はじめに（この記事で分かること）#

匿名で使っているSNSのアカウントを、最後にパスワードを忘れて作り直したのはいつだろうか。そのとき「確認コードを送りました」と表示された先は、どのメールアドレスで、どの電話番号だったか。

AlphaBayという闇市場の運営者は、米政府の民事没収訴状によれば、市場のフォーラムが新規登録者に送るウェルカムメールのヘッダに個人のHotmailアドレスを残していた。パスワード再設定のメールでも、送信元のアドレスは同じだった。本人が書いたメールではない。サイトが自動で送るメールが、送るたびに運営者の個人アドレスを相手に渡していた。

復旧経路は、ふだんの画面には表示されない。ログインして使っている限り、再設定用のメールや電話番号を意識する場面はほとんどない。それでも事業者の記録の上では、匿名アカウントと復旧先は一つの組として保存されている。この記事では、その見えない橋を自分で点検する手順を示し、同時に、橋を切るほど「戻れなくなる」危険が増すことも書く。どこまで切るかは脅威モデルで決まる。

前提: 脅威モデルの整理#

脅威モデル入門の5種類の相手のうち、復旧経路の点検がいちばん効くのは、プラットフォーム自身と、プラットフォームから記録を取り寄せられる相手だ。

プラットフォームは、匿名アカウントと復旧用のメール・電話番号を同じ記録に持っている。この記録は、法的手続きを経れば外に出る。米国防情報局の職員だったLaatschの事件では、FBIの宣誓供述書（第13項）が、メール事業者から法執行機関に提供された情報として、私用とみられるアカウントの登録時に本人の氏名・生年月日・電話番号が使われていたことを挙げている。登録情報は、捜査の場面ではそのまま本人確認の材料になる。日本の捜査機関や開示請求の手続きで事業者がどこまで情報を出すかは、捜査機関への情報提供と発信者情報開示命令で扱った。

標的型攻撃者、つまりあなたを個人的に知っている元交際相手や同居人にも、復旧経路は関係する。この相手はあなたの電話番号や私用のメールアドレスを最初から知っている。復旧先が実名区画のものなら、そこに届く通知や、画面に表示される手がかりを、この相手は意味のある情報として読める。同居や交際関係が絡む状況では、急に設定を変えること自体が相手に気づかれる場合があるので、同居人・元交際相手から守る匿名性を先に読んでほしい。

広告網とデータブローカーには、後で書くSSO連携が関係する。ISPには、復旧経路はほとんど関係しない。

逆に、この記事の点検をしても効かない相手もいる。端末を押収できる法執行機関や、端末に直接触れられる同居人に対しては、復旧経路をいくら分けても、ログインしたままの端末一台で両方の区画が見える。復旧経路の点検は、識別子の橋を減らす作業であって、端末の守りの代わりにはならない。

復旧経路が区画をまたぐ構造#

Googleのヘルプ「復元オプションを設定する」は、再設定用の電話番号を、アカウントにログインできなくなったときにコードを送る用途に使うと書いている（英語版の表現では "To send you a code to get into your account if you're ever locked out"）。再設定用のメールアドレスは、パスワードを忘れたときにアカウントに戻る手段だ（同 "To help you get into your account if you forget your password"）。日本語版のヘルプは、どちらの用途にも不審な行為の通知を挙げている。

ここに二つの橋がある。一つ目は、事業者の内部記録の橋だ。匿名アカウントの再設定先に実名区画のメールアドレスを入れた時点で、事業者のデータベースには「この匿名アカウントの持ち主は、この実名のアドレスにアクセスできる人だ」という記録ができる。誰かに見せたわけではないが、記録が取り寄せられれば、それは直接の連結になる。

二つ目は、通知の橋だ。不審なログインの警告や設定変更の確認メールは、復旧先に届く。実名区画の受信箱に匿名アカウントの名前入りの通知が並べば、その受信箱を見られる人には二つのアカウントの関係が分かる。家族と共有しているタブレットにそのメールアプリが入っていれば、なおさらだ。

Googleのヘルプは、再設定用のメールアドレスとして「普段ご利用のメールアドレス（Googleアカウントへのログインに使用しているメールアドレスとは異なるもの）」を選ぶよう案内している。アカウントを確実に取り戻すという目的からすれば、ふだん読んでいるアドレスを登録させるのは合理的な設計だ。ただ、匿名区画の側から見ると、この案内に素直に従うことが、そのまま実名区画への橋を架けることになる。事業者の設計は「持ち主が戻れること」を優先しており、「二つの名義が結びつかないこと」は前提にしていない、と読むのが自然だろう。

電話番号の橋は、メールより太くなりやすい。日本の携帯電話の契約では販売店で本人確認が行われ、警察庁は令和6年版警察白書で、その本人確認を強化するよう総務省と連携して大手携帯電話事業者に要請したと書いている。契約時に本人確認を経た番号は、事業者の記録の上で契約者の氏名につながっている。その番号を匿名アカウントの復旧先や2段階認証に登録すれば、匿名アカウントと氏名の間は、携帯電話事業者の記録を一段たどるだけの距離になる。

電話番号には、もう一つ別の弱さがある。警察白書は、実在する人物になりすまし、偽造した運転免許証などで番号ポータビリティやSIMカードの再発行を行って「携帯電話番号を乗っ取る手口」をSIMスワップと呼び、令和4年7月から8月にかけてこの手口による不正送金が急増したと書く。米国でも、FBIのインターネット犯罪苦情センター（IC3）が2022年2月の注意喚起で、2021年に1,611件、調整後の被害額6,800万ドル超の苦情を受けたとし、番号を奪った犯人がSMSで届くコードを使って関連アカウントのパスワードを再設定すると説明している。同じ注意喚起は、SMSのコードより強い多要素認証（生体認証、物理セキュリティキー、単体の認証アプリ）を使うよう勧めている。電話番号を復旧先にすることは、匿名性の面でも、乗っ取りへの耐性の面でも、弱い選択になりうる。

リセット画面の部分表示とOSINT#

パスワード再設定の画面で、確認コードの送り先が一部を伏せた形で示されるのを見たことがある人は多いだろう。末尾の数桁だけが見える電話番号や、先頭の数文字とドメインだけが見えるメールアドレスだ。この表示の形式はサービスごとに違い、各社が公式ヘルプで仕様として説明しているものを今回は確認できなかった。以下は表示の形式を前提にした推論として読んでほしい。

伏せ字の表示は、それだけでは誰の番号かを示さない。ただ、すでに候補を持っている相手にとっては、候補と照らし合わせる材料になりうる（推測）。たとえばあなたの電話番号を知っている元交際相手が、匿名アカウントの再設定画面で末尾の数桁が一致するのを見れば、確証にはならなくとも疑いは強まるだろう。Lamerzはこの照合の手順そのものは扱わない。防御の側から言えることは一つで、伏せ字の出し方は利用者が制御できない、ということだ。

制御できない以上、対策は表示の手前に置くしかない。復旧先の値そのものを、実名区画の識別子と重ならないものにする。匿名区画専用のメールアドレスを作り、その区画の復旧先にはそのアドレスを入れる。電話番号を求められない設定にできるなら、電話番号は登録しない。こうしておけば、画面に何が表示されても、それは実名区画の値の一部ではなくなる。

自分のアカウントの復旧先を確かめるときは、再設定画面を開くのではなく、ログインした状態で設定画面の「セキュリティ」や「アカウント情報」の項目を見るほうがよい。再設定の手続きを途中まで進めれば、少なくとも確認コードが復旧先に送られる。サービスによっては再設定の試みそのものを通知することもありうる。点検のつもりの操作が、実名区画の受信箱に匿名アカウントの再設定の記録を残すのでは本末転倒だ。

自動送信メールとテスト送信#

冒頭のAlphaBayの例をもう少し詳しく見る。民事没収訴状によれば、"The email address of 'Pimp_Alex_91@hotmail.com' was included in the header information of the AlphaBay welcome email"、つまり新規登録者に届くウェルカムメールのヘッダ情報にこのアドレスが含まれていた。パスワード再設定のメールについても、訴状は送信元のメールアドレス（"sender email address"）が同じHotmailアドレスだったと書いている。登録した利用者の誰もが、このヘッダを手にしていたことになる。

Laatschの事件は、方向が逆の例だ。宣誓供述書の第13項によれば、匿名のメールアカウント（EMAIL ACCOUNT 1）は2025年3月2日に作られ、同じ日に外国政府への提案のメールを送っている。その同じ日、このアカウントは本人のフルネームを含むアドレス（EMAIL ACCOUNT 2）からのメールを受け取っていた。宣誓供述書はこれを "possibly a test email"、テスト送信だった可能性がある、と書く。EMAIL ACCOUNT 2の登録には本人の氏名・生年月日・電話番号が使われ、両方のアカウントには本人の自宅に結びつくIPアドレスからのログインがあった。匿名アカウントが届くかを確かめるために、実名のアカウントから一通送る。その一通が、二つのアカウントの間の通信記録として事業者に残った。この事件全体の経過は匿名メールとSNSの連結の事例で扱っている。

二つの事件の当事者は犯罪の容疑で訴追された人物で、一般の利用者とは置かれた状況が違う。それでも、同じ型の漏れは日常の運用で起きる。

一般の利用者に起きやすいのは、次のような形だ。匿名で運営するブログやニュースレターの配信サービスに、実名区画のメールアドレスで登録している。読者がコメントするたびに届く通知メールや、購読者向けの自動返信の送信元・返信先に、そのアドレスが入っている。あるいは、新しく作った匿名のメールアドレスに、動作確認のつもりで自分の私用アドレスから一通送る。匿名アカウントで作ったフォームの控えを、実名のアドレスに転送する。

どれも本人には「設定の確認」の感覚しかない。しかし受け取る側や事業者の側から見れば、二つのアドレスの間に通信の記録が一本増えている。テスト送信をするなら、同じ匿名区画の中にある別のアドレス同士で行う。自動送信メールについては、自分で匿名区画の別アドレス宛てに一通送らせ、ヘッダを含めて受け取る側の目で開いてみる。送信元、返信先（Reply-To）、署名に、実名区画の値が入っていないかを確かめる。メールアドレスを区画ごとに分ける方法そのものは匿名メールとエイリアスで扱う。

SSO連携と2FAのバックアップ#

「Googleでログイン」「Appleでサインイン」のボタンは、新しいサービスの登録を一瞬で終わらせる。その代わり、どの名義で入ったかがサービス側に渡る。

Googleのヘルプによれば、Sign in with Googleを使ってGoogle以外の開発者のアプリに入るとき、Googleが共有するのは名前、メールアドレス、プロフィール写真の三つで、このうちどれかを除外することはできない。同意を取り消しても、それまでに共有したデータが取り戻されるわけではない（"It doesn't take back data you already shared"）。実名のGoogleアカウントで匿名用のサービスに一度でもログインすれば、そのサービスは実名のアカウントの名前とアドレスを受け取り、保持し続けうる。Google側にも、どのアプリと連携したかの記録が残るとみられる。

AppleのSign in with Appleには、Hide My Emailという選択肢がある。Appleのサポートによれば、この機能は個人のメールの受信箱に自動転送される固有でランダムなアドレスを作り、そのアドレスを使って連絡できるのはアカウントを作ったアプリやウェブサイトだけだ。サービスにはランダムなアドレスしか渡らないので、サービス同士の突き合わせには強い。ただし、転送先は自分のApple Accountに結びついた受信箱だ。転送を中継している以上、Appleはどのサービスにどのアドレスを発行したかを把握しているとみるのが自然だろう。サービスに対しては名義を隠せても、Appleに対しては隠していないと考えておく。

SSOを匿名区画で使うなら、合理的な形は一つしかない。匿名区画専用に作ったGoogleアカウントやApple Accountで、匿名区画のサービスにだけログインする。実名区画のアカウントを「便利だから」匿名区画で使った時点で、その連携は橋になる。連携済みのサービスは、Googleアカウントの「セキュリティ」の項目や、iPhoneの設定にある「Appleでサインイン」の一覧で確かめられる。点検のときは、区画をまたぐ連携がないかを見る。

2段階認証のバックアップも、置き場所によっては橋になる。Googleのバックアップコードは10個一組で、一度使ったコードは無効になり、新しい組を作ると古い組は自動的に無効になる。Googleはこれを安全な場所に保管し、印刷しておくよう案内している。AppleのApple Accountの復旧キーは28文字のコードで、Appleはこれをパスワードアプリ、iCloud写真、メモ、iCloud Driveに保存しないよう書いている。アカウントに入れなくなったときに、そのアプリ自体を開けなくなるからだ。

匿名区画のバックアップコードを、実名区画のパスワード管理ソフトやクラウドのメモに保存するとどうなるか。実名区画の保管庫を開ける人なら誰でも、匿名区画のアカウントを再設定できる鍵を手にする。保管庫が漏えいすれば、二つの区画の鍵が同じ場所から見つかる。バックアップの保管場所は、そのアカウントが属する区画の中に置く。紙に印刷するなら、実名区画の書類と同じファイルに綴じない。

Appleには復旧連絡先という仕組みもある。サポートによれば、復旧連絡先は本人がアカウントに戻るためのコードを出せるだけで、アカウントの中身にはアクセスできず、Appleは誰が復旧連絡先なのかを知らない。最大5人まで登録できる。事業者の記録に残らない点は匿名区画に向いているように見えるが、復旧連絡先になる人は、あなたがそのアカウントを持っていることを知る。人間を復旧経路にすれば、その人が橋になる。匿名区画のアカウントに、実名区画の友人や家族を復旧連絡先として登録するのは避けたほうがよい。

復旧できないリスクとの両立#

ここまでの話を逆から見ると、復旧経路をすべて切れば橋はなくなる。ただしその代わりに、鍵をなくした日にアカウントへ戻る道もなくなる。この二つは同じものの表と裏だ。

Proton Mailは、この両面を設定画面で利用者に選ばせている。Protonのヘルプは、復旧手段を「パスワードを再設定する手段」と「データを復号できる状態に戻す手段」に分け、復旧用メールと復旧用電話は前者、復旧ファイルは後者、12語の復旧フレーズは両方を兼ねると説明する。復旧用メールや電話でパスワードだけを再設定し、データ復旧の手段を持っていなければ、古いパスワードを思い出せない限り、再設定前のアカウントの中身にはアクセスできなくなる。Protonは少なくとも一つずつ有効にするよう勧めている。匿名区画のProtonアカウントなら、復旧用メールや電話を登録せず、復旧フレーズだけを匿名区画の保管場所に置く、という構成がとれる。橋は減るが、フレーズを失えば戻れない。

Appleの復旧キーは、さらにはっきりしている。サポートによれば、復旧キーを設定するとAppleの標準のアカウント復旧手続きは無効になり、アカウントに入れなくなったときに復旧キーを出せなければ "you'll be locked out of your account permanently"、永久に締め出される。Appleは復旧キーを再発行できない。

Signalの登録ロックとPINも同じ形だ。Signalのサポートによれば、PINはプロフィールや設定、連絡先を新しい端末に戻すためのもので、メッセージの履歴を戻すものではない。Signalは利用者のPINを知らず、再設定も復旧もできない。登録ロックを有効にしたままPINを忘れると、最大7日間アカウントに入れなくなる。登録ロックは、登録時のSMSのコードに加えてPINを求める仕組みなので、電話番号だけを奪われた場合の再登録を難しくする。その代わり、PINは自分で覚えておくしかない。Signalを含むメッセンジャーの選び方は匿名メッセンジャー比較で扱っている。

Mullvad VPNは、最初から「戻れない」側に寄せた設計だ。アカウントはメールアドレスではなく番号で、番号をなくしたときの復旧ページには、利用者の情報をできるだけ持たないので復旧は保証できない、と書かれている。カードなどの支払い記録から追跡できるのは20日間に限られる。暗号資産での支払いについては、2022年12月1日の公式ブログが、BitcoinとBitcoin Cashの返金とアカウント復旧を2023年1月1日から受け付けないと告知し、Moneroと現金はそれ以前から対象外だった。復旧ページは、サポートにメールで相談すれば少なくともメールアドレスを明かすことになるとし、匿名のままでいたいなら新しいアカウントを作る道もあると書いている。Mullvadの評価全体はMullvadのレビューを参照してほしい。

どちらに寄せるかは、失ったときの被害と、つながったときの被害の比べ合いで決まる。

SNSで趣味の匿名アカウントを一つ持っているだけの人なら、復旧手段を一つ残すほうが合理的なことが多い。アカウントを失う被害は小さくないが、実名と結びつく被害もそこまで大きくない場合がある。残す復旧手段は、匿名区画専用のメールアドレスにする。実名の電話番号を残すくらいなら、その区画用のメールアドレスと、紙に印刷したバックアップコードのほうが橋は細い。

取材源や相談者を守る立場の人は、つながったときの被害が自分ではなく相手に及ぶ。この場合は、戻れなくなる危険を受け入れて復旧経路を切る側に寄せ、その代わりにバックアップの保管を厳しくするのが合理的だ。アカウントを失っても取材源の安全は損なわれないが、取材用のアカウントが実名の電話番号につながっていれば、記録を取り寄せられる相手には連絡の事実まで見える。

VPNやサーバーの契約のように、アカウントが「支払いの受け皿」でしかないものは、Mullvadのように失ったら作り直す前提で運用できる。番号を区画内の保管場所に控え、なくしたら新しく作る。復旧の手続きのために実名の情報を差し出すより、作り直すほうが橋を架けずに済む。

点検の手順（ワークシートの「復旧経路」の行）#

カンパートメント化の設計書の識別子の棚卸し表には、「復旧経路」の行がある。その一行を埋める手順を、匿名区画のアカウントごとに次の順で行う。

  1. ログインした状態で設定画面を開き、復旧先を書き写す。再設定用のメール、再設定用の電話番号、2段階認証に登録した電話番号を、ワークシートの匿名区画の列に書く。再設定画面からは確かめない。
  2. 実名区画の列と見比べる。同じ値があれば、それが橋だ。値が違っても、そのメールアドレスの転送先が実名区画の受信箱になっていないかを、一段先までたどる。
  3. SSO連携を一覧する。そのアカウントで「Googleでログイン」「Appleでサインイン」を使ったサービスと、逆にそのアカウントへのログインに使っている外部アカウントを書き出す。実名区画のアカウントが一つでも混ざっていれば、それも橋だ。
  4. バックアップの置き場所を書く。バックアップコード、復旧キー、復旧フレーズ、PINを、どの保管庫・どの紙に置いているかを書く。置き場所が実名区画の保管庫なら、匿名区画の保管場所へ移す。
  5. 通知の行き先を確かめる。不審なログインやパスワード変更の通知がどこに届く設定かを見る。実名区画の受信箱や、家族と共有する端末に届くなら、変更する。
  6. 切るか残すかを決めて、欄外に書く。見つけた橋ごとに、前節の脅威モデル別の考え方で、切る・匿名区画の値に置き換える・受け入れる、のどれかを決める。切った結果として戻れなくなるアカウントには、そのことも書いておく。

手順の2で橋を見つけても、その場で全部を切る必要はない。復旧先を外す前に、新しい復旧手段（匿名区画のメールや、印刷したバックアップコード）を先に登録する。順番を逆にすると、点検の途中で自分が締め出される。

限界と残るリスク#

復旧先を今日書き換えても、過去の記録は消えない。事業者が以前の再設定用メールや電話番号の変更履歴をどれだけ保持しているかは、各社の公式ヘルプからは確認できなかった。保持していると仮定するなら、一度でも実名の値を登録したことのあるアカウントは、書き換えた後も過去の記録の上ではつながっている可能性がある。その名義で露見したときの被害が大きいなら、復旧先を書き換えるより、アカウントそのものを作り直すほうが確実だ。

復旧経路を匿名区画の中で閉じても、他の橋は残る。登録やログインのたびに事業者が記録するIPアドレスと時刻、文体と投稿の時間帯、ブラウザの特徴は、この記事の点検の対象外だ。Laatschの事件でも、テスト送信と登録情報に加えて、両方のアカウントに同じIPアドレスからのログインがあった。他の層の点検は自分の匿名性を自己点検するにまとめている。

戻れない設計に寄せた場合は、その代償をはっきり引き受けることになる。PINや復旧キーを忘れれば、事業者に頼んでも戻れない。乗っ取られたときに本人であると証明する手段も細くなる。匿名性と引き換えに、トラブルのときの手続きを自分で抱える。

最後に、復旧経路を切っても行為の違法性は変わらない。この記事で取り上げた二つの事件の人物は、匿名性が崩れたこととは別に、行為そのものが罪に問われている。

まとめ#

匿名アカウントを一つ持っているだけの人は、今日そのアカウントにログインし、設定画面で再設定用のメールと電話番号を見る。そこに実名区画のアドレスや個人の携帯番号が入っていれば、匿名区画専用のメールアドレスを作って先に登録し、それから実名の値を外す。

取材源や相談者を守る立場の人は、取材用のアカウントから電話番号を外せるかを確かめる。外せないサービスなら、そのサービスを取材の連絡に使うかどうかを考え直す。バックアップコードや復旧フレーズは、取材用の区画の保管場所に移す。

匿名でサイトやサービスを運営している人は、自分のサイトが送る自動送信メールを、匿名区画の別のアドレス宛てに一通送らせ、送信元・返信先・ヘッダを受け取る側の目で読む。AlphaBayのウェルカムメールは、登録者の全員に運営者の個人アドレスを配っていた。

どの立場でも、ワークシートの「復旧経路」の行に、切った橋と残した橋の両方を書いておく。残した橋は、次に新しいアカウントを作るときに同じ過ちを繰り返さないための記録になる。

出典#