2 段階認証とログインの守りで、公式アカウントの乗っ取りを防ぐ

SNS TOWN のログインは、公式アカウントの鍵でもある

SNS TOWN に SNS アカウントをつなぐと、そのアカウントへ投稿する許可を SNS TOWN が預かります。SNS のパスワードそのものは預かりませんが、SNS TOWN にログインできる人は、つないだアカウントへ投稿や削除ができます。つまり、SNS TOWN のログインが破られることは、公式アカウントを乗っ取られることに近い意味を持ちます。

パスワードの使い回し、フィッシングのメール、共有の PC に残ったログイン。乗っ取りのきっかけはどれもありふれたものです。SNS TOWN では、パスワードだけに頼らない入口の守りを、プランにかかわらず全員が使えるようにしています。

設定の画面は、ヘッダーの人のメニューの「アカウントとログイン」です。

2 段階認証：パスワードが漏れても入れない

2 段階認証をオンにすると、ログインのときにパスワードに加えて、スマホの認証アプリが出す 6 桁のコードを入れます。認証アプリは Google Authenticator、Microsoft Authenticator、1Password など、30 秒ごとにコードが変わる一般的な形式のものが使えます。パスワードが漏れても、そのスマホが無ければログインできません。用語の意味は 2 段階認証 にまとめています。

設定は 3 つの手順です。

1. スマホに認証アプリを入れます
2. 画面の QR コードをアプリで読み取ります。読めないときは、下に出るキーを手で入れます
3. アプリに出た 6 桁のコードを入れて「有効にする」を押します

オンにした直後に、回復用コードが 10 個表示されます。スマホを失くしたときに、6 桁のコードのかわりに 1 つずつ使えるものです。この画面は二度と出ないので、印刷するか、パスワード管理のアプリに保存してください。残りが少なくなったら、パスワードを入れて作り直せます。作り直すと前のコードはすべて使えなくなります。

一度使った 6 桁のコードは、同じものをもう一度は通しません。ログインのときのコードの入力は 10 分以内・5 回までで、続けて合わなければ最初からやり直しになります。

会社・ブランドとして、全員に求める

管理者は、会社・ブランドの「セキュリティ」で、メンバー全員に 2 段階認証を求められます。オンにすると、まだ設定していないメンバーはその会社・ブランドを開こうとしたときにアカウントの画面へ案内され、設定するまで中に入れません。求めている会社・ブランドに入っている人は、自分の 2 段階認証をオフにできません。運用を外部の人と分担しているときほど、全員に求めておくと安心です。メンバーの招き方は メンバーと役割 をご覧ください。

続く失敗でログインを止める

同じメールアドレスで 15 分の間に 5 回、同じ IP アドレスから 15 分の間に 20 回、ログインに失敗すると、しばらくログインを受け付けなくなります。止めている間は、正しいパスワードを入れても確かめません。パスワードを総当たりで試す攻撃を、その場で止めるためです。

本人が止められてしまったときは、15 分ほど待つか、パスワードを再設定してください。ログインと登録の画面には、人が操作しているかを確かめるしくみも入れています。

パスワードの変更と再設定

アカウントの画面で、いまのパスワードを入れて新しいパスワードに変えられます。パスワードは 8 文字以上です。変えると、いま使っている端末以外のログインはすべて切れます。

パスワードを忘れたときは、ログインの画面から再設定のリンクをメールで受け取ります。リンクは 1 時間・1 回限り有効で、新しいパスワードを決めるとすべての端末のログインが切れます。登録されていないメールアドレスを入れても、画面の表示は同じです。誰が登録しているかを外から探られないようにするためです。

ログイン中の端末と、ログインの記録

アカウントの画面の「ログイン中の端末」に、いまログインしている端末が並びます。「Windows · Chrome」のような端末の名前、IP アドレス、ログインした日時、最後に使った日時が出ます。覚えのない端末があれば「ログアウトさせる」で 1 台ずつ切れますし、「この端末以外をすべてログアウトさせる」でまとめて切ることもできます。共有の PC でログアウトし忘れたときにも使えます。

ログインは 30 日で切れ、その間でも 14 日使わなければ切れます。長く放置された端末にログインが残り続けないようにしています。

「ログインの記録」には、ログインの成功・失敗・止めた記録・再設定の新しい 20 件が残ります。見たことのない端末と IP アドレスの両方からログインがあったときは、メールでお知らせします。自分のログインでなければ、すぐにパスワードを変えてください。

AI や自動操作のツールを入れない

ログインして使う画面には、AI のクローラ、AI エージェント、ヘッドレスブラウザ、スクリプトなどの自動操作を入れません。名乗りや通信の特徴から人のブラウザでないと分かるものは、その場で断ります。この守りは常にオンで、利用者が外すことはできません。預かっている投稿の権限を、自動の道具に触らせないためです。

ほかの守りとの組み合わせ

ログインの守りは「誰が入れるか」を固めるものです。さらに「どこから入れるか」を絞りたいときは、会社・ブランドごとに許可した IP アドレスと端末からだけ開けるようにする アクセスの制限 を組み合わせます。メンバーの役割で「何ができるか」を分けておくと、万一のときの影響も小さくできます。SNS TOWN 全体の守りの考え方は セキュリティ にまとめています。

よくある質問