2013年の春から夏にかけて、ECサイトやITサービスの会員制サイトなどさまざまなWebサイトに対してアカウントリスト型攻撃が実行され、多数の不正ログイン被害が発生した（参考：パスワードリスト攻撃による不正ログイン急増＜大和総研＞）。アカウントリスト型攻撃の被害の状況は、2012年に警察庁が発表した「平成23年中の不正アクセス行為の発生状況等の公表について」でも既に明らかにされている。2013年になってもその猛威は収まらず、さまざまなWebサービスがアカウントリスト型攻撃を受けており、被害が後を絶たない。

　不正ログインでは、コンシューマーとサービス提供企業の双方とも被害者意識を持つ傾向がある。コンシューマーはサービス提供企業側の不備を指摘し、攻撃を防ぐセキュリティ対策の実施を求めることが多い。一方でサービス提供企業はコンシューマーに対し、不正ログインの原因の1つだとされる「ログインID／パスワードの使い回し」をやめるように周知している。

　このように、コンシューマーとサービス提供企業のどちらの不備が不正ログインを招いたのかを判別しにくいことが、対策の遅延と被害の拡大を招いているとも考えられる。そのため、サービス提供企業は、コンシューマーが被害に遭わないよう注意喚起をすると同時に、攻撃が顕在化する前に一定の対策を講じることが望ましい。

不正ログインの手法を整理する

　対策を講じる上で、まずはなぜアカウントリスト型攻撃による不正ログインの被害が最近になって急増しているのかを解説しよう。

　アカウントリスト型攻撃が流行するまでは、自動化された不正ログインの手法は主に、「ブルートフォースアタック」や「辞書アタック」と呼ばれる攻撃だった（表1）。

　ブルートフォースアタックは、IDごとに英数字や記号などで構成されるパスワードを総当たりでログインを試行する手法だ。一方の辞書アタックは、頻繁に利用されるパスワードの統計情報などを基にしてパスワードのリストを作成し、IDごとにリスト順にパスワードをピックアップしてログインを試行していく手法である。

　ブルートフォースアタック、辞書アタック共に、1ID当たりの試行回数が多くなる傾向がある。このことから、同一サービスへログインの試行を繰り返す不審なアクセスを検出して、アクセス制限をかけることで対処が可能となる。

　一方のアカウントリスト型攻撃は、フィッシングや標的型攻撃などによって流出した「実在するID／パスワード」をアカウントリストとして、不正ログインの試行に悪用する（表2）。そのため、ブルートフォースアタックや辞書アタックとは似ているようで本質的に異なる攻撃だといえる。

　アカウントリスト型攻撃では、あるID／パスワードのセットでログインを試行するのは一度のみで、次のログイン試行では別のセットで試行する。サービス提供企業やアプリケーションからの視点で見た場合、コンシューマーが会員制サイトにログインする通常の操作と変わらないため、アカウントリスト型攻撃による不正ログインの試行を「攻撃だ」と判別することは困難だといえる。

　また、アカウントリスト型攻撃では実在するID／パスワードを流用するため、不正ログインの成功率もブルートフォースアタックや辞書アタックと比べて高く、その点においても見過ごすことのできないリスクだといえるだろう（参考：2013年8月の呼びかけ＜情報処理推進機構＞）。

アカウントリスト型攻撃は大きく2タイプ

　不正ログインによる被害増加の要因となっているアカウントリスト型攻撃は、攻撃者の送信元IPアドレスの偽装方法の違いから、2つのタイプに分けることができる。前提として、両タイプ共、攻撃者が同一の会員制サイトへ毎回別のID／パスワードを悪用して不正ログイン攻撃を仕掛けることを想定している。

タイプ1：特定多数タイプ

　送信元の偽装に匿名プロキシなどを利用するのが「特定多数タイプ」である（図1）。特定多数タイプの特徴は、攻撃者の送信元IPアドレスが特定のもので、かつ多数存在することだ。ただし、IPアドレスの数にはある程度の上限があることから、1つの送信元IPアドレスごとに大量の不正ログインを試行するのが一般的である。

図1　特定多数タイプの攻撃例

タイプ2：不特定多数タイプ

　「Tor」など、通信経路を隠蔽できるツールを使って送信元IPアドレスを偽装するのが「不特定多数タイプ」だ（図2）。不特定多数タイプの特徴は、複数かつ異なる送信元IPアドレスを利用して大量の不正ログインを試行することである。

図2　不特定多数タイプの攻撃例

　これら2タイプの間には、送信元IPアドレスの偽造方法の違い以外にも、ボットからのアクセスなどに異なる傾向が見受けられる。

アカウントリスト型攻撃の有効な対策は？

　対策が困難といわれるアカウントリスト型攻撃に対して、サービス提供者ができる対策とは何か。具体例を示そう。

2要素認証

　1つ目は「2要素認証」だ。2要素認証は、その名の通り2つの認証方式を組み合わせて認証する方法である。既にID／パスワードとトークン（ソフトウェア、ハードウェア）によるワンタイムパスワードを組み合わせる認証方法が、企業やインターネットバンキングなどで広く利用されている。仮にID／パスワードが流出したとしても、2要素目の認証によって不正ログインを防ぐことができるのが利点だ。

　ただし、2要素認証の導入にはアプリケーションの改修が必要になることに注意したい。また、ログイン時のコンシューマーの手間が1つ増えることも考慮すべきだ。サービス提供者は2要素認証の導入に当たり、アプリケーションの改修以外にも、コンシューマーへのトークンや利用手順の配布、サポート窓口／FAQの設置など多くの準備が必要になる。時間とコストを要する点が、2要素認証導入のハードルとなるだろう。

連続ログイン失敗の検知

　繰り返されるログイン失敗をトリガーとして、アカウントリスト型攻撃を検知・防御するのも有効な対策だ。例えば、「同一の送信元IPアドレスから、3分以内に10回以上のログイン失敗が発生している場合、その送信元IPアドレスからのアクセスを1日制限する」といったルールを作成。トラフィックやアプリケーションログを監視し、ルールにマッチしたログイン失敗を不正ログインだと見なす。

　こうした連続ログイン失敗を検知するには、Webサイトへのトラフィックをルールに従って自動的に解析し、攻撃を検知・防御する「Webアプリケーションファイアウォール（WAF）」で実現可能だ。WAFの導入により、コンシューマーへの負荷やコンシューマーサポートに関する準備の発生などを抑えることができ、スピーディーな対策が可能となる。

IPレピュテーションや端末認証によるアクセス元識別・制御

　その他、「IPレピュテーション」「端末認証」といったセキュリティ製品／サービスを利用し、攻撃者やボットからのアクセスとコンシューマーからのアクセスを識別して制御するのも効果がある。

　IPレピュテーションは、送信元IPアドレスを基に、当該IPアドレスが攻撃者やボット、Torなどに悪用されていないかどうかを評価・識別し、これらからの不正アクセスを防ぐ効果が期待できる。

　端末認証は、Webブラウザからの情報だけでなく、パケット情報など多数の項目から端末を正確に識別する。その後、端末ごとにユニークな端末IDを付与して、特定の端末からのアクセスを追跡することで、不正アクセスを防ぐ効果が期待できる。

　こうした端末認証機能は、SaaSとして提供されていたり、WAFや侵入防御システム（IPS）のオプションとして提供されている場合もある。

パスワードポリシーの見直し

　既に実施済みのサービス提供者も多いと思うが、コンシューマーに対して定期的なパスワード変更を促したり、同一パスワードの利用規制を施すことで、コンシューマーのログインID／パスワード使い回しの抑制、さらにはアカウントリスト型攻撃の成功率低減が期待できる。

　こうしたパスワードポリシーの見直しは、直接的な対策とは言いにくいのは事実だ。だが不正ログインによる被害が増加している現在、必要性はあらためて高まっているといえる。

　冒頭で触れたように、不正ログインによる被害は急増しており、被害を受けたコンシューマーも少なくないと思われる。このような攻撃の被害に遭わないために、コンシューマー自身による対策が重要となるのはもちろんだが、サービス提供企業も現在可能な中から自社にとってベストといえる対策を選択し、被害の拡大防止のために早急に取り入れてほしい。

　次回は、Webアプリケーションを狙った攻撃の中で最も多いとされる「SQLインジェクション」と「クロスサイトスクリプティング（XSS）」に関する最新情報と、国外で増加しているその他の被害と対策について紹介する。