パスワードリスト攻撃とは、攻撃者がどこかで入手したID・パスワードのリストを用いて、正規ルートからの不正アクセスを試みるサイバー攻撃です。ネットユーザーの大半が複数のサイトで共通したID・パスワードを用いる傾向を利用した攻撃方法で、この攻撃は他の不正アクセスと異なり、正規のログイン方法を試みる手法であるため、プログラムによる検出が難しい点が特徴です。

パスワードリスト攻撃とはサイバー攻撃の一つですが、原因や対策方法がわからない内は不安に思うかもしれません。しかし、正しく対策をすれば大丈夫。今回はパスワードリスト攻撃の仕組みや実際の被害事例、そして利用者・企業それぞれが取るべき対策方法についてお伝えします。

パスワードリスト攻撃とは？

パスワードリスト攻撃とは、攻撃者がどこかで入手したID・パスワードのリストを用いて、正規ルートからの不正アクセスを試みるサイバー攻撃です。

ネットユーザーの大半が複数のサイトで共通したID・パスワードを用いる傾向を利用した攻撃方法で、攻撃者は実行のために必要なパスワードリストを、ターゲットよりもセキュリティの脆弱なサイトから入手してきます。

他のサイトでも同じID・パスワードの組み合わせを利用している人が、被害に遭いやすい攻撃手法です。

パスワードリスト攻撃の原因とは？

パスワードリスト攻撃が成功してしまう最も大きな原因は、「複数のサイトで同じパスワードを利用してしまう、ユーザーのセキュリティリテラシーの低さ」です。これはECコンテンツにおけるネット顧客の他、企業内の従業員用ウェブサイトにおいても共通し、様々な不正アクセス被害が生じています。

あなたも違うサイトのID／パスワードの設定の際、忘れないようにと「同じID／パスワード」を設定していませんか？これがパスワードリスト攻撃の被害に合ってしまう原因です！

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

パスワードリスト攻撃と他の攻撃手法との違い

パスワードリスト攻撃は従来型の総当たり攻撃とは異なる攻撃手法です。

ブルートフォース攻撃（総当たり攻撃）との違い

ブルートフォース攻撃は、ツールを使用して全ての単語を高速で入力し続ける不正アクセス手法です。強引に力技でログインを試みる攻撃手法で、ログインIDを固定し、考えられるパスワードをすべて試行します。試行回数が莫大になるため、アカウントロック機能などによる検出は比較的容易です。

辞書攻撃との違い

辞書攻撃は、パスワードに使われやすい単語を、ツールを使って総当たり方式で入力する不正アクセス手法です。ブルートフォース攻撃よりは効率的ですが、こちらも試行回数が一定数必要になるため、パスワードリスト攻撃と比べると検出されやすい傾向にあります。

パスワードスプレー攻撃・リバースブルートフォース攻撃との違い

比較的新しい手口として、パスワードスプレー攻撃（リバースブルートフォース攻撃）があります。これは、ブルートフォース攻撃とは逆に、パスワードの方を固定し、多数のIDに対して同じパスワードを試行する手法です。「123456」や「password」など、よく使われる単純なパスワードを、大量のアカウントに一斉に試すことで、アカウントロック機能を回避しながら不正ログインを狙います。

パスワードリスト攻撃が「特定の1組のID・パスワードで正確にログインを試みる」のに対し、パスワードスプレー攻撃は「単純なパスワードで多数のIDを試す」という違いがあり、いずれも1つのID・IPアドレスあたりの試行回数が少ないため、検知が困難な点で共通しています。

パスワードリスト攻撃されるとどうなる？

パスワードリスト攻撃が成功すると、該当アカウントを乗っ取り、本人になりかわって様々な行動が可能です。当然、被害は乗っ取られたアカウントの種別や与えられた権限に依存します。

実際に起きた事件の代表的な被害は以下の通りです。

• ECサイト内のポイントの不正使用
• SNSアカウントの不正使用・不正投稿など
• 個人情報の流出・改ざん及び削除
• 企業秘密の漏洩
• ゲームサイトにおけるアイテムの不正流出

パスワードリスト攻撃被害事例

パスワードリスト攻撃は比較的簡単に行うことができるため、事業規模を問わず様々な場面で悪用されています。被害事例は公表されているものだけでも膨大な件数が存在し、現在最もメジャーなサイバー攻撃の1つです。

任天堂株式会社｜リスト型攻撃で約16万件に不正アクセス

2020年4月24日、任天堂は「ニンテンドーネットワークID（NNID）」約16万件に外部から不正ログインが確認されたと公表しました。攻撃はパスワードリスト攻撃の可能性が高く、ニックネーム、生年月日、メールアドレスなどが流出した恐れがあります。

URLhttps://cybersecurity-jp.com/news/36252

日本航空株式会社｜JAL会員アカウント205件が不正アクセス被害

2019年2月14日までに、日本航空の会員アカウント205件が不正アクセスを受け、このうち21件から約135万円相当のマイルが流出したことが明らかになりました。流出したマイルは共通ポイント「Ponta」に変換され、約111万円相当が商品購入などに使われたとされています。

URLhttps://cybersecurity-jp.com/news/29949

コジマネット｜パスワードリスト攻撃で顧客情報が不正閲覧の可能性

2019年5月23日、コジマはオンラインショップ「コジマネット」で、パスワードリスト攻撃とみられる不正アクセスが発生したと公表しました。一部顧客アカウントの氏名、住所、連絡先、メールアドレス、購入履歴などが閲覧された可能性があります。

URLhttps://cybersecurity-jp.com/news/31463

パスワードリスト攻撃の対策【利用者編】

通常サイバー攻撃の対策としては、セキュリティ対策をしっかりと行うなどサービス提供側が行うものがほとんどですが、パスワードリスト攻撃の対策は違います。

パスワードリスト攻撃に対して最も有効な対策は、「ユーザー側に他社ログインパスワードを使いまわさないように注意喚起する」ことです。パスワードを使い回さない。これが最も重要です。

パスワードリスト攻撃は総当たり攻撃と比べてログイン試行回数が少ない上に、アクセス方法自体は正規ルートのものを使用するため、運営者側が不正アクセスを検出することが難しいからです。

パスワードを使い回さないための管理方法

パスワードを使いまわさないようにするための対策方法として、IPA/JPCSRTから推奨されているのは下記の3つの方法です。

• 紙のメモを利用する：IDとパスワードを記載したリストを紙のメモに保持します。IDとパスワードを別々の紙に分けて管理するとより安全です。紙にメモする場合、ネットワーク経由で窃取される危険はありませんが、紙そのものの紛失・盗難の恐れがあります。そのため、第三者が見てもわからないように記載する必要があります。
• 電子ファイル（パスワード付き）：IDとパスワードを記載したリストを「パスワード付きの電子ファイル」として保持します。電子ファイルには、表計算ソフトやテキスト編集ソフトを使います。その電子ファイルにパスワードを設定して保存します。
• パスワード管理ソフトを利用する：パスワード管理のための信頼のおける専用ツールを使用し、IDとパスワードを保存します。ツールを起動するためのマスターパスワードだけを覚えておけば、各サービスのIDとパスワードを呼び出すことができます。

パスワード管理ソフトの紹介

パスワードを使い回さないためには必須のパスワード管理ソフトを紹介いたします。どれか一つを利用して、ぜひパスワードの使い回しはやめましょう！

1Password

パスワード管理ソフトの中でも定番ソフトと言われているのが「1Password」です。1つのマスターパスワードで複数のパスワードを管理できるパソコン、スマホ共通のアプリです。複雑で強固なパスワードを自動生成してくれる機能があります。

参照https://1password.com/jp

LastPass

Password Managerにあるパスワードはマスターパスワードで保護、ローカルで暗号化され、他のブラウザと同期されます。ユーザー名とパスワードの入力フォームに対応する自動入力や、パスワードの生成、サイトの共有やログ取りも行えます。

参照https://www.lastpass.com/

ロボフォーム（RoboForm）

ログイン情報の管理はもちろんのこと、強力なパスワードを自動生成して記憶までしてくれます。

参照https://www.roboform.com/jp

2段階認証を利用する

ワンタイムパスワードやトークンを用いた2段階認証によるセキュリティ強化も有用です。仮にリスト攻撃による不正ログインが確認されても、被害の発生を抑制することができます。

パスワードリスト攻撃の対策【サービス提供者・企業編】

パスワードリスト攻撃は、利用者側の注意だけでなく、サービスを提供する企業側の認証設計にも対策が求められます。前述のバーコード決済サービスの事例のように、運営側の対策不足がサービス継続そのものを脅かす事態にもなりかねません。

多要素認証（MFA）の導入

ID・パスワードに加えて、SMSや認証アプリによるワンタイムパスワード、生体認証などを組み合わせることで、仮にID・パスワードが流出していても不正ログインを防ぐことができます。重要な情報を扱うサービスでは、多要素認証の導入がほぼ必須の対策となっています。

アカウントロック・ログイン試行回数の制限

一定回数ログインに失敗したアカウントを一時的にロックする仕組みは、ブルートフォース攻撃や辞書攻撃には有効です。ただし、パスワードリスト攻撃やパスワードスプレー攻撃は1アカウントあたりの試行回数が少ないため、この対策だけでは不十分な点に注意が必要です。

WAF（Web Application Firewall）の導入

WAFを導入することで、同一IPアドレスからの大量アクセスなど、不審な通信パターンを検知・遮断できます。パスワードリスト攻撃は複数のIPアドレスに分散して行われることもあるため、他の対策と組み合わせて多層的に運用することが重要です。

不正ログインの検知・異常なアクセスパターンの監視

普段と異なるIPアドレスや地域からのログインを検知し、本人に通知する仕組みを整えることで、万が一の不正ログインにも早期に気付き、対応することができます。

休眠アカウントの廃止

長期間使われていない休眠アカウントは、不正ログインされても気付かれにくく、攻撃の足がかりにされやすい傾向があります。一定期間利用のないアカウントを定期的に洗い出し、無効化する運用が有効です。

まとめ

今回は、現在最も広く行われているサイバー攻撃の1つ「パスワードリスト攻撃」について解説しました。他のサイバー攻撃と比べてユーザーの注意力を高める必要がありますから、積極的な注意喚起を行うなどの企業対応が求められます。

リスト攻撃による不正アクセスに成功した場合、犯人が好ターゲットと認識して、標的型攻撃へ移行する可能性も否定できません。また、2019年のバーコード決済サービスの事例が示すように、対策の不備はサービス自体の存続を揺るがしかねない重大なリスクにもなります。

利用者側は「パスワードの使い回しをやめる」「パスワード管理ソフトや2段階認証を活用する」こと、そしてサービスを提供する企業側は「多要素認証やWAF、不正ログイン検知の仕組みを整える」ことの両方を組み合わせることが、パスワードリスト攻撃を未然に防ぐための鍵となります。