大規模な不正アクセス事件が続発、原因は「パスワードの使い回し」 - トレンドマイクロセキュリティブログ

トレンドマイクロセキュリティブログでは、世界中に存在するウイルス解析などを目的としたリージョナルトレンドラボの解析者による最新情報が提供される。日本における動向分析においては、国内事情を反映したレポートが行われる点にも注目したい。興味深い内容があれば、こちらで紹介していく予定である。

続発する不正アクセス事件

2013年に入ってから、多くの不正アクセス事件が発覚・報道されている。まずは、それをまとめたものが、表1である。

表1 2013年の主な不正アクセス事件

これらはあくまでも不正アクセスが発覚したものだ。つまり、現時点で発覚していない、まさに現在進行中の不正アクセスの存在も否定できない。トレンドマイクロによれば、表1の1から4番と6番は、侵入試行と情報窃取を目的としている従来型のハッキングといえる。しかし、4月に入って変化がみられる。不正ログインやWebサービスのアカウントに対するハッキングとなっている。5番や7から11番がそれに該当する。

具体的な攻撃内容であるが、10番の事件では情報通信業者からアカウントあたりの不正ログインの試行回数が公開されている。それによると、779件の不正ログインのうち、94%は2回以内の試行でログインが成功している。これは、攻撃者があらかじめアカウントとパスワード情報を入手していたと推察できるとのことである。

原因は「パスワードの使い回し」

トレンドマイクロでは、このような不正アクセス事件の原因として「パスワードの使い回し」を指摘している。Webサービスなどでは、アカウントにメールアドレスを使うことが多い。さらに多くのユーザーが、異なるWebサービスに対し、同一のアカウントで同一のパスワードを使用することが多い。そこを、攻撃者は狙っているのである。

6番のような方法でアカウントとパスワード情報を入手し、その情報を使い、他のWebサイトで試すのであろう。パスワードの使い回しが多いほど、攻撃の成功率は高まる。

基本的な対策は「パスワードを使い回さない」

パスワードとして、数字や記号を含め、辞書にない言葉を使うべきといわれる。こうして複雑に作成されたパスワードは、安全性が高い。しかし、一方で覚えにくいという弊害が発生する。メモに書いて、ディスプレイに張り付けていたのでは、どんなに強固にしてもパスワードの意味はない。毎日使用するパスワードならば、覚えることも可能であるが、月に1度程度の使用頻度であると、覚えておくのは非常に難しい。そこで、使用したいのが、パスワード管理ツールである。

図2は、トレンドマイクロが提供するパスワードマネージャーである。5つのパスワードまでならば、無償で利用できる(6つ以上は、月額150円)。初めてアカウントやパスワードを入力するタイミングで、登録を行う。以降は、そのWebサイトを閲覧するたびに、自動的にパスワードが入力されるようになる。パスワードの自動生成機能もあるので、記号などが含まれた強固なパスワードの設定も可能である。注意すべきは、パスワードマネージャを保護するマスターパスワードは、強固なパスワードを設定する必要がある。これが、破られると元も子もない。この点だけは十二分に注意したい。