JPCERTコーディネーションセンターが2014年よりスタートした「STOP!パスワード使い回し!」というキャンペーンがあります。ほかのサービスで使用しているパスワードを使い回すことで、そのパスワードが外部に漏れた場合、あらゆるサービスから自分の個人情報が漏れる可能性があるため、使い回しには多大なリスクがあると言われています。

今回、マイナビニュースでは特集として、JPCERTコーディネーションセンターや日本を代表するネット企業10社から寄稿いただき、「なぜパスワードを使い回してはいけないのか」「パスワードを使い回すとどのようなセキュリティリスクがあるのか」など、具体的な事例を交えて解説を行います。

5回目は、ドワンゴ プラットフォーム事業本部 共通基盤開発部 担当部長 高橋 健太氏による寄稿です。

【特集】STOP!パスワード使い回し!
ヤフー、楽天らネット企業10社が語る"リスク"と"対策"

ドワンゴの不正ログイン被害例

こんにちは。ドワンゴの高橋健太 (@rika_t) です。niconicoのセキュリティを担う、アカウントシステムのリーダーを担当しています。

今回は「STOP!パスワード使い回し!」キャンペーンに関する寄稿ということで、昨年各社で発生した不正ログインに関して、ドワンゴでの取り組みを振り返りたいと思います。

ドワンゴでは、プレスリリースや、ニコニコインフォでの告知で2014年6月にお伝えした通り、以下のような大規模な不正ログインが発見されました。

  • 不正ログインが認められた期間(試行を含む)

2014年5月27日～2014年6月17日

  • 不正ログイン試行回数

355万1370回

  • 不正ログイン件数

29万5109アカウント(ID)

  • ニコニコポイントを不正に使用されたアカウント(ID)数

23アカウント(ID)

  • ニコニコポイント不正使用による被害総額

17万3713円(いずれも発表資料より抜粋)

この不正ログインは、既にその他特集記事でも説明されている通り、別のサービスから取得されたと思われる「正しいIDとパスワード」でのログインが行われたものでした。

パスワードの使い回しがいかに危険か、ということを物語った事件だったと言えます。

niconico不正ログインを更に振り返る

時系列順に更に振り返ってみますと、以下のようになります。

  • 2014年6月9日、10日

発覚した理由は「覚えのないニコニコポイントの利用」に関する問い合わせが、複数ユーザーからカスタマーサポートチームへ来たことからでした。

その話を元にエンジニアがログイン試行の証跡を調べたところ、同一IPアドレスからのログイン試行であったため、それを全て攻撃者からのログインと見なしました。そして、その日中に、ほぼ完全な被害アカウントのリストが作成できました。

その後、このリストを利用して、メール配信システムからユーザーに対して本人通知を実施しています。利用可能なメールアドレスをしっかりと登録していただいているユーザーの方は、この時点で更なる被害を免れることが可能だったと思われます。

ここでニコニコインフォでの第一報を実施しました。Twitterでも非常に多くの方にリツイートして頂き、反響も大きいものでした。この第一報を取り上げてくださったニュースサイトもたくさんあり、注意喚起としては効果があったものと思われます。

ただ、情報に敏感な人や、セキュリティについて普段から意識を持っている人には届いても、実際の被害者には中々情報が届きづらい面もあり、ドワンゴ社内では「これだけでは対応としては不十分」という見方が多数でした。

不正ログインに関するニコニコインフォ告知
  • 6月11日～13日

10日に実施したメール送信の効果はある程度はあったものの、残念ながら、メールアドレスが古く届かなかったか、見ても対策を講じなかったかなどにより、未だに攻撃可能なアカウントがかなりの割合で残っている状況でした。

この日は、不達メールが戻ってきた数などを集計して、どの程度更なる対策をniconico側で実施するべきかを検討しています。

また、法務から警察への連絡のため、ログイン試行の証跡を取りまとめるなども、この期間で実施しています。ドワンゴ社内はチャットツールで繋がっているので、法務部長が直接エンジニアに質問して数字をまとめている、当時の会話ログも残っています。

この数字の取りまとめも含めた形で、最終的な報告をドワンゴのプレスリリースとして、Webサイトに掲載しました。このプレスリリースは各社で取り上げていただき、後にニュースサイトで「お手本のような詳しい情報公開」などと褒めていただけたことは、当時の対策を実施したエンジニア一同も、少し救われた気持ちになった記憶があります。

不正ログインに関するプレスリリース
  • 6月14日、15日

不正ログインを発表してから初めての土日で、カスタマーサポートへの問い合わせが急増しており、サポートチームも通常より体制を強化して休日対応を行いました。また、被害が継続している、パスワードがまだ変更されないアカウントに対し、どのように対処するかの検討は、土日も継続して行っています。

上記の対処方針の決定に備えて、社内では、現行のプログラムの改修すべき箇所の洗い出しをした上で、不正ログイン停止状態の実装もこの土日の二日間で実施していました。

  • その後

この土日に改修したプログラムを本番に反映するための作業を行ったり、土日で更に拡大していた不正ログインの被害について、更にユーザー告知と、ドワンゴWebサイトでの続報を記載するなど、不正ログイン対策を追加しています。

これらの対策の一環にもなりますが、niconicoの認証システムのリニューアルが実施されつつあります。ログインフォームや、アカウント設定ページの見た目が変わったので、気づいた方もたくさんいらっしゃるかもしれません。

新しいniconicoログインフォーム

新しいniconicoアカウント設定ページ

今後も、アカウント設定やログインに関しては、新システムでの機能追加が予定されています。

現在のniconicoの不正アクセスへの取り組み

それ以降、現在に至っても、ずっと不正ログインの攻撃は継続しています。この時ほど大規模ではなくなったにせよ、手口も巧妙化しており、検知自体も難しさが増しています。

niconico側も、攻撃の自動検知の仕組みや、検知された後の対応の自動化など、様々に対応しており、運用に乗ったと言える状況ではあります。

ただ、人気生放送で久々にアカウントにログインしようとした人が「パスワードを間違え続けてアカウントがロックされてしまう」というケースや、ランキング工作などで「アカウント自体を攻撃者が取得してログインを繰り返す」というケースもあるため、日々改善を行い、対策を強化し続けています。

本当に色々な利用パターンがあるので、巡回運用するサポートチームや対策を講じるアカウントシステムのエンジニアも、"毎日が戦い"といった状況です。

ただ、攻撃の性質上、「正しいIDとパスワード」でアクセスされると、サービス側ではどうにも検知できないケースが絶対に発生してしまいます。皆さんが利用しているアカウントを守るには、利用者自身での正しい認証情報の管理が最も有効です。

パスワードの管理方法には様々なものがありますが、今すぐ対策できるものに、「いつものパスワード」に「サービス名」など、「少し異なるフレーズをくっつけてしまう」というものがあります。

情報処理推進機構(IPA)でも、この方法を推奨するキャンペーンサイト「チョコっとプラスパスワード」がありますので、こちらを見て、ご自身のパスワード管理を一度見直してみてはいかがでしょうか。

niconicoでは、こちらからパスワードが変更できます。登録されているメールアドレスが、もう利用できないものになっている方は、こちらから登録メールアドレスのご変更もお忘れなく!

著者プロフィール

高橋 健太(たかはし けんた)
ドワンゴ プラットフォーム事業本部 共通基盤開発部 部長

2008年、日本アイ・ビー・エム　システムズ・エンジニアリング株式会社入社後、Webアプリケーション基盤の構築、開発を経て2012年ドワンゴ入社。
ニコニコ動画開発からアカウントシステム専任チームの立ち上げ、2015年より現職。niconicoのWeb系バックエンドシステムの統括を担当。