第二回目　「犯人はどのような手口でリスト攻撃を行うのか？」

2016年9月15日、GMOグローバルサイン株式会社主催によるセミナー「費用をかけずに、Office365などクラウドサービスの「パスワード使い回し」を回避する方法　～Office365やDropBoxなどの認証連携をその場で実施～」が開催されました。

不正アクセス事件が多発しID、パスワード管理の問題が深刻化するなか、GMOグローバルサイン株式会社SKUID事業部 ビジネスデベロップメント赤坂佳威氏による講演「IDアクセス管理クラウド「SKUID」でクラウド利用時のセキュリティを強化」のダイジェストを、３回に渡ってご紹介します。

第二回目は、「犯人はどのような手口でリスト攻撃を行うのか？」と題して、不正アクセス事件の攻撃の手口を解明します。

不正アクセスの攻撃手法とは

不正アクセスが頻発するなか、犯人はどのような手法でパスワードリスト攻撃や標的型攻撃を行っているのか、その手口を明らかにします。

不正アクセスの攻撃手法には、「リスト型攻撃」や「標準型攻撃」などいくつか種類があります。なかでも、簡単なパスワードを設定している場合や、パスワードの使い回しをしている場合には、リスト型攻撃が猛威を振るいます。

■リスト型攻撃

「リスト型攻撃」とは、図のようにAサーバーから漏洩したIDとパスワードを取得した攻撃者が、これを利用してB、C、Dのサーバーにアクセスして不正アクセスに成功する仕組みです。

不正アクセスの手口(1)　ブラックマーケットから情報を入手。

不正アクセスの手口をシミュレーションしてみましょう。

以下の手順を想定してみます。

ID・パスワードを入手するにはハッキング以外にも、恐ろしく簡単な方法が存在します。

・手口１：流出したパスワードを入手する

実際にインターネット上には、不正に入手したリストを販売したり、公開したりしているブラックマーケットが存在し、あっけないほど簡単に情報が見つかります。さらに、上記のようなブラックマーケットの比較サイトすら存在しているのです。

流出したパスワードは、数千件から数万件ならば無料で入手できるものもあり、高額であったとしても3万円程度で入手することができます。

・手口２：アタックを仕掛けるツールを入手する

入手したIDやパスワードをひとつひとつ入力して、不正ログインを試すのは大変な労力が必要です。

しかしこの手間も、ログインを自動化するツールがあれば簡単です。ネット上には、ログインを自動化する様々なツールも存在し、こちらも無料のものから高くても10万円ぐらいまでの費用で簡単に入手することができるのです。

・手口３：あとは待つだけ

ブラックマーケットで流出したパスワードを購入し、ログイン自動化ツールを使えば、あとはリスト中に使い回しのID・パスワードが存在すれば不正アクセスが成功します。

不運にも、このように不正アクセスされてしまうと、重要な個人情報を盗まれたり、ネットショップで不正購入をされたりという被害に巻き込まれます。

不正アクセスの恐ろしさは、芸能人SNSのパスワード流出問題に見られるように、ハッキングのような専門的な知識がない一般人であってもすぐ犯罪に手を染めることができるこの「敷居の低さ」にあります。

とくに、時間も費用もさほどかからずにできてしまうのがリスト型攻撃の特徴です。

不正ログインによる被害件数は2年間で3倍に増えており、経済産業省からも警告が出されています。

リスト型攻撃からの防御方法

それでは、このようなリスト型攻撃から身を守る方法はあるのでしょうか？

たとえば、下記のサイトでは、自分のEメールアドレスを入力すると、過去に流出したリスト内に自分のパスワードが含まれているかを調べることができます。

もし含まれていた場合にはメッセージが表示されますので、パスワードを変更されることをお勧めします。是非試してみてください。

第三回目は「リスト攻撃や標的型攻撃のリスクから守る、無料のID管理ツールSKUIDとは？」についてご紹介します。

ご参考

SKUIDのサービスサイト
第一回目　「芸能人SNS不正アクセス事件はどうして起こったのか？」」
第三回目　「リスト攻撃や標的型攻撃のリスクから守る、無料のID管理ツールSKUIDとは？」