てぃーぐ的MENUお問い合わせてぃーぐのプロフィールサイトマップグレーチングの盗難はなぜ起こる?盗難の理由と対策について調査!公衆電話の設置場所はどこ?調べ方と公衆電話の使い方について確認!トラヒックのルート変更とは?冗長化やコンフィグ設定ミスはあった?「VoLTE交換機」や「トラヒックの輻輳」の仕組みとは?設備障害は今後も起こる?!英数文字を含めた13桁のパスワードは何通り?パスワード解読可能かどうか検証!かりぃーぷぁくぷぁくって何者?経歴は?カレーの曲しか歌わないアーティスト!てぃーぐ的アラフォー会社員のつぶやき、兼トレンド調査ブログ。e-shop本店」や、クーポンなどを配信する「サンドラッグお客様サイト」が不正アクセスを受けて、個人情報やクレジットカード情報など1万9000件余りが流出した、という報道がなされました。今回の不正アクセスに使われた方法は「リスト型攻撃」と呼ばれる方法とのことです。この「リスト型攻撃」について、説明を読んでもよくわからないから実際どうすればいいの??と思っていらっしゃる方も多いと思います。利用者側でリスト型攻撃による個人情報流出はどう防ぐ?では、どのようにすればリスト型攻撃による個人情報流出を防ぐことができるのでしょうか?利用者側でリスト型攻撃を防ぐまずは、私たちのような利用者側の目線で、リスト型攻撃による個人情報流出被害に逢うのを防ぐ方法を見てみましょう。そもそも、リスト型攻撃は、何らかの理由で流出したサイトのユーザーアカウントとパスワードの組み合わせをリスト化して、それを別のサイトで1つずつ試していくというやり方になります。あれば、利用者側でリスト型攻撃による個人情報流出被害に逢わないようにするためにすることは、「各サービス・サイトごとに違う複雑なパスワードを設定する」ことが一番の対策になります。パスワードを複雑にする方法とは?では、リスト型攻撃の対策として、自分自身で複雑なパスワードを設定することができるでしょうか?おそらくできないと思います。記号(%など)が入っていたりするけど、実際は規則性あるものになってしまっていたり、数字が1つずつ増えていく...というパスワードにしかならないと思います。それは、どうしても自分で覚えて管理しておきたいという意識が働くからです。使う、桁数を指定するなど細かく設定ができるものもあります。ここではご紹介はしませんが、皆さんもいろいろ調べてみて、試してみてください。この方法であれば、人の意識が働かずに複雑なパスワードが生成でき、リスト型攻撃による個人情報流出被害に逢う可能性は少なくなるかもしれません。リスト型攻撃は防ぐことができるけどパスワード管理が...しかし、各サービス・サイトでパスワードを変えて、かつ複雑なものに変えて、リスト型攻撃に備えたとしましょう。そのあとどのような影響があるでしょうか?今の世の中、会員登録をして利用するサービス・サイトというのはかなりの数があります。その1つ1つに違うパスワードを設定してしまうと、いざログインしようとしたときに「あっ、このサイトのパスワードってなんだったっけ??」となりますよね...その場合は、パスワードを管理しておく「パスワードマネージャー」と呼ばれるパスワード管理ソフトを使うとよいでしょう。アンチウイルスソフト等に無料で添付されていたりしますよね。ちなみに、筆者が使っている「マカフィー」のアンチウイルスソフトにはパスワードマネージャーがついていました。(未使用)その他、パスワード管理ソフトで有名なのは「RoboForm」などですかね。筆者はこの「RoboForm」を愛用しています。パソコンが複数台、スマホにも入れているので有料ライセンスで使っています。参考にされてください。1二段階認証リスト型攻撃を防ぐ方法として、「二段階認証」と呼ばれる方法があります。二段階認証とは?利用するサービス・サイトへユーザー名とパスワードでログインを試みた後、さらに認証を求めるやり方です。設定してある携帯電話の番号へ認証コードが記載されたSMS(ショートメッセージ)が送られて、そのコードを確認画面に入力しないとログインまで進まない、といった方法があります。この方法ですと、仮にリスト型攻撃を受け、ユーザー名とパスワードでログインに成功したとしても、次の認証でコードが不明となるのでログインできなくなります。皆さんが良くご存じのMicrosoft社の、「Microsoft365」というサービスがあるのですが、最近初期の状態で二段階認証がONになっているようです。前述の「RoboForm」も、ログイン時には二段階認証が設定されています。2画像認証リスト型攻撃を防ぐ方法で次にご紹介するのが、「画像認証」と呼ばれるものです。皆さんも1度は見たことがあるかもしれませんが、例えば「信号が含まれる画像を選択してください」という認証や、画像の中に文字が書いてあって、それを入力させるなどといったものが「画像認証」と呼ばれるものです。一般的にリスト型攻撃は、人の手で攻撃しているものではなく機械的にログイン試行を繰り返すと言われていますが、その場合ユーザー名とパスワードでログインに成功したとしても、画像認証への対応は機械ではできずログインができなくなります。ちなみに、当ブログでも、管理画面にログインする際は画像認証を採用しています。3WAFの導入リスト型攻撃を防ぐ方法でもう一つご紹介したいのは、「WAF」です。Firewall」の略です。WAFについてはいろいろな方法があります。ログインされるサーバーにエージェント(監視員)を導入して監視させる方法、サーバーへの経路を変更し(DNS変更)クラウド上のWAFを経由させて検知する方法などがあります。この方法ですと、攻撃を受けると不正ログインの前にWAFで異常検知を出して対応ができます。事業者側としては、いろいろな対策を組み合わせて、リスト型攻撃など悪意のある攻撃による個人情報流出を防ぐ必要があります。利用者側としても、パスワードの使いまわしを極力避けるなど、個人個人で対策が必要ですね。※サイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。上に表示された文字を入力してください。