図解サイバー攻撃 [Cyber Attack dot Net]

図解サイバー攻撃。サイバー攻撃・サイバーテロや情報漏洩などのサイバーセキュリティインシデントについて詳しくイラストで解説。

図解サイバーセキュリティ用語

パスワードリスト攻撃 他のサービスから盗み出したIDとパスワードを利用して不正アクセス

投稿日:2017年3月12日 更新日:

SNSなどのウェブサービスで不正アクセスが頻繁に発生していますが、その多くはパスワードリスト攻撃による不正アクセスです。ここではパスワードリスト攻撃について解説します。

パスワードリスト攻撃

攻撃者が一番最初に狙うデータはアカウント情報です。アカウント情報とパスワードさえあれば、ある程度低リスクで目的の情報まで近づく事ができます。パスワードリスト攻撃とは、攻撃者が他のサービスから入手したIDとパスワードを利用して、攻撃対象のサービスにログインを試みる攻撃の事です。

パスワードリスト攻撃の解説

攻撃者は比較的セキュリティの弱いサービスAの脆弱性などを利用してIDとパスワード(ハッシュ値)を取得します。それをリスト化してメインの攻撃対象であるサービスB、C、Dに利用してみるのです。最近のWebサービスではメールサービスなどを利用したシングルサインオンを利用しているサービスもありますし、ユーザも複数のサービスを利用する際に同じID、同じパスワードを利用する傾向にありますので、この手法は以外と効果的のようです。

パスワードリスト攻撃への対策

最近の例としては、サイバーエージェントが提供するAmebaにたいしてパスワードリスト攻撃がありました。不正ログイン試行数は約38,000,000回、実際に不正ログインされたアカウント数は約600,000件のようです。ではパスワードリスト攻撃に対してはどのように対策をしていけばよいのでしょうか?

この種の攻撃に対してはいくつか対策がありますが、一般的な方法として以下の方法があります。

  1. ユーザにパスワードを定期的に変更させる
  2. ログオン試行の回数を5回以下に設定する
  3. パスワードの複雑性を他のサービスと違うより複雑なものに変更する
  4. 2要素認証でログオンさせる

予算がない企業は2要素認証などを導入できませんので、その場合は運用で対処する必要があります。また、未然に防ぐ対策が取れない場合はせめてログオン失敗のログを監視する運用をする必要があります。

広告

広告

-図解サイバーセキュリティ用語


comment

関連記事

DMZ(非武装地帯)とは?

DMZとはdemilitalized zoneの略で非武装地帯という意味があります。これは元々は軍事用語として使われており、戦争中もしくは停戦中である国家の間に設けられた地域で、そこでは協定によって軍 …

ブルートフォース攻撃(総当たり攻撃) 図解サイバーセキュリティ用語

ブルートフォース(brute force)とは「強引な」とか「力ずく」という意味で、ユーザのアカウント・パスワードを入手するため、もしくは暗号を解読するために考えられる全てのパターンを自動的に試す手法 …

Miraiとは? 大規模なDDoSを発生させる、IoTをターゲットとしたマルウェア 図解サイバーセキュリティ用語

2016年10月に米Dyn社のDNSサービスをターゲットとしたDDoS攻撃が発生しました。このDDoS攻撃ではなんと何千万という端末から1.2テラバイト/秒のデータがDyn社のDNSサーバに送信された …

データダイオードとは?

データダイオードとは データダイオード(Data Diode)とはネットワーク上でデータを一方向(片方向)のみの通信を実現させるためのアプライアンスの事を言います。一般的にFirewallはOSI参照 …

認証と認可の違いとは?

ITの世界では頻繁に「認証」と「認可」という言葉を利用します。特にIAM(Identity Access Management)の分野でこれらの言葉は区別して利用されています。一般ユーザからすると「認 …