有効なのはわずか0.4%動画の再生障害のお知らせ:動画の一部が再生できない事象が発生しています。#1」と呼ぶ大量のメールアドレスとパスワードの組み合わせをインターネット上で発見したと発表しました(図1)。流出したデータを入手して確認したところ、Webサービスのユーザー認証に使うアカウント情報、いわゆるクレデンシャル情報のようです。アカウント情報はおよそ21億件、データサイズは約89Gバイトもありました。図1●次々と見つかるメールアドレスとパスワードの組み合わせ2017年の後半以降、メールアドレスとパスワードの組み合わせがインターネット上で大量に見つかっている。データの多くは、Webサービスから漏洩したものとみられ、サービスのURLごとのテキストファイルなどに分類されている。#5までの4つのデータと、AntiPubというデータが一緒に保存されていました。これらのデータにもアカウント情報が含まれていました。いったデータが2017年の後半以降、インターネット上で相次いで見つかっています。件数が数十億件と多いため、発見のニュースが流れるたびに恐怖を感じる人もいるでしょう。本当に恐れるようなデータなのでしょうか。今回は流出データを調査しました。調査の対象は、2017年9月と2018年2月に見つかった合計16億件のデータです。このデータに含まれるメールアドレスとパスワードとの組み合わせを、メールアドレスのドメインごとに分類しました。「xxx@example.co.jp」と「yyy@example.co.jp」といったexample.co.jpドメインのデータをひとまとめにしました。そのドメインを所有する企業など複数の組織に、データの解析を依頼しました。データの解析は、次の3段階で実施しました。1段階目は、重複データの排除です。様々なサービスから漏洩したと思われる流出データなので、全く同じメールアドレスとパスワードを設定しているケース、つまり使い回しているケースがあると考えられます。いったデータを1つにします。2段階目は、解析時点で登録のないメールアドレスの排除です。在籍していなかったり、でたらめだったりしたデータを削除します。最後の3段階目は流出データを使って、依頼した組織で使っている認証(メールサービスへのログインなど)をパスできるかどうかを確認します。してどれだけのデータが有効なのかを確認しました。4万件が認証をパス解析を依頼したデータは合計で934万4404件です。全体の分量からするとあまり多くありませんが、データの傾向を見る上では十分な量だと考えています。各組織から集めた解析結果を図2に示します。流出データからわずか0.4%しかログインできないことが分かった。この数値は、他サービスから漏洩したデータを使って不正ログインを仕掛けるパスワードリスト攻撃の成功率と大きな差はない。[画像のクリックで拡大表示]1段階目の重複データの排除で、512万7659件に絞り込まれました。データ全体の55%です。2段階目の登録されていないデータの排除で、364万7770件に絞り込まれました。この時点で全体の39%まで減っています。最後の段階で、認証をパスできないデータを排除すると、残ったデータは3万9606件でした。全体の0.4%しか残っていません。過去のパスワードリスト攻撃▼の被害組織が公開した攻撃内容から算出した不正ログインの成功率は0.数%です。今回の調査結果と大差がないことが分かりました。別のサービスから漏洩したアカウント情報を使って不正ログインを試みる攻撃。この記事は有料会員限定です「日経NETWORK」定期購読者もログインしてお読みいただけます。26社DX戦略レポート。DXで成果を上げるために不可欠な情報がこの1冊に。現場の負担軽減を!医療界でのAWS活用法500万社が導入。情報銀行の成り立ち、事例、現状課題やその行方を網羅。経営戦略である以上、「会計」の知識やスキルが欠かせません。