Apple、パスワードアプリで弱いパスワードを自動変更へ

Appleの発表

AppleのiOS 27ページによると、パスワードアプリは弱いパスワードや漏えいしたパスワードを検出し、対応するサイトでは利用者に代わって更新できる。AppleはiOS 27の機能として示しているが、すべてのサイトで動くとは説明していない。

自動化の境界

9to5Macなどの報道では、サイトを開き、保存済みの情報でサインインし、新しいパスワードを設定する流れが紹介されている。二要素認証や独自の本人確認が途中にある場合、処理は止まる可能性がある。

利用者が確認すること

パスキーを使えるサイトでは、パスワードを変更するよりパスキーへの移行を優先できる。Appleが発表したのは強力な補助機能であり、機能の対応範囲と失敗時の復旧手順はサイトごとに異なる。

自動変更にも確認が必要

この機能が便利でも、動作はサイトの作りに左右される。現在のパスワード、メール確認、二要素認証、認証アプリのコード、追加の本人確認などを求められるサイトでは、iPhoneが処理を止める可能性がある。利用者は自動処理が完了したと思い込まず、結果を確認したい。

実行前に、復旧用のメールアドレスと電話番号が最新か、バックアップコードを安全に保管しているかを確認するとよい。変更後は別の端末からもログインできるかを試し、必要なら新しい情報を信頼できる場所に保存する。自動化は復旧手段の代わりではない。

対応サイトの一覧や動作範囲は、iOS 27の正式版と各サイトの実装によって変わる可能性がある。パスキーが使える場合は、パスワードを何度も更新するより、パスキーへの移行を検討したほうが安全なこともある。Appleの説明は対応範囲を限定しており、すべてのアカウントへの保証ではない。

変更後に確認したいこと

新しいパスワードは、同じiPhoneだけでなく、信頼できる別の端末でも確認したい。同期が終わったか、復旧用の情報が使えるか、ログイン通知に不審なものがないかを確認することが重要だ。サイトが認証アプリやバックアップコードを使う場合は、それらも安全に保管する必要がある。

サイト側の仕様変更、追加の認証、CAPTCHAによって処理が止まることもある。これは失敗ではなく、無理な自動入力を避けるための動作だ。二要素認証を無効にして自動変更を通すべきではない。Appleの説明は対応サイトに限ったもので、全アカウントを保証するものではない。

最終的な変更を承認するのは利用者であるべきだ。

安全な利用の条件

自動変更を使う前に、復旧用メールアドレス、電話番号、バックアップコードを確認しておきたい。変更後は別の端末からログインし、保存された情報が同期しているかを確かめる。サイト側の仕様や認証方法が変われば、処理が止まることもある。

その停止は、必ずしも不具合ではない。CAPTCHAや追加の本人確認を無理に回避せず、公式サイトの設定画面から手動で完了させるほうが安全だ。パスキーが使える場合は、パスワードを繰り返し変更する代わりに移行を検討できる。