不正ログインによる被害が増加している。最近発生しているのは、パスワードの使い回しによる不正ログインであるという。改めて、不正ログイン対策を見直してみることにする。
記事の目次
パスワードの使い回しによる不正ログインとは
パスワードの使い回しによる不正ログインとは、様々なサイトのログインに同じパスワードを使用しているため、あるサイトで情報漏えいが発生し、パスワードが盗まれると本来ハッキングされていない、他のサイトにログインされてしまう問題である。対策としては、パスワードを変更しパスワードの使い回しをやめることと、2段階認証の設定が有効とされている。
パスワードの管理の方法の見直し
パスワードの使い回しは、結構発生していると思われる。様々なサイトで異なるパスワードにして、それらのパスワードをすべて覚えておくことはほぼ不可能である。同じパスワードが使用不可となると、別な手段でパスワードを管理するしかなくなる。おそらくは、パスワード管理のソフトウェアを使用するか、別途パスワードをメモした電子ファイルか、紙媒体のメモ帳あるいは付箋を使用することになるだろう。それらについても、パスワード管理ソフトがマルウェアであったり、電子ファイルが流出したり、紙媒体が脇から見られたり紛失する可能性もないわけではないので、十分注意してソフトウェアを選択したり、電子ファイルや紙媒体の管理方法を検討する必要がある。以下、いくつか可能な対策を考えてみる。
マルウェア対策の徹底と使用デバイスの分離
マルウェアに感染する可能性の少ないデバイスを使用する必要がある。キーロガーなどで、重要サービスを利用するためのユーザID、パスワードを盗まれないように、金融取引などを利用するパソコンと、様々なサイトを閲覧したりメールを読んだりするパソコンとは分ける。
スマートフォンでの重要なサービスの利用を避ける
スマートフォンは、最も攻撃のリスクにさらされているデバイスである。スマートフォンで、重要な取引やパスワードの管理をすることを避ける。
有名な表計算ソフトウェアでのパスワード管理を避ける
ユーザIDやパスワードの管理方法として、Excel等が思い浮かぶが、重要なサービスのパスワードについては、避けたほうが良い。マクロなど最も攻撃を受けやすいソフトウェアであることに注意する。他のソフトウェアを選択しよう。
持ち出ししない紙メディアでの管理
利便性は失われるが、持ち出ししない紙メディアで管理するのは有効と思われる。他人に見られることはないし、外出時に盗まれるリスクもない。重要なサービスは、自宅の専用のパソコンで実施するようにするとセキュリティが高まる。
2段階認証の使用
2段階認証とは、ユーザIDとパスワードの他に、ワンタイムパスワードによる認証を追加で設ける方法である。いくつか方式があるので個別にまとめる。
ハードウェアトークンの使用
金融関連では、ほぼ当たり前のようになってきたハードウェアトークンによる方法である。2段階認証用のパスワードは、金融機関側で生成した秘密のキーワードから生成される。ハードウェアトークンの提供側で、秘密のキーワードが盗まれない限り、パスワードが盗まれても不正にログインあるいは重要な操作を行うことができないようにすることができる。ただし、セキュリティトークンの配布に費用がかかる点が難点である。
Googleの2段階認証アプリを使用
ハードウェアトークンの代わりに、Googleの2段階認証アプリを使用する方法がある。サイトのホームページで、秘密のキーワードを生成し、それを手入力あるいはバーコード入力でアプリに登録する。この方法は、スマートフォンを使用するためハードウェアトークンは不要であるが、スマートフォンが故障した場合は、サイト側に2段階認証の初期化を依頼する必要がある。機種変更の場合は、自分で2段階認証を外した後、スマートフォンの機種変更をして、再度2段階認証の設定を行う。Googleの2段階認証は、公開された標準の方法を使用しているので、秘密のキーワードをエクスポートできる別のソフトウェアを使用することで対応することもできる。
SMSを使用
サイト側が、2段階認証用のパスワードをSMSを使用して送信する方法である。この場合は、サイト側にSMSの送信料金が発生する。
メールによる2段階認証
ログインを行うとサイト側がメールで2段階認証用のパスワードを送信する方法である。インターネット回線上で盗聴される可能性があるので、セキュリティレベルが落ちる。
ユーザIDの多くがメールアドレスとなっている問題
多くのサイトでユーザIDがメールアドレスとなっている。ユーザIDとパスワードでログインするわけであるから、パスワードの半分が既に突破されているようなものである。新たにユーザIDを考えなくても済むというメリットはあるが、メールアドレスは流出しやすく変えにくいものでなので、ユーザIDにはメールアドレスではないものを使用すべきである。
不正ログインの確認方法
不正ログインが発生したか確認するためには、サイト側の仕組みが整っていることが重要である。以下の機能が実装されているか、確認してみたほうがよい。すべてが実現されているケースはまだ多くないだろう。
- ログイン履歴の確認ができる
- 不正ログインの試みが確認できる
- ログインあるいは不正ログインの試み（ログイン失敗）が発生したらメール等で本人に通知される
- ログインあるいは不正ログインの試み（ログイン失敗）が発生したらメール等で本人に通知する機能が無効化できないこと、あるいは無効化した場合に本人に通知されること
総括
パスワードの使い回しによる不正ログインを防ぐためには、ICTを利用する利便性をかなり下げなければならない。パスワードの管理にしても2段階認証にしてもかなり煩雑な作業になる。有名企業からの情報漏えいのニュースも絶えないことから、氏名、住所、電話番号、メールアドレスなどは、既に流出している可能性がある。重要なサービスで対策をおろそかにすると、直ちに重大な被害にあってもおかしくない状況であり、パスワード管理の見直しと2段階認証の設定を、その内容をしっかり理解した上で直ちに行うべきである。
補足
その他、サイト側での対応が必要であり現実性が低い対策も含まれるが、可能な対策や注意点を挙げておく。
使用できるデバイスの制限
セキュリティを高めるためには、そもそもサイトにアクセスできるデバイスを制限し、ユーザIDと人物を特定できるものとの紐付けを行う必要があるはずである。その点では、以下の対応が有効である。
- クライアント証明書を使用する
- カードキーを使用する
情報流出元の特定
例えば、住所や生年月日等に、サイト毎に異なるサービス利用には影響しない文字や誤りを入れておく。そうしておけば、情報の流出元が特定できる可能性がある。
生体認証について
生体認証にすれば問題は解決すると考えるかもしれない。生体認証は、実際に本人であっても本人ではないと判定される確率を減らすため、ある程度精度を緩めている可能性に注意する。生体認証といっても、結局はデジタル化されているため、漏洩のリスクがあるとともに、一旦漏洩すると変えることができない。このため、セキュリティを高める対策として、ユーザID、パスワードの代わりに使用することはおすすめできない。生体認証は、追加で使用するのであれば、セキュリティは高まるが生体認証情報の管理が煩雑になるだけになる可能性があり、セキュリティエリアの入室など管理が行き届いているケースや、逆にセキュリティがゆるくても問題のない場合に認証を容易化する手段として利用する場合を除いて、一般的なサービスへの導入は難しいと思われる。
