JPCERTコーディネーションセンターが2014年よりスタートした「STOP!パスワード使い回し!」というキャンペーンがあります。ほかのサービスで使用しているパスワードを使い回すことで、そのパスワードが外部に漏れた場合、あらゆるサービスから自分の個人情報が漏れる可能性があるため、使い回しには多大なリスクがあると言われています。

今回、マイナビニュースでは特集として、JPCERTコーディネーションセンターや日本を代表するネット企業10社から寄稿いただき、「なぜパスワードを使い回してはいけないのか」「パスワードを使い回すとどのようなセキュリティリスクがあるのか」など、具体的な事例を交えて解説を行います。

初回は、JPCERTコーディネーションセンターの満永 拓邦氏による寄稿です。

【特集】STOP!パスワード使い回し!
ヤフー、楽天らネット企業10社が語る"リスク"と"対策"

パスワードリスト攻撃をご存じですか?

みなさん、パスワードリスト攻撃という言葉を耳にしたことはありますか?

パスワードリスト攻撃とは、攻撃者が何らかの方法で事前に入手したIDとパスワードのリストを使用し、他のインターネットサービスにログインを試みる攻撃手法です。

パスワードリスト攻撃は、パスワードを使いまわしている人を狙っている

もし私が上記の画像のように、「ID」と「パスワード」のそれぞれに、「mitsunaga@example.co.jp」と「M1tsunag@」を複数のインターネットサービスで使いまわしていると仮定します(実際には、このIDとパスワードは使用していません)。

攻撃者が脆弱性を利用して、C社のサービスからIDとパスワードを窃取した場合、攻撃者は他のサービス(例えばA社)に対して私のIDとパスワードを用いて不正にログインができてしまう可能性があります。

こうした状況では、攻撃者は総当たり的にパスワードを推測する必要がなく、比較的容易に不正にログインができてしまいます。

2012年頃からパスワードリスト攻撃による不正ログインの被害を公開する企業が増え始め、その後も継続的に被害が発生しています。それを踏まえて、JPCERT/CCは、2014年9月に、IPA(独立行政法人情報処理推進機構)とともに、インターネットサービス利用者に向けて複数のサービスにおいて同じパスワードを使い回さないよう呼びかけを行いました(JPCERTコーディネーションセンターリリース:STOP!! パスワード使い回し!!パスワードリスト攻撃による不正ログイン防止に向けた呼びかけ)。

なぜパスワードを使いまわすのか?

どのくらいのサービス利用者がパスワードを使いまわしているのか。また、なぜパスワードを複数のサービスで使いまわすのか。IPAが行った「オンライン本人認証方式の実態調査」の調査結果をもとにご説明します。

このレポートによれば、複数の金銭に関連したサービスサイト(インターネッ トバンキングやネットショッピングなど)に同一のパスワードを使い回している人の割合が約4分の1(25.4%)、金銭に関連したサービスサイトと個人的な情報に関連したサービスサイトに同一のパスワードを利用している人の割合は13.9%でした。

かなりの割合の人がパスワードを使いまわしており、この調査結果を踏まえると攻撃者にとってパスワードリスト攻撃は、有効な攻撃手法であるように見えます。

パスワードの使い回しの状況(IPAによるアンケート調査結果)

また、「パスワードを使い回している理由」で最も多いのは、「(パスワードを同一にしないと)パスワードを忘れてしまうから」が64.1%を占めています。下記の画像からも、「パスワードを忘れてしまうから、パスワードを使い回している」ことが分かります。このことから、「複数のパスワードを忘れずに管理できる方法」が、パスワードを使い回さずにインターネットサービスを利用する有効な手段と考えられます。

同一のパスワードを使う理由(IPAによるアンケート調査結果)

対策について

パスワードリスト攻撃による被害の軽減を図るためには、サービス提供事業者における対策に加えて、サービス利用者による適切なアカウント管理も必要となります。

この特集では、2014年9月から実施している「STOP!パスワード使い回し!」キャンペーンにご賛同いただいた各企業の方々から、サービス利用者として被害を受けないように取るべき対策や、また各企業において被害軽減のための取組みなどについて解説いただけます。

記事を通じて、パスワードリスト攻撃やその脅威について理解が広まり、攻撃への対策が進むことで、攻撃の被害が減少することを心より期待しております。

著者プロフィール

満永 拓邦(みつなが たくほう)
JPCERTコーディネーションセンター(JPCERT/CC) 早期警戒グループマネージャー

京都大学情報学研究科修了後、システム会社のセキュリティソリューション事業部に所属、ペネトレーションテストや情報セキュリティインシデント対応などの業務を行う。また、平成22年度・経済産業省新世代情報セキュリティ研究開発事業「効率的な鍵管理機能を持つクラウド向け暗号化データ共有システム」にプロジェクトリーダーとして研究開発に携わる。 2011年4月、JPCERT/CC早期警戒グループ セキュリティアナリストに着任。重要インフラ 向けに脅威情報の収集および分析に従事。JPCERT/CC早期 警戒グループ情報分析ラインリーダを経て2015年4月より現職。「サイバー攻撃からビジネスを守る」等の書籍の共著・監修も行っている。 JPCERTコーディネーションセンターとは、ネット上で起こったセキュリティ問題(ネットワークへの侵入や、コンピューターへのマルウェア感染、DDoS攻撃など)について、日本国内の問題の報告の受付、対応支援、状況把握、分析、再発防止策の助言などを行う、技術支援機関。政府機関や企業から独立した期間として、日本の情報セキュリティ対策活動の向上に取り組んでいる。