ダークWebで大量の認証情報を発見

大規模流出事件から専門家が悟った「パスワードはもう時代遅れ」

膨大な認証情報が盗まれた。ダークWebで発見されたそのデータは不正利用するための特別な機能も備えていた。

公開 2018年01月15日 05時00分

著者

Michael Heller

[TechTarget]

印刷する Googleで優先するソースとして追加

悪意のあるユーザーが悪いのは当然なのだが……

　ダークWebを調べていた研究者が、盗まれた認証情報が平文で保存されている膨大なリポジトリ（ここではデータを一元的にまとめてある貯蔵庫の意味）を発見した。この種のリポジトリとしては過去最大の規模だった。

　なりすましなどの脅威対策を手掛ける米インテリジェンス企業4iQの創業者で最高技術責任者（CTO）を務めるジュリオ・カサル氏によると、問題のリポジトリは、同社の研究チームが2017年12月5日に発見した。ディープWebやダークWeb（いずれも通常のブラウザで参照できない情報）をスキャンして、流出や紛失、盗難に遭ったデータを探していた。41GBのリポジトリには、14億個の盗まれた認証情報が平文（暗号化されていない誰でも読める形）で保存されていた。これらは過去に起きた252件の流出事件から集められた情報で、世界最大級のビジネス特化型SNS（ソーシャル・ネットワーキング・サービス）であるLinkedInや、テキストデータを保存し公開することができるWebアプリケーションサービスPastebinなどから流出した情報も含まれていた。

併せて読みたいお勧め記事

そもそもパスワードはなぜ漏えいするのか

「パスワード」はなぜ漏えいし、破られてしまうのか？

では生体認証なら安全か？　なりすましは防げるのか？

悪意のあるユーザーにとって使いやすい状態に

　このリポジトリは、単に盗まれた認証情報が保存されていただけでなく、さらに先進的な機能を備えていたという。

　カサル氏はSNSのMediumにてこう記している。「これは単なるリストではない。総合的な双方向データベースであり、高速検索（反応時間1秒）や新たな流出情報の取り込みもできる。ユーザーが電子メールやソーシャルメディア、電子商取引、銀行、仕事用のアカウントで同じパスワードを使い回している現状を考えると、犯罪集団がアカウント乗っ取りやアカウント奪取を自動化することもできる。このデータベースは、パスワードの発見をかつてないほど高速かつ容易にした。例えば管理者が利用する『admin』『administrator』『root』というパスワードを検索すると、わずか数秒で22万6631件がヒットした」

　なおリポジトリを管理（露呈）しているサイトは他にもあり、例えばサイトAは脆弱（ぜいじゃく）性を攻撃するプログラム群を露呈している。サイトBはスパム用botとbotによって流出された認証情報を露呈している。両サイトともに過去大規模な認証情報の流出が確認されている。同氏によれば、今回見つかった認証情報のリストには、サイトAのリスト（7億9700万の記録）が含まれる他、133件の事案で流出したデータも追加されていた。一方、もう1つのサイトBの情報（7億1100万アカウントの認証情報）は含まれていなかった。

盗まれた認証情報の大量流出で見えた「時代遅れ」の対策

　このリポジトリで見つかったパスワードのうち、特に使用頻度の高いものは、とても安全とは言いにくいと専門家は指摘している。利用されているパスワードの上位は「123456」「123456789」「qwerty」「password」だったためだ。ユーザーはパスワードの使い回しに注意する必要があるとアドバイスする。

　米情報セキュリティ企業Tripwireの製品管理戦略担当副社長ティム・アーリン氏は言う。「盗まれた認証情報は、単純に数だけ見ると一大ニュースだが、このうちの何件が、他の流出事件に照らし合わせて新しいものなのかは分からない」

　アーリン氏は「現実は、盗まれた認証情報という貴重品が大量にダークWebに存在しているということだ。そうした情報が今後、ユーザー本人に対して不正に使用される事態を防ぐためには、コンシューマーが注意深く自分のパスワードを変更し、多段階認証を利用する必要がある。コンシューマーにとって、盗まれた認証情報が自分に対して不正利用される事態を防ぐ最善の対策は、定期的にパスワードを変更し、できる限り多段階認証を利用することだ」と語った。

　米情報セキュリティ企業Vasco Data Securityの最高マーケティング責任者、ジョン・ガン氏は、業界がパスワードから離れるべき時が来たと指摘する。

　「情報流出があまりに多く、パスワードを作成して覚えておくことが難しくなり過ぎて、パスワードは不正侵入を食い止めることよりも、正規のユーザーを自分のアカウントから締め出すことの方に効果を発揮するようになっている。生体認証や行動分析、適応認証の方が、犯罪を阻止する上ではパスワードに比べてはるかに効果的であり、ユーザーにも負担がかからない。近いうちにそれが標準になるだろう」

　米サイバーセキュリティソフトウェア企業Lieberman Softwareのフィリップ・リーバーマン社長も、従来型のパスワードシステムでは不十分だとの見方で一致する。

　リーバーマン氏は「大量の認証情報データベースがダークWeb上で見つかったことで、規制当局や政府はパスワードに関する自分たちの手薄なポリシーに対して懸念を持つべきだ。中でも特権アクセスに使われるパスワードへの不安は大きい。PCI DSS（PCIデータセキュリティ規約）などの規制が定める基準では、管理者パスワードを90日ごとに変更することしか義務付けておらず、現実から懸け離れている。同様に、監査役やアナリストが技術の進歩ではなく難読化を通じて平文パスワードをなくすことに固執しているため、今のITプロセスが現代の脅威に追い付いていない」と語った。

印刷する

この記事の著者

Michael Heller

大規模流出事件から専門家が悟った「パスワードはもう時代遅れ」

併せて読みたいお勧め記事

そもそもパスワードはなぜ漏えいするのか

では生体認証なら安全か？　なりすましは防げるのか？

悪意のあるユーザーにとって使いやすい状態に

盗まれた認証情報の大量流出で見えた「時代遅れ」の対策

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

大規模流出事件から専門家が悟った「パスワードはもう時代遅れ」

併せて読みたいお勧め記事

そもそもパスワードはなぜ漏えいするのか

では生体認証なら安全か？ なりすましは防げるのか？

悪意のあるユーザーにとって使いやすい状態に

盗まれた認証情報の大量流出で見えた「時代遅れ」の対策

この記事の著者

関連記事

「パスワード」はなぜ漏えいし、破られてしまうのか？

複製した指紋でなりすまし可能？ 「生体認証は絶対安全」とは言い切れない理由

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

では生体認証なら安全か？　なりすましは防げるのか？

複製した指紋でなりすまし可能？　「生体認証は絶対安全」とは言い切れない理由