【ハウツー】不正ログインでユーザーはどんな被害を受けるのか? 事例から読み解く傾向と対策
●LINEやniconicoで起こったことリスト型攻撃は、あるインターネットサービスから盗まれたIDとパスワードのリストを使い、ほかのサービスに不正ログインする、という攻撃だ。このため、IDとパスワードを複数のサービスで使い回さない、というのが最大の防御策となる。
すべてのサービスでIDとパスワードを完璧に異なるものにする必要はなく、個人情報入力がないサービスで、不正ログインされても被害が最小限というなら使い回してもいいし、パスワードもある規則に従って少し変えるだけでも被害は抑えられる。
とはいえ、頻繁にIDとパスワードを入力させられると、手間の方が勝って、つい同じIDとパスワードを使い回してしまう人も多いだろう。では、不正ログインされた場合、どういった被害が起こりえるのだろうか。不正ログイン自体はリスト型攻撃以外でも起こりえるので、原因はともかく、その結果がどういったものかを紹介したい。
○今年に入って発生した不正ログインの被害
直近の不正ログイン事件で話題になったのがLINE。LINEは、もともと設定したスマートフォン1台だけでしかログインできないため、不正ログイン被害は発生しづらい。ただ、それではあまりに利便性が低いため、機種変更やPCからのログインも可能なように、IDとパスワード方式を導入したが、これが狙われたとみられる。
IDとパスワードでLINEにログインされると、もちろんLINEでの会話内容などは見られてしまうが、問題になっているのは、本人になりすまして「友だち」にメッセージが送られてしまう点だ。
昨今の事件では、コンビニエンスストアで購入できる電子マネーカードWebMoneyの購入を求めるメッセージが送られており、金銭が狙われている。WebMoneyギフトカードには16ケタのプリペイド番号が記載されており、それを登録することで電子マネーとして利用できるため、なりすまし犯は番号を写真に撮って送るよう要求するようで、金銭奪取の手法として利用されている。
ドワンゴのniconicoでは、同社サービスの支払いに使えるニコニコポイントが不正利用される被害が発生。23アカウントで17万3,713円の損害が出ているという(6月18日の発表時点)。これもリスト型攻撃によるものとみられている。
●マイルやポイントが狙われる今年2月には、はてなへのリスト型と見られる攻撃によって個人情報の閲覧、変更に加え、はてなポイントがAmazonギフト券に交換された可能性があるという。6月にも同様の攻撃が発生し、この時もAmazonギフト券への交換行為が3件行われたが、これは未然に防がれたそうだ。
2月にはほかに、日本航空(JAL)のJALマイレージバンクのサイトに不正ログインがあり、マイルをAmazonギフトカードに交換されるという被害が発生している。被害件数や額は明らかではないが、JALの場合はパスワードが数字6ケタしか選べないという脆弱なサイトであり、リスト型攻撃というよりは総当たりでの攻撃が疑われている。
昨今の攻撃ではこうした「ポイント」や「ギフトカード」が狙われる例が増えているようだ。もちろん、従来どおりクレジットカードのような信用情報や個人情報を狙ったと見られる攻撃もあり、5月にはH.I.SなどのWebサイトが改ざんされ、閲覧者のPCがマルウェアに感染。さらに銀行のオンラインバンキングにアクセスすると、暗証番号やパスワードが盗まれ、口座の現金が引き出されてしまう、といった危険性があった。こうした攻撃に加えて、恐らくは「より手軽な攻撃」として悪用されているのがリスト型攻撃だ。
簡単にポイントをギフトカードに換金できるサービスが標的となったことで、銀行やクレジットカードといった金融機関以外のサイトも攻撃にさらされている。4月に起きたソフトバンクモバイルのMy SoftBankに対する攻撃でもポイントの不正利用が判明しているほか、被害はなかったもののAmebaやmixi、LINEといった、サービス内でポイントを換金できるようなサービスが狙われている印象がある。
リスト型攻撃は、Webサービス側が防御策を講じて、保管するパスワードを暗号化するといった工夫をしていても、ユーザー側がフィッシング詐欺に引っかかって漏えいしたり、適切なセキュリティのないサービスから漏えいしたり、必ずしも個別のサービスだけで防御できるものではなく、対応が難しい。
●不正アクセス被害にあわないために○対策はパスワードを変えること
繰り返しになるが、最大の対策は、「すべてのWebサービスでIDとパスワードを異なるものにする」だが、パスワードは、単純な覚えやすいものでは危険なので、そこの工夫も必要となり、あまり現実的ではない。前回のように、パスワード管理ツールを使うのが一番だが、これも基本的にはPCをベースにしていないと使いづらい。
スマートフォンをメインに使っていて、パスワード管理ツールも使いづらい場合は、パスワードに一定の法則を持たせるのも手だ。1つ複雑なパスワードを作り、「a」を「＠(アットマーク)」に変える、「l(小文字のエル)」を「1(数字の1)」にする、といった簡単な変換をしたサービス名を加える、といった程度でも、かなり強固なパスワードになるし、比較的覚えやすい。さらに連番を加えるのもいいだろう。
IDとパスワードの使い回しでは、1つのIDに対してわざわざ複数のパターンを試行することはまずないだろう。そのため、サービスごとにパスワードが少しでも変わっていれば、攻撃を防御できる確率が高まる。
こうして作ったパスワードは、多少面倒でも、パスワード管理ツールに覚えさせておけば、忘れてしまったときも安心。2段階認証やスマートフォンアプリも併用し、より安全にWebサービスを使う工夫をすれば、いざという時のためにきっと役に立つはずだ。
(記事提供:AndroWire編集部)
(小山安博)
