無印良品を運営する良品計画が不正アクセスをめぐって開く会見を、報道各社がライブで伝えた。焦点のひとつが「リスト型攻撃」だが、力ずくでパスワードを当てにいく「総当たり攻撃」とは、何が違うのだろうか。
ここがポイント
- 総当たりは推測、リスト型は流用
- 狙いは他社で漏れたIDとパスワード
- 使い回し防止と多要素認証が柱
総当たり攻撃との違い
違いは、パスワードをどこから持ってくるかにある。
総当たり攻撃（ブルートフォース攻撃）は、文字や数字の組み合わせを機械的に片っ端から試す手口だ。ダイヤル錠を0000から順に回し続けるようなもので、相手の情報は何もいらない代わりに、時間がかかる。
リスト型攻撃は、手元に「答え」の候補がある。別のサービスから漏れたIDとパスワードの組を一覧（リスト）にして、ほかのサービスのログイン画面に次々と入力していく。たとえるなら、よそで手に入れた鍵束を持ち、同じ鍵を使っていそうな家の玄関を回って差し込んで歩く手口だ。合えば、こじ開けなくても普通に入れてしまう。
良品計画が11月9日の第四報で説明したのも、この型だ。第三者が外部で不正に入手した可能性のあるパスワード等を使い、ネットストアで多数のログインが試みられたという。
なぜ使い回しが狙われる？
攻撃する側にとって、リストの中身は「いちど通用したことのある組み合わせ」だ。同じIDとパスワードをほかのサービスでも使う人が一定数いれば、当たりが出る。
その「一定数」は小さくない。総務省が2013年12月にまとめた事業者向けの対策集は、インターネット利用者の約7割が3種類以下のパスワードを複数のサイトで使っていると紹介している。十年以上前の数字で、今の割合は別に確かめる必要がある。
成功率はどうか。IPAの調べとして紹介されている、2013年4月以降に被害を公表した企業8社のデータでは、ログインの試行件数に対する成立件数の割合は0.15〜1.35％だった。低く見えるが、仮に100万回試せば、単純計算で1,500〜1万3,500件のアカウントに入られる。
見落としやすいのは、狙われた会社のシステムが破られていなくても被害が出る点だ。入口の鍵の複製が、別の場所で作られているからである。
良品計画で起きたこと
報道各社は、清水智社長らの会見を中継し、リスト型攻撃の可能性や約2700万件超の情報流出、ネットストア再開の延期、対策の説明を伝えている。
経緯を良品計画の発表で整理する。同社は10月30日、公式アプリ「MUJIアプリ」への不正アクセスで、メールアドレス、生年月日、性別など最大約2726万件が外部に流出した可能性があると公表した。11月4日の続報では、対象に無印良品ネットストアの会員やMUJI Cardの情報も含まれる可能性があると明らかにしている。
ネットストアは11月6日午後4時から止まったままだ。当初は2日程度で復旧する見込みだったが、9日にリスト型攻撃を確認したとして再開を延期した。
ここは分けて読みたい。リスト型攻撃が確認されたのはネットストアで、第四報は、監視を強めていた中でのさらなる不正アクセスと位置づけている。最大約2726万件とは別に、報道では新たに約27万件の情報が流出した可能性があると伝えられた。
利用者と企業の防ぎ方
利用者側の基本は、サービスごとにパスワードを変えることに尽きる。覚えきれないなら、パスワード管理ツールに任せる手がある。使っているサービスで不正アクセスの報告があれば、同じIDとパスワードを使うほかのサービスも含め、早めに変更したい。
企業側は、利用者の注意だけでは守りきれない。総務省の対策集は、使い回しをしないよう利用者に呼びかけること、パスワードを定期的に更新させてリストを古くすることなどを挙げる。短時間に集中するログイン試行の検知、多要素認証の用意、使われていない休眠アカウントの整理も、各社の解説で対策として紹介されている。
総当たりとの違いは、防ぎ方にも出る。同じIDで失敗が続く総当たりは、数回の失敗でロックする設定が効きやすい。リスト型は1つのIDに試す回数が少ないぶん、一般にその仕組みだけでは見つけにくい。
多要素認証も万能ではない。認証コードをだまし取るフィッシングもあるため、使い回しの防止やログイン監視との組み合わせが望ましいとされる。
横に広げると
リスト型攻撃は、無印良品に限った話ではない。通販、金融、ゲーム、SNSなど、IDとパスワードでログインする場所なら、どこでも標的になりうる。IDにメールアドレスを使うサービスは多く、リストを流用しやすい。
国内では2013年にも複数の企業が被害を公表し、総務省が同年12月に対策集をまとめた。手口そのものは、十年以上前から知られている。
英語では「クレデンシャル・スタッフィング」と呼ばれる。関連する言葉には、辞書にある単語を順に試す「辞書攻撃」もある。パスワードに頼らない認証方式「パスキー」は、使い回しの問題そのものを避ける手段のひとつだ。
流出の可能性を知らせるメールを装った偽メールにも気をつけたい。良品計画は、流出した情報を悪用したなりすましメールが発生する可能性があるとして、注意を呼びかけている。
この先の焦点
焦点は、会見で示された対策の中身と、ネットストアの再開時期だ。
再開時期について、良品計画は必要な対策と確認を行ったうえで、あらためて知らせるとしている。報道によると、再開時には全利用者にパスワードの再設定を求める方向で準備を進めている。MUJIアプリは、11月9日時点でバーコード表示以外の機能を止めている。ネットストアの再開時期は、9日の発表時点では未定とされていた。
