を組み合わせることが最も有効です。特にMFAやパスワードマネージャー、パスキーの導入は、のぞき見によるリスクを大幅に低減します。個人・企業ともに日常的な習慣の見直しと技術の採用を進めてください。
参考文献
OWASP Authentication Cheat Sheet
Electronic Frontier Foundation - Surveillance Self-Defense: Avoiding Camera Surveillance
Microsoft Docs - Multi-factor authentication (how it works)
投稿者プロフィール
最新の投稿
建築・土木2025.12.26バサルト繊維が拓く建築・土木の未来：特性・設計・施工・耐久性を徹底解説- 建築・土木2025.12.26配管設計で失敗しないレデューサーの選び方と設置実務ガイド
- 建築・土木2025.12.26下水設備の設計・維持管理・更新技術を徹底解説
- 建築・土木2025.12.26ガス設備の設計・施工・保守ガイド：安全基準・法令・最新技術を徹底解説
