「パスワードは死んだ」――。オンラインサービスをはじめ大半のシステムがパスワード認証を利用しているにもかかわらず、そう感じる人が増えている。それはなぜだろうか。

　理由の1つが「パスワードを狙った攻撃の増加」だ。近年、データ漏えい事件が数多く発生している。中でも目立つのが、オンラインサービスやWebサイトからID／パスワードの一覧（パスワードリスト）を不正に入手しようとする「パスワードリスト攻撃」だ。入手したパスワードリストを「ブラックマーケット」とも呼ばれる地下マーケットで金銭化することをビジネスとする攻撃者もいる。

　パスワードリストを購入した別の攻撃者は、その情報を使って不正ログインを試みる。そこで入力したパスワードが正しければ、システム側はそれが不正行為であることを見極めることができず、ログインを許してしまう。その結果、攻撃者に正規ユーザーの個人情報を盗まれたり、クレジットカードや集めていたポイントを不正に使われるなどの被害が発生する。またサービスを提供する企業は、不正ログインを許したことで悪評が広まり、結果的に大規模な損害に発展してしまう。

　「パスワードは死んだ」といわれるのは、こうした脅威が対岸の火事ではなくなりつつあるからだ。パスワードが漏えいしてしまった場合、もちろん悪いのは攻撃者だ。ただしエンドユーザー側やクラウドサービス側には問題が一切ない、とは言い切れない。

エンドユーザー側の問題

　業務に使えるオンラインサービスが充実している現在、企業が複数のオンラインサービスを使うことは珍しくない。オンラインサービスの多くは、ログインにメールアドレスとパスワードの組み合わせを利用する。このとき、2種以上のオンラインサービスに対して同じメールアドレスとパスワードを割り当ててはいないだろうか。こうした行為は「パスワードの使い回し」といわれ、現在では危険だとされる行為だ。

　例えば脆弱（ぜいじゃく）性を突く攻撃手法でWebサイトが攻撃され、メールアドレスとパスワードが漏えいしてしまった場合、パスワードの使い回しをしているエンドユーザーは高い確率で不正ログインの被害を受ける。攻撃者は不正入手したメールアドレスとパスワードを使ってログインを試みるだけであり、特に苦労することなく不正ログインができてしまう。

　パスワードの使い回しがなくならない背景には、複雑なパスワードほど覚えにくいという事実がある。従業員レベルでできる対策としては、まずベースとなるパスワードを決め、サービス名の頭文字（例えば「Google」なら「G」）をそのパスワードの先頭に付けるといったテクニックがある。このテクニックは簡単であり、かつパスワードリスト攻撃に比較的有効である。ただし複数のオンラインサービスのパスワードを従業員に管理させる点に変わりはなく、ルールが徹底できる保証はない。

オンラインサービス側の問題

　オンラインサービスでは多くの場合、エンドユーザーのパスワードをオンラインサービス側のデータベースに保管する。この保管の仕方に問題があると、いとも簡単にデータベースの情報が流出してしまう。例えばオンラインサービス事業者内に内部犯行を企てる人物がいた場合、その事業者が従業員に不用意にアクセス権を与えていると、アクセス件を悪用してパスワードが保管されたデータベースへアクセスされてしまいかねない。外部の攻撃者の場合でも、事業者がインターネットに公開しているWebサイトに脆弱性があれば、そこを攻撃されてパスワードが保管されたデータベースへアクセスされてしまう可能性がある。

　企業がオンラインサービスを選定する際に確認したいのは、そのオンラインサービス事業者がパスワードを保管するときに「パスワードのハッシュ化」をしているかどうかだ。パスワードのハッシュ化とは、パスワードをデータベースに保管する前に、一定のルール（ハッシュ関数）でパスワードを別の文字列であるハッシュ値に変換しておく処理のことだ。ハッシュ値から元の文字列に戻すことは難しい。そのためパスワードをハッシュ化しておけば、データベースの情報が流出した際、攻撃者にパスワードを知られないための対策になる。

　だが総務省が2015年7月に公表した「ウェブサービスを提供する企業のID・パスワードの管理・運用実態調査結果」によると、パスワードのハッシュ化の実施率は57.2％と低かった。つまり攻撃者にとって都合のよい、パスワードがハッシュ化されていないオンラインサービスやWebサイトが国内に多く存在することになる。

　実はインターネットには、代表的なハッシュ値と元の文字列を紹介するWebサイトが存在する。「password」といった単純なパスワードであれば、検索エンジンでハッシュ値を検索するだけで、元のパスワードが特定されてしまう可能性は否定できない。だが平文のままパスワードを保存しておくのと比べて安全性が高いのは事実であり、それがハッシュ化をしない理由にはならない。

　パスワードのハッシュ化が進んでいない事実からは、システム設計時にセキュリティを十分に意識していないオンラインサービス事業者がいまだに多いことが伺える。その分、パスワードリスト攻撃の脅威も大きくなる。企業は「パスワードは漏えいする」という前提で対策を講じなければならないのだ。