GmailやHotmail、さらには「GOV」ドメインのアカウントも

使い回しパスワードは特に注意、米Yahoo!でアカウント情報流出

2012/07/13

　7月12日、米Yahoo!のユーザー名とパスワード情報、45万件以上が流出したことが明らかになった。報道によれば、流出したのは、オンラインパブリッシングサービス「Yahoo! Voices」のユーザーアカウント約40万件。Yahoo!は流出の事実を認めながらも、盗まれたのは「Yahoo! Contributor Network」（旧Associated Content）の古いファイルであり、「有効なパスワードが含まれていたのはこのうち5％に満たない」と主張している。

　これに先立ち、「D33ds Company」と名乗る集団が、Yahoo!にSQLインジェクション攻撃を行ってアカウント情報を取得したと主張し、リストを公開していた。パスワードはプレーンテキストの状態で、ハッシュ化／暗号化されていなかったという。

　このリストを分析したSucuriやマカフィーによれば、流出した情報の中には、Yahoo!関連の情報のみならず、GmailやHotmail、AOLといったほかのサービスプロバイダーのアカウントも含まれている。これを踏まえてマカフィーでは、複数のサービスで同じパスワードを使い回すことは「危険」であると指摘し、あらためてパスワードの使い回しに注意が必要と述べている。

　またSucuriの分析では、中には数こそ少ないものの「GOV」や「MIL」といったドメインのアカウントも含まれていた。仮にこうしたアカウントでもパスワードを使い回していた場合、危険度はさらに高まる。同社は、「可能な限り速やかにパスワードを変更すべき。同じパスワードをほかのサービスでも使い回している場合はなおさらだ」と呼び掛けている。