面倒だけど避けては通れない、いまこそ考える「パスワード使い回し対策」：「STOP!! パスワード使い回し!!」キャンペーン開始

パスワードはなぜ使い回されるのか。IPAとJPCERT/CCはパスワード使い回しの現状を解説し、利用者とサービス事業者に向け、新たなキャンペーンを開始する。

[宮田健，＠IT]

　情報処理推進機構（IPA）およびJPCERTコーディネーションセンター（JPCERT/CC）は2014年9月17日、複数のサイトで同じパスワードを使い回さないよう呼び掛ける「STOP!! パスワード使い回し!!」キャンペーンをスタートした。パスワードリスト攻撃による不正ログインを防止するために、インターネットサービス利用者とサービス事業者に向け、パスワードの正しい扱い方をアピールする。

　流出したIDとパスワードの組み合わせを利用し、他のサービスで不正ログインを試みる「パスワードリスト攻撃」の被害が後を絶たない。この原因は、利用者が複数のサイトで同じパスワードを使い回していることにある。JPCERT/CCによると、パスワードリスト攻撃による被害例として、不正ログインの成立率は最大で9.98％という数値も出ている。

パスワードリスト攻撃の概要（JPCERT/CCのWebサイトより引用）

　IPAによるアンケート調査結果では、金銭に関連したサービスサイトにおいて、同一のパスワードを使い回している人の割合が4分の1（25.4％）となっている。さらにパスワードを使い回す理由として、最も多かったのは「パスワードを忘れてしまうから」（64.1％）だ。この結果からIPAは、複数のパスワードを忘れずに管理できる方法があれば、パスワードを使い回すことなくインターネットサービスを利用する有効な手段となり得るとした。

　IPA、JPCERT/CCはパスワードの管理方法として、「紙のメモを利用する」「パスワード付きの電子ファイルにメモをする」「パスワード管理ツールを使う」の3点を挙げる。また、不正ログインに気付くために、各サービスで提供されている「ログイン通知を見る」「ログイン履歴を見る」「認証コードを使う（二段階認証）」「ワンタイムパスワードを使う」などを推奨している。

　また、パスワードの使い回しは利用者の対策だけでなく、サービス提供事業者の対策も重要だとし、このキャンペーンに賛同するサービス事業者の募集も同時に行っている。賛同企業は、自社Webサイトにキャンペーンのバナーを掲載するなどで協力ができる。