大抵の人はパスワードを選ぶとき、「12345」とか、「letmein」(中に入れて)とか、かなり安易なものを選びがち(英文記事)です。では、視点を変えて、不正アクセスをしようとする輩が実際に試しているパスワードやユーザー名には、どんなものが多いのか見てみましょう。情報セキュリティ企業のRapid7がまとめた分析結果から、なかなか興味深いことがわかりました。

Rapid7は「Project Heisenberg」(プロジェクト・ハイゼンベルク)と称して、非公開のIPアドレスで稼動している世界中のハニーポット(不正アクセスの調査などのために設置する「おとり」のシステム)を対象に調査を行いました。同社では、ハニーポットに届くトラフィックはすべて、広範なIPアドレスのスキャンを行うサービスから来ていると想定しています。リモートデスクトッププロトコル(RDP)を使ったハニーポットへのログイン試行の約1年分のデータを分析したところ、119カ国の5000を超える異なるIPアドレスから、22万回以上もの不正なログインの試みが記録されていました。

もっともよく使われたパスワードのトップ10は次の通りです。

パスワード 試行回数 割合 x 11865 5.36% Zz 10591 4.79% St@rt123 8014 3.62% 1 5679 2.57% P@ssw0rd 5630 2.55% bl4ck4ndwhite 5128 2.32% admin 4810 2.17% alex 4032 1.82% ....... 2672 1.21% administrator 2243 1.01%


ランキング上位のいくつかのパスワードはいかにもありがちですが、「alex」なんて個人名が入っているのはちょっと意外ですね。ともかく、これらのパスワードは絶対に使わないようにしてください。

もっともよく使われたユーザー名のトップ10は、このような結果になりました。

ユーザー名 試行回数 割合 administrator 77125 34.87% Administrator 53427 24.15% user1 8575 3.88% admin 4935 2.23% alex 4051 1.83% pos 2321 1.05% demo 1920 0.87% db2admin 1654 0.75% Admin 1378 0.62% sql 1354 0.61%


ここにもなぜか「alex」が入っています。それはともかく、管理者のユーザー名は、「admin」が含まれないものへと変えることをお勧めします。

もっと詳しく知りたい方は、下記のレポートを参照してください。


The Attacker's Dictionary | Rapid7 via BetaNews.

Melanie Pinola(原文/訳:風見隆/ガリレオ)
Photo by automobileitalia.