パスワードリスト攻撃
パスワードリスト攻撃とは、攻撃者が事前に用意したIDとパスワードのリストを使用し、企業や組織のWebサイトへの不正アクセスを試みるサイバー攻撃の一種です。このリストは、他のサイトの脆弱性を悪用するなどして入手されることが多く、この手法は「アカウントリスト攻撃」または「リスト型アカウントハッキング」とも呼ばれます。
攻撃者は通常、セキュリティが脆弱なWebサイトやシステムから、こうしたIDとパスワードのリストを入手します。たとえば、盗まれた認証情報を使ってECサイトのアカウントにアクセスした場合、個人情報を窃取したり、保存されているクレジットカード情報を不正利用したりする可能性があります。パスワードリスト攻撃の被害者は、不正な引き出しや取引によって金銭的損失を被るおそれがあります。
パスワードリスト攻撃の原因
- IDとパスワードの使い回し：多くのユーザーが複数のサービスで同じ認証情報を使い回しているため、攻撃者に複数のアカウントを侵害されやすくなります。
- フィッシング攻撃：攻撃者は、本物らしく見える偽のWebサイトにユーザーを誘導して認証情報を入力させるフィッシングにより、認証情報のリストを入手する可能性があります。
他のサイバー攻撃との違い
パスワードリスト攻撃は、次の攻撃タイプと混同されることがよくあります。
- ブルートフォース攻撃：考えられるすべての組み合わせを試し、パスワードを体系的に推測する攻撃です。
- 辞書攻撃：名前やフレーズなど、一般的なパスワードや単語の組み合わせを収録した定義済みのリストを使用する攻撃。
- パスワードスプレー攻撃：単一のパスワードを使用して多数のアカウントへのログインを同時に試み、アカウントのロックアウト機構を回避します。
パスワードリスト攻撃は、ブルートフォース攻撃と比べてアカウントごとのログイン試行回数が少ないため、特に検知が困難です。
実際に発生したインシデントの例
- QRコード決済システム：2019年7月、日本のQRコード決済サービス「7pay」は、パスワードリスト攻撃が関与したとみられる不正アクセスにより金銭的被害を受け、サービス終了に至りました。
- 銀行預金：2020年9月、NTTドコモの「ドコモ口座」サービスにおいて、盗まれた認証情報を使用した銀行口座からの不正な引き出しが発生しました。
パスワードリスト攻撃の影響
- 不正な引き出しと決済詐欺：盗まれた認証情報により、銀行口座への不正アクセスやクレジットカードの不正利用につながる可能性があります。
- データ侵害：被害者の機密性の高い個人情報や企業情報が漏えいする可能性があります。
- ソーシャルメディアでのなりすまし：ソーシャルメディアアカウントへの不正アクセスにより、偽の投稿やメッセージを通じて評判が損なわれる可能性があります。
- サービスプロバイダーの法的責任：不十分なセキュリティ対策により、企業が民事上および刑事上の責任を問われ、高額な事後対応が必要になる可能性があります。
- 社会的信頼の喪失：侵害により企業の評判が損なわれ、そのサービスに対するユーザーの信頼が低下する可能性があります。
パスワードリスト攻撃の防止
個人と組織の双方が、こうした攻撃を防ぐための対策を講じる必要があります。
- 認証情報の使い回しを避ける：ユーザーはサービスごとに異なるIDとパスワードを使用し、サービスプロバイダーはこの対策についてユーザーに周知する必要があります。
- WAFによるログイン試行の監視：Webアプリケーションファイアウォール（WAF）を使用し、同一IPアドレスからの複数回の試行や通常とは異なる場所からのアクセスなど、不審なログインアクティビティを検知します。
- 2要素認証（2FA）の導入：メールでワンタイムパスワードを送信するなど、認証手順を追加することで、認証情報が侵害された場合でも不正アクセスの防止に役立ちます。
