料AboutJavaScriptを有効にして、ご利用ください。和正)は、パスワードリスト攻撃による不正ログインの被害が後を絶たないことから、インターネットサービス利用者に向けて複数のサービスにおいて同じパスワードを使い回さないよう呼びかけます。複数のインターネットサービスで同じパスワードを使い回していることが原因で生じてしまうユーザアカウントへの不正なログイン、いわゆるパスワードリスト攻撃による被害が以下の通り(図1)継続的に発生しています。概要パスワードリスト攻撃とは、攻撃者が何らかの方法で事前に入手したIDとパスワードのリストを使用し、自動的に入力するプログラムなどを用いて、ログイン機能を持つインターネットサービスにログインを試みる攻撃手法です。利用者がIDとパスワードを使い回していると、第三者によるなりすましログインを可能にしてしまいます。図2:パスワードリスト攻撃の概要インターネットサービスの安全な利用は、利用者が適切にパスワードを管理することを前提に成り立っており、利用者はパスワードを使い回さず、適切に管理する責任があります。以下はパスワードリスト攻撃を受けたことを2013年4月以降に発表した企業のうち、「試行件数」と「成立件数」の両方が公表された主なものです。0.80%※「不正ログイン成立率」は、企業が公表した数値(AおよびB)を基に、JPCERT/CCが算出したものです。IPAが2014年8月に発表した報告書*1では実際に、利用者がパスワードを使い回していることを裏付ける結果が出ています(図3)。調査結果によれば、金銭に関連したサービスサイト(インターネットバンキングやネットショッピングなど)と同一のパスワードを使い回している人の割合が約4分の1(25.4%)となっています。図3:パスワードの使い回しの状況(IPAによるアンケート調査結果)また、以下図4は“パスワードを使い回している理由”についてです。多いのは「(パスワードを同一にしないと)パスワードを忘れてしまうから」で、64.1%を占めています。以上の結果から“パスワードを忘れてしまうから、パスワードを使い回している”ことが分かります。このことから“複数のパスワードを忘れずに管理できる方法”が、パスワードを使い回さずにインターネットサービスを利用する有効な手段と考えられます。対策」を参考に必要な対策を実施してください。対策IDとパスワードの使い回しにより不正ログインの被害に遭うような事態を招かないため、改めて以下の対策を実施してください。複数のインターネットサービスを安全に使用するには、異なるパスワードを設定する必要があります。全てを記憶することは簡単なことではありません。そこで“どのように管理するか”が重要となりますが、一覧表として保持することが現実的な解となります。以下に具体的な方法を例示します。紙のメモIDとパスワードを記載したリストを紙のメモに保持します。IDとパスワードを別々の紙に分けて管理するとより安全です。紙にメモする場合、ネットワーク経由で窃取される危険はありませんが、紙そのものの紛失・盗難の恐れがあります。そのため、第三者が見てもわからないように記載する必要があります。電子ファイル(パスワード付き)IDとパスワードを記載したリストを「パスワード付きの電子ファイル」として保持します。電子ファイルには、表計算ソフトやテキスト編集ソフトを使います。その電子ファイルにパスワードを設定して保存します。パスワードは表計算ソフトの機能でファイルそのものにかける方法と、zipなどの圧縮ファイルにかける方法とがあります。テキスト編集ソフトの場合はファイルにパスワードはかかりませんので、圧縮ファイルでパスワードを設定します。パスワード管理ツールパスワード管理のための信頼のおける専用ツール(ソフトウェア)を使用し、IDとパスワードを保存します。ID・パスワード”と“ツールを起動するためのマスターパスワード”を登録しておきます。そのマスターパスワードだけを覚えておけば、ツールを起動して各サービスのIDとパスワードを呼び出すことができます。最近ではインターネットサービスの認証まで自動で行うツールもあります。したツールを使うことにより利用者はマスタのパスワードのみを管理すれば良くなり、複数のパスワードを記憶する必要がありません。一部のインターネットサービスでは、不正なログインにユーザが気付ける機能が提供されている場合がありますので、各サービスの特徴を理解し、利用してください。通常とは異なるIPアドレスや国などからログインが行われた場合に、メール等で通知を受けることで、不審なアクセスに気付くことが可能です。ログイン履歴ログインした時刻、アクセス元(IPアドレス、国等)、URL等の履歴に自分がログインしていない時間のログイン履歴や、見覚えのない地域からのログイン履歴が無いか確認し、不審なアクセスの有無を確認できます。認証コードIDとパスワードに加え、予め登録しておいた携帯電話等に送信された認証コードを使用してログインを行う、二段階認証という仕組みです。認証コードは一定ではなく、時間経過やログインのたびに変化するため、窃取されても再利用ができず不正アクセスを防ぐことが可能です。ワンタイムパスワード(OTP)ログイン時に一定時間だけ有効なワンタイムパスワードを生成する機器やソフトウェアを併用し、ログインに複数の認証情報を用いることで、不正ログインを防ぐことが可能です。