リスト型攻撃(パスワードリスト攻撃)は、どこかのサービスから流出したIDとパスワードの組み合わせを、別のサービスや社内システムでそのまま試す手口です。クレデンシャルスタッフィングとも呼ばれます。特徴は、攻撃側が「実際に使われている組み合わせ」を持っているという点にあります。不正アクセスの基本で扱った侵入経路のなかでも、企業側の管理が行き届きにくい経路のひとつです。
リスト型攻撃とは何か
リスト型攻撃では、他のサービスから流出したIDとパスワードの組み合わせが、そのまま別の場所のログイン画面で試されます。もしその利用者が同じパスワードを使い回していれば、入力される組み合わせは正しいものであるため、システムから見れば本人のログインと区別がつきません。認証は正常に通り、エラーも警告も発生しません。
つまりリスト型攻撃は、システムの脆弱性を突くというより、正しい鍵をそのまま使う類の侵入です。どのような情報が流出しうるのかはパスワード流出の事例、流出後に何が起きるのかはパスワード流出の影響で整理しています。
総当たり攻撃との違い
総当たり攻撃は、無数の候補を順に試す方式です。ほとんどが不正解になるため、大量のログイン失敗が記録に残ります。そのため、失敗回数のしきい値やアカウントロックといった仕組みが有効に働きます。
一方リスト型攻撃は、すでに正解の可能性が高い組み合わせを持っています。少ない試行で成功しうるため、失敗の記録がほとんど残らないことがあります。結果として、ログイン失敗回数の監視だけでは気づきにくいという違いが生まれます。気づくためには、いつ・どこから・誰がログインしたかという観点が必要になります(不審なログインの確認方法を参照)。
なぜパスワードの使い回しが致命的なのか
多くの利用者は、私物で使うサービスと業務システムで似たパスワード、あるいは同じパスワードを使っています。この状態では、自社が何ひとつ情報を漏らしていなくても、社外のどこかで起きた事故が自社システムへの侵入経路になりえます。
自社の管理体制、パスワードの保管方法、社内ルールがどれだけ整っていても、利用者本人が別の場所で同じパスワードを使っていれば、その一点で守りが抜けてしまうという構造です。
企業として難しい点
この経路が厄介なのは、会社側から状況を把握できないことです。利用者が社外のどのサービスに登録し、そこで同じパスワードを使っているかは、会社が確認できる情報ではありません。ヒアリングやルールで注意を促すことはできても、実態の確認まではできません。
したがって、自社側の管理を完璧にしても、この経路は残り続けると考えるほうが現実的です。前提として残るリスクに対して、どう備えるかという発想に切り替える必要があります。
対策の考え方
リスト型攻撃への対策は、「パスワードを守る」ではなく「パスワードが破られた前提で防ぐ」方向に置くのが基本です。
- パスワードのみで入れる入口を無くす — 正しいパスワードを持っていても、それだけではログインできない状態にします。これが最も効果の大きい対策です(多要素認証の基本を参照)
- システム側で防げる範囲を増やす — 使い回しを禁止するルールを掲げるだけでなく、認証の仕組みそのもので防げる範囲を広げます
- 重要なアカウントから優先する — 管理者権限を持つアカウント、業務の基幹となるシステム、そして端末そのものへのログイン(Windows OSログインの2要素認証)から順に認証を強化します
- 不審なログインに気づける仕組みを持つ — 認証が通ってしまった場合でも、通常と異なるログインを検知できれば被害の拡大を抑えられます
なお、認証を「2段階」にするのか「2要素」にするのかで守れる範囲は変わります。この違いは2段階認証と2要素認証の違いで整理しています。
パスワードポリシーだけでは止められない
文字数や複雑さ、変更の頻度といったパスワードポリシーの設計は、自社内で使われるパスワードの質を高めるうえで意味があります。しかし、それによって社外サービスでの使い回しそのものを止めることはできません。ポリシーが定める範囲は自社システムの中にとどまるためです。
だからこそ、リスト型攻撃に対しては、パスワードの中身を良くする方向ではなく、認証の要素を増やす方向の対策が要になります。ポリシーの整備は土台として続けつつ、入口の認証方式を見直すことをおすすめします。
まずは自社の状況を確認する
パスワードのみでログインできるシステムがどれだけ残っているかは、組織によって大きく異なります。applippliの無料診断では、約3分の質問に回答するだけで、自社の認証・アカウント管理の対応状況を確認できます。