ICHIRO BLOG引っ越しました

山本一郎です。春ですね。皆さま、如何お過ごしでしょう。

数日前にgooとヤフーがサイバー攻撃を受けた話をとりあげましたが、その後もgooへの攻撃と同じパターンで複数の不正アクセスが発覚しています。

NTT東日本のフレッツ光会員サイトに不正アクセス、ログインを停止（ITpro 2013/4/5）
「eBookJapan」にも不正アクセス被害、約720アカウントにログインの可能性（INTERNET Watch 2013/4/8）

不正ログイン件数自体は、gooが約10万アカウントも突破されたことに比べれば、NTT東日本は30アカウント、eBookJapanが約720件といずれも規模は小さいですが、セキュリティを脅かされたという点ではなんら変わるところがありません。

これらの不正アクセス事件に関しては、IDとパスワードがどこかで漏洩するなどして悪意のある何者かに取得され、それを利用されたという可能性が非常に高いようです。

相次ぐ不正ログイン事件、原因はIDとパスワードの使い回しの可能性（ITmedia 2013/4/9）

攻撃者が入手済みのIDとパスワードのリストをもとに、ほかのサイトでもその組み合わせが通用するかどうかを試す目的があったとみられる。不正ログインが成立してしまったIDとパスワードの組み合わせは、既に別サイトでも利用されていた可能性が高い。

一体どこからこういうIDやパスワードの漏洩が起きてしまうのかが気になるところですが、もしかすると今流行りのスマホがそれに一役買っている可能性も考えなければならないのかもしれません。というのも、普段の生活でスマホから気軽にアプリやWebサービスにIDやパスワードを入力する機会が増えているのですが、IDやパスワードをその都度使い分けるのは、入力の面倒さもあってかなり億劫です。ついつい入力しやすいパターンになります。また、メールアドレスがデフォルトのIDとなるサービスも数少なくありませんから、その時点でIDが使い回されていることになります。

その上、IDやパスワード等を抜き取るのが主な目的と考えられる怪しいアプリも出回っているようです。

メールアドレス取得が目的の不正アプリが出回っているようです、注意しましょう（AppLab 2013/4/8）

こういった仕組みを使ってどんどん名寄せが行われれば、裏ビッグデータの出来上がりです。ネット上で不用心な人ばかりを集めた巨大データベースがどこかで構築されていたとしても、残念ながらあまり驚かない時代になってしまいました。

ネットで不用心といえば、通常は検索されないと油断しがちなPC以外のネット接続機器までも対象にした検索エンジンの話題が記事になっていました。

最も危険な検索エンジン？「Ｓｈｏｄａｎ」が浮き彫りにする無防備なネット環境（CNN.co.jp 2013/4/9）

実際にＳｈｏｄａｎで検索すると、ユーザー名が「ａｄｍｉｎ」、パスワードが「１２３４」という最も安易な組み合わせでログインできるプリンターやサーバー、システム制御機器などが無数に見つかる。ネットに接続していながらログインが一切不要なシステムも多数あり、ブラウザーさえあればアクセス可能な状態になっている。

ここでも、事実上のIDとパスワードの使い回しが、結果的にセキュリティの突破口となっていることがわかります。

悪意のある連中がその気になれば、結局はどこかから情報が漏洩してしまうのを止めるのはかなりむつかしいのかもしれませんが、それでも、普段の生活で不用意なIDとパスワードの使い回しを避ければ、不正アクセス被害にあう可能性を少しは低めることができそうです。面倒でもIDとパスワードは切り替えて使うようにしたいものです。

ところで、朝日新聞が今回の事件に関連しておもしろそうな特集記事を掲載しているのですが、残念ながら有料会員でないと全文を閲覧できないようになっています。こういう記事はセキュリティ意識啓蒙に役立ちそうですから、広く無償で一般公開すれば良いと思うのですが、いかがですかね？

標的は「パスワード」目的はカネ、使い回しが被害拡大（朝日新聞 2013/4/7）

いずれにせよ、なるだけサービスごとにパスワードを定期的に変えて、被害を防ぎたいところではあります。