「パスワードの使い回しはやめて」、IPAが呼び掛け：異なるパスワードを設定し、リストとして管理するなどの提案

[高橋睦美，＠IT]

　情報処理推進機構（IPA）セキュリティセンターは2013年8月1日、パスワードリスト攻撃（リスト型攻撃）によって不正ログインの被害が続いていることを踏まえ、パスワードの使い回しをやめるよう呼び掛ける文書を公開した。

　2013年4月以降、国内の複数のサービスで不正ログインの被害が報告されている。その多くは、何らかの方法で事前に入手したIDとパスワードのリストを流用し、プログラムなどを用いて自動的にそれらのIDとパスワードを入力することでログインを試みる手口だ。総当たり式に、あるいは辞書を用いてログインを試みる手段に比べて成功率が高く、アカウントロックが掛かる前にログイン試行が成功してしまう恐れがある。

　事実、IPAがまとめた情報によると、不正ログインの成功率が1％を超えてしまっているケースも報告されている。

　IPAは、こうした不正ログインが成立する背景として、「同じパスワードをさまざまなインターネットサービスで使い回す利用者が多い」ことを挙げている。たとえ強固なパスワードを設定し、セキュリティソフトを利用していても、そのパスワードを使い回しているとパスワードリスト攻撃の被害を防ぐことはできないとし、「すべてのインターネットサービスで異なるパスワードを設定」するよう呼び掛けている。

　しかし、個人が利用するインターネットサービスの数が増加し続ける中、1つ1つ違うパスワードを設定し、運用することは現実的ではない。IPAでは、追加のコストをかけずに複数のパスワードを管理する方法として、「自分が利用するIDとパスワードをメモ帳や表計算ソフトでリスト化し、それをZIPなどパスワード付きの電子ファイルに変換する」といった方法を挙げている。金銭に関連する重要なアカウントについては、IDのリストとパスワードのリストを別々に作成し、管理するよう推奨している。

　ただしこの場合、パスワードリストのファイルに付けるパスワードはきちんと管理しなければならない。パスワード付きZIP圧縮以外の手法、例えば暗号化ツールを用いることも1つの策となるだろう。

　なお、IPAの文書では触れられていないが、複数のパスワードを管理する手法としては、有償／無償のパスワードマネージャソフトの導入も挙げられる。サービス提供側としては、二要素／多要素認証の導入、OAuthなどの技術を用いたシングルサインオンの導入なども検討すべき時期に来ている。

　IPAはまた、この呼びかけの中で、不正ログインの被害に遭ったことが判明した場合には、さらなる被害を防ぐためにパスワードをすぐに変更し、サービス提供会社のサポート窓口に連絡するよう勧めている。