「ログインしたまま」はどこまで危険なのか

危険度を決めるのは「ログイン中か」より、誰がその端末を操作できるか

自分だけが使い、強い画面ロックがあり、紛失時の遠隔ロックや端末探索も使える端末なら、普段使うサービスへログインしたままにすること自体を一律に危険と考える必要はありません。利便性のためにログイン状態を維持するサービスは一般的です。

一方、共有PC、家族共用端末、ホテルや施設のPC、会社で複数人が同じOSアカウントを使う端末、紛失して手元を離れた端末では話が変わります。第三者がブラウザを開けるなら、パスワードを知らなくても、残っているログイン状態を使ってメール、クラウド、SNSなどを本人として操作できる場合があります。

「ログインしたまま」は、認証済みのセッションが続いている状態

多くのWebサービスでは、最初にパスワードやパスキー、多要素認証などで本人確認をした後、ブラウザやアプリに認証済みの状態を示す情報を持たせ、しばらく本人確認を繰り返さず使えるようにします。これがログインセッションです。

NISTのデジタル認証ガイドラインでも、認証後の利用をセッションとして継続し、明示的なログアウト、一定時間の経過、再認証などで管理する考え方が示されています。つまり「パスワードが保存されているか」と「すでに成立したログインセッションが残っているか」は別の問題です。

2段階認証があっても、成立済みセッションの全操作で毎回確認されるとは限らない

多要素認証や2段階認証は、不正な新規サインインを防ぐうえで重要です。ただし、一度正規に認証されてセッションが成立した後は、通常の操作のたびに毎回2段階認証を求めるとは限りません。重要な設定変更だけ再認証を求めるサービスもあります。

そのため、端末を第三者に操作される状況では「2段階認証を設定しているから、ログインしたままでも大丈夫」とは言い切れません。画面ロック、端末の利用者分離、不要なセッションの終了も別の防御として必要です。

タブやブラウザを閉じることと、サービスからログアウトすることは同じではない

タブを閉じたり、ブラウザを終了したりしても、次に開いたときログイン状態が続くサービスは珍しくありません。ブラウザには前回のタブやセッションを復元する機能もあるため、「画面を閉じたからログアウト済み」とは判断しない方が安全です。

共有・公共の端末では、サービスのアカウントメニューから明示的にログアウトし、その後ブラウザを閉じます。Microsoftも公共のPCではプライベートブラウズを使い、利用後にサインアウトしてブラウザを閉じる手順を案内しています。プライベートブラウズは端末に残る閲覧データを減らす助けにはなりますが、PC自体の安全性を保証するものではありません。

端末を失った、共有端末から離れた――その後でもセッションを切れることがある

GoogleやMicrosoftなど多くのサービスでは、現在または最近使われた端末やセッションを別の端末から確認し、不要なものをサインアウトできる機能があります。端末を手放した、共有PCでログアウトしたか自信がない、心当たりのないセッションがある、といった場合はここを確認します。

Microsoftには「すべての場所でサインアウト」の機能があり、反映まで時間がかかる場合があると案内されています。Apple製端末を紛失した場合は「探す」による紛失モードや遠隔消去など、端末側の対策も組み合わせます。

迷ったときは、端末の管理状態で判断する

目安は単純です。自分専用で、強い画面ロックがあり、OSとブラウザを更新し、紛失時の対処も準備できている端末なら、毎回すべてのサービスからログアウトする必要性は高くありません。

逆に、第三者が同じ端末・同じOSユーザー・同じブラウザプロフィールを使えるなら、重要なアカウントはログイン状態を残さない方が安全です。特にメール、クラウドストレージ、パスワード管理、仕事の管理者アカウントは、ほかのサービスへの入口にもなり得ます。

不審なアクセスや身に覚えのない端末が見つかった場合は、セッションを切るだけで終わらせず、パスワード、パスキー、多要素認証、復旧用メールや電話番号、連携アプリなども確認します。