2段階認証のパスワードが要るのは、端末が変わった時だけ

日本語でこの話題を調べると、設定の場所を聞く候補はほとんど出てこない。代わりに出てくるのは、入れなくなった側からの三つだ。

電話番号、機種変更、乗っ取られた。

この並びが、クラウドパスワードというものの性質をそのまま説明している。普段は存在すら意識しない。要求されるのは、端末が変わった瞬間だけである。

要求されるのは端末が変わった時

いつも使っている端末では、この画面は出てこない。すでに認証を通った状態が端末の中に残っているからだ。

ところが機種を変えると話が変わる。新しい端末には何も残っていないので、電話番号を入れ、届いたコードを入れ、その次にパスワードを聞かれる。ここで初めて、設定した覚えのないものを要求される。候補に機種変更が並ぶのはそのためだ。

そして乗っ取られた側の候補も、裏返しの同じ話をしている。他人の端末から入られるというのは、他人がこの三段目を通れたということである。

買った口座は、ずっと機種変更の直後にいる

ここが購入と結びつく点で、この記事の要点でもある。

他人が使っていた口座を受け取るということは、あなたにとっては新しい端末で入り直すのと同じ状況だ。つまり必ず三段目に当たる。パスワードが設定されていれば、それを知らない限りそこで止まる。

しかも一度きりの話ではない。あなたが端末を変えるたびに、そのパスワードは要求され続ける。

これは認証アプリではない

誤解が多いのでここで切り分けておく。

クラウドパスワードは30秒ごとに変わるコードではないし、どこかのアプリに表示されるものでもない。口座そのものに保存された文字列で、新しい端末から入る時に照合される。

だから桁数という考え方が最初から無い。決まった長さの暗証番号ではなく、自由な文字列である。何桁かを調べようとしている人は、存在しないものを調べている。

忘れた場合に起きること

候補に忘れたが並ぶので、先に書いておく。

クラウドパスワードは、クラウドパスワードでしか外せない。知らずに解除する道は無く、それは不備ではなく仕組みの目的そのものだ。知らなくても外せる二段目には意味が無い。

残る道は二つで、どちらにも代償がある。復旧用アドレスが登録してあり、そこに入れる場合はその道を通る。無い場合はリセットだが、これは口座を開けるのではなく手放す方向の操作になる。買った口座であれば、支払った対象そのものを失う。

出品の2FA表示が実際に言っていること

棚を数えた。稼働している748件のうち、444件、つまり59%に2FAのタグが付いている。

ただしこの表示は、口座があなたのために守られているという意味ではない。誰かがパスワードを設定した、という意味である。それがあなたでない限り、それは他人の鍵だ。

そして値段は付いている。セッションフォルダ付きの出品の中で比べると、中央値は2FAありが2.00、なしが1.43で、およそ4割高い。premium の出品を除いて計算すると差は縮まるどころか広がり、2.00 対 1.25 になる。

八割はセッションフォルダで渡される

この棚のいちばん大事な事実がこれだ。748件のうち608件、81%は、IDとパスワードではなくセッションフォルダとして渡される。

セッションフォルダとは、すでに認証を通り終えた状態そのものだ。パスワードを聞いてこないのは、とっくに三段目を過ぎているからである。そしてこの形式の出品のうち69%が2FAのタグも持っている。

ここから居心地の悪い結論が出る。設定済みのパスワードは、前の持ち主を締め出さない。同じフォルダを持っているからだ。締め出されているのはむしろあなたの方で、鍵を掛け替えようにも古いパスワードが要る。

用語について一つ。セッションフォルダ関連の候補は五つの言語でほぼ同じ並びになり、日本語で引いてもロシア語の買うという単語が混ざる。これは日本語圏の特徴ではなく、取引側の道具言葉である。

受け取った後の順番

順番に意味がある。前の段が済まないと次が実行できない。

• 支払う前にクラウドパスワードを渡してもらう。これが無ければ変更も削除もできない。2FAのタグだけあってパスワードが渡されない出品は、他人の鍵が掛かったままの口座である。
• 自分のパスワードに設定し直す。ここで初めて鍵があなたのものになる。
• 復旧用アドレスを自分のものに変える。そうしないと、唯一の非常口が売り手の側に繋がったままになる。
• 他の端末のセッションを終了する。セッションフォルダで受け取った場合、実際に接続状況を変えるのはこの操作だけだ。

時間について。納品はすべて即時だが、保証は中央値で12時間、下位一割は0.084時間、つまりおよそ5分しかなく、21%は1時間未満である。この四手順は最も短い窓より確実に長くかかるので、受け取ったその場で始めることになる。

このパスワードが守らないもの

守るのはログインだけである。凍結を防ぐものではないし、口座を目立たなくするものでもなく、復旧用アドレスの代わりにもならない。日本語の候補に凍結を防ぐためという言い方が出てくるが、パスワードはその答えではない。設定済みの口座も、未設定の口座と同じように制限されうる。

出品はテレグラムの棚にある。