オープンソース活用研究所 | 第一回目 「芸能人SNS不正アクセス事件はどうして起こったのか?」

第一回目 「芸能人SNS不正アクセス事件はどうして起こったのか?」

オープンソース活用研究所

2016年11月08日
オープンソース活用研究所 所長 寺田雄一

2016年9月15日、GMOグローバルサイン株式会社主催によるセミナー「費用をかけずに、Office365などクラウドサービスの「パスワード使い回し」を回避する方法 ~Office365やDropBoxなどの認証連携をその場で実施~」が開催されました。

不正アクセス事件が多発しID、パスワード管理の問題が深刻化するなか、GMOグローバルサイン株式会社SKUID事業部 ビジネスデベロップメント赤坂佳威氏による講演「IDアクセス管理クラウド「SKUID」でクラウド利用時のセキュリティを強化」のダイジェストを、3回に渡ってご紹介します。

第一回目は、「芸能人SNS不正アクセス事件はどうして起こったのか?」と題して、不正アクセス事件の要因を探ります。

なぜ不正アクセス事件が多発するのか?

2016年5月に長澤まさみさん、武井咲さん、紗栄子さん、北川景子さんら芸能人のSNSが不正にアクセスされるという事件が起こりました。その後、犯人は逮捕されましたが、特筆すべきは、容疑者はエンジニアなどのITの専門家ではなく、ごく一般の会社員だったということです。

さらに同時期には、PCの遠隔操作ソフト「TeamViewer」に不正にログインし、アマゾンで50万円もの不正購入がなされた事件も起こっています。

なぜ、いとも簡単に不正アクセスが頻発するのでしょうか?

まず芸能人のSNSへの不正ログインは、名前や生年月日等の推測されやすく簡単なパスワードを設定していたことに要因があります。手当たり次第に入力を試した結果、突破に成功したのでしょう。

一方TeamViewerによる不正ログインでは、他のサービスで利用していたパスワードが流出し、同じパスワードを使い回していたためAmazon等で悪用されてしまったことが原因と臆されています。

なぜ、パスワードを使い回すのか?

スライド-半数以上の人が同一のパスワードを使い回している

出所:IPA

現在、プライベート、業務共に、パスワードを一つも使い回さずに管理している方はどのくらいいらっしゃるでしょうか。

IPAの調査では、複数サービスを利用する半数以上のユーザがパスワードを使い回しにしているという実態が明らかになっています。

スライド-パスワードを使い回す理由

パスワードを使い回す理由は、いとも簡単で、管理が大変だからです。異なるパスワードを設定した場合は、別途、パソコンや紙にメモしておく必要が生じるからです。

このようにパスワード管理に手間がかかるようになった要因として、クラウドサービスの増加が挙げられます。クラウドサービス市場は、2011年から2017年までの4年間で1.5倍に成長しており、今後も加速度的に増加すると見込まれます。

パスワードの保持数は、一人あたり13.9個

スライド-SaaS市場の成長

出所:富士キメラ総研予測

2013年度のデータでは、一人当たりが保持・管理するパスワード数の平均は13.9個とも言われています。これほど多くのパスワードを記憶だけで管理することは不可能です。そして管理には手間がかかりますし、忘れてしまうこともあるでしょう。

「覚えられない」から簡単なパスワードを設定し、「パスワードが沢山ある」からパスワードを使い回し、それによって不正アクセスが発生するという悪循環に陥っているのです。

不正アクセスの温床が「パスワードの使い回し」であることはわかっていながらも、実際のところ、管理の煩雑さから使い回しをやめることができないという現状が浮かび上がってきます。

企業で起こった不正アクセス事件は、より深刻に。

企業単位で起こった不正アクセス事件は、より深刻です。

2014年夏にベネッセの顧客情報が流出しました。これは不正アクセスが原因ではなく、派遣社員が持ち出したという事件でしたが、145億円という巨額な損害額が発生したのは記憶に新しいところです。

2016年に入ってからは、モバゲー(DeNA)が約10万件の不正アクセスを受けました。他のサービスから流出した情報を元に、海外のIPアドレスから攻撃を受けていたということです。

企業が情報漏洩した場合は損害額が大きいのみならず、社会的信用も同時に失うのが恐ろしい点だと言えるでしょう。

第二回目は「犯人はどのような手口でリスト攻撃を行うのか?」についてご紹介します。

ご参考

SKUIDのサービスサイト
第二回目 「犯人はどのような手口でリスト攻撃を行うのか?」
第三回目 「リスト攻撃や標的型攻撃のリスクから守る、無料のID管理ツールSKUIDとは?」


OSSNEWSに広告を掲載しませんか?

著者プロフィール

オープンソース活用研究所 所長 寺田雄一

1993年、株式会社野村総合研究所(NRI)入社。 インフラ系エンジニア、ITアーキテクトとして、証券会社基幹系システム、証券オンライントレードシステム、損保代理店システム、大手流通業基幹系システムなど、大規模システムのアーキテクチャ設計、基盤構築に従事。 2003年、NRI社内に、オープンソースの専門組織の設立を企画、10月に日本初となるオープンソース・ソリューションセンター設立。 2006年、社内ベンチャー制度にて、オープンソース・ワンストップサービス 「OpenStandia(オープンスタンディア)」事業を開始。オープンソースを活用した、企業情報ポータル、情報分析、シングルサインオン、統合ID管理、ドキュメント管理、統合業務システム(ERP)などの事業を次々と展開。 オープンソースビジネス推進協議会(OBCI),OpenAMコンソーシアムなどの業界団体も設立。同会の理事、会長や、NPO法人日本ADempiereの理事などを歴任。 2013年、NRIを退社し、株式会社オープンソース活用研究所を設立。

最新TOPICS

【10/26開催セミナー】『基本機能無料のIDaaS「SKUID」でOffice365など外部クラウドのパスワードを1つにまとめる』(2017年10月19日 08:45)

おはようございます、セミナー事務局の澁谷です。当セミナー、まだお席に余裕がありますので、再度のご案内です。 10月26日(木)10:30~12:30「基本機能無料のIDaaS「SKUID」でOffice365など外部クラウドのパスワードを1つにまとめる」と題したセミナーを行います。 当日は、パスワード使い回しのリスクや、その不安を解消してくれるツール「SKUID」についてのご案内を行います...

関連オープンソース

Gluu(グルー)

  • シングルサインオン

Gluu(グルー)とは、オープンソースの認証ソリューションです。アイデンティティおよびアクセス管理を行います。多くの認証プロトコルに対応しています。

OpenAM(オープンエーエム)

  • シングルサインオン

OpenAM(オープンエーエム)とは、オープンソースの認証ソリューションです。認証/アクセス認可/フェデレーションなどの高機能を備え、シングルサインオン機能を提供します。

Keycloak(キークローク)

  • シングルサインオン

Keycloak(キークローク)とは、シングルサインオン機能を提供するフレームワークです。「OAuth2」や「OpenID Connect」などの方式をサポートしており、「ソーシャルログイン」にも対応しています。

Snort(スノート)

  • セキュリティソフト

Snort(スノート)とは、ネットワーク型IDS(不正侵入検知システム)です。ネットワーク上を流れるパケットをキャプチャーして、不審なパケットの検出を行います。

WSO2 Identity Server(ダブルエスオーツー アイデンティティ サーバ)

  • シングルサインオン

WSO2 Identity Server(ダブルエスオーツー アイデンティティ サーバ)とは、シングルサインオンソリューションです。アプリケーション/API/クラウド/モバイル間で統合ID管理を行います。

LibreSSL(リブレ エスエスエル)

  • ネットワーク系ツール

LibreSSL(リブレ エスエスエル)とは、SSL/TLSプロトコルのオープンソース実装(通信用ソフトウェア)で、「OpenSSL」の派生改良版です。圧倒的シェアを持つが問題が多い「OpenSSL」を代替できるものとして期待されています。

Vuls(バルス)

  • セキュリティソフト

Vuls(バルス)とは、脆弱性スキャンツールです。Linux(FreeBSD)系OS/各種ミドルウェア/各種フレームワークなどに対する脆弱性存在を検査し、詳細情報をレポーティングします。

OpenSSH(オープンエスエスエイチ)

  • ネットワーク系ツール

OpenSSH(オープンエスエスエイチ)。ネットワーク経由通信を暗号化する「SSH」のオープンソース実装です。おもにUNIX/Linuxサーバに対するネットワーク経由でのリモートログインに使用します。

FreeRADIUS(フリーラディウス)

  • 認証サーバ

FreeRADIUS(フリーラディウス)。オープンソースの高機能RADIUSサーバです。認証用プロトコル「RADIUS」機能を実現するデファクトスタンダードとして広く使われています。

OpenSSL(オープンエスエスエル)

  • ネットワーク系ツール

OpenSSL(オープンエスエスエル)。オープンソースSSL/TLS暗号化ライブラリです。世界中のWebサイトで圧倒的シェアを持っており、事実上の業界標準となっています。

Apache DS(アパッチディーエス)

  • 認証サーバ

Apache DS(アパッチディーエス)。オープンソースのLDAP(ディレクトリ)サーバです。「Apache Directory」プロジェクトで開発されています。

389 Directory Server(389ディレクトリサーバ)

  • 認証サーバ

389 Directory Server(389ディレクトリサーバ)。オープンソースディレクトリサーバです。「Fedora Directory Server」の後継で、商用製品の流れを受けており、ユーザフレンドリーなGUIツールの充実などが特徴です。

OpenIDM(オープンアイディーエム)

  • ID管理

OpenIDM(オープンアイディーエム)。高い柔軟性と拡張性を備え、エンタープライズ/クラウド/モバイル/ソーシャル/レガシーなど多様な環境において、ユーザアカウントのプロビジョニングとライフサイクルの一元管理を実現するID管理製品です。

LISM(リズム)

  • ID管理

LISM(リズム)。シンプルな使いやすさが特徴のID統合管理ソリューションです。

OpenLDAP(オープンエルダップ)

  • 認証サーバ

OpenLDAP(オープンエルダップ)。最も多くの導入実績があり、ディレクトリサービスを提供するオープンソースLDAPサーバです。

OpenDJ(オープンディージェー)

  • 認証サーバ

OpenDJ(オープンディージェー)。OpenAMに内蔵されており、先進的なレプリケーションアーキテクチャや「REST API」を搭載したLDAP準拠の高機能オープンソースディレクトリサーバです。

バックナンバー

関連記事

無料資料プレゼント

フォレスターによる調査レポート「サービスとしてのデータベース (2017 年第 2 四半期)」AWS社提供

講演資料を見るには、 プライバシーポリシーに同意して、送付先メールアドレスをご入力しご請求ください。

またご入力いただきました情報は、当該資料の作成・提供企業とも共有させていただき、当社及び各社のサービス、製品、セミナー、イベントなどのご案内に使用させていただきます。

本資料を見るには次の画面でアンケートに回答していただく必要があります。



  • オープソース書籍(サイド)

facebook

twitter