パスワードリスト攻撃の2013年4月〜8月の状況についてまとめてみた。

パスワードの使いまわしを狙った不正アクセスについて最近見かける機会が増えたこともあり、自分の中で整理したくまとめました。対策については既に多くの記事で述べられているためここではとりあげません。

(8/20更新)
@games(ジークレスト)へのパスワードリスト攻撃を追加しました。

まずは読んでおきたいBlog、記事

このテーマ、また関連するパスワードについて先行研究・調査されている方の記事が既に沢山あるのでまずはこちらをメモ。

辻さんによるリスト型攻撃に関する考察

徳丸さんのパスワードへの攻撃に関する考察

根岸さんのここ最近発生した不正ログイン事件のまとめ
- 複数の会員サイトへの不正ログイン事件が発生 - セキュリティは楽しいかね？ Part 2
- まだまだ続く不正ログイン事件 - セキュリティは楽しいかね？ Part 2

他パスワードリスト攻撃に関係する記事、発表

攻撃の呼び方は色々

パスワードの使いまわしをしているユーザーを狙うため、インターネット上で公開されている情報を拾い集めたり、ブラックマーケットで買取することで入手したアカウントリスト(ID、パスワードの一覧)を使い、対象にログインが可能かを試行する攻撃については、呼び方が複数あります。以下は検索した結果から調べた内容ですので間違っていたらご指摘ください。
　

呼び方(1) パスワードリスト攻撃

「パスワードリスト攻撃」はIPAが2012年7月の届け出状況の報告で使い始めた言葉です。セキュリティの専門家やセキュリティベンダ(例えばSST)もこの言葉が使われているシーンを見かけます。この記事でもIPAにならってパスワードリスト攻撃という名称で記載していますが、IDとパスワードがセットで使われる攻撃にも関らずパスワードのみのリストのような「パスワードリスト」と表現されるのは今一腑に落ちないところでもあります。もしかすると「パスワードを使いまわしている人をリストアップした攻撃」の略なのかも知れません。:)
　

呼び方(2) 不正ログイン攻撃

「不正ログイン攻撃」は警察庁が2012年3月に公開した資料「(PDF)連続自動入力プログラムによる不正ログイン攻撃の観測結果について」で使用した言葉です。最近は主要メディアでもこの攻撃を「不正ログイン」と記載しているようです。*1この資料はインターネット上でサービスを提供する企業13社に対して攻撃の有無についてヒアリングした結果をまとめたものです。
　

呼び方(3) リスト型アカウントハッキング

「リスト型アカウントハッキング」(または「リスト型パスワードクラッキング」)は検索するとわかりますが、出所は不明ながらもオンラインゲームサービスを提供する事業者の注意喚起やゲームユーザーのBlogで見かけることが多いです。
オンラインゲーム業界のアカウントはのっとることで当該アカウントが所有する貴重な装備品、ゲーム内通貨を奪取し、RMT市場で取引することで簡単に換金することが可能であり、その換金性の高さから2006年からオンラインゲームに対する不正アクセスの被害が増加し、2010年頃には「リスト型アカウントハッキング」の存在についても語られています。 2010年11月に発生したサミーの「777town.net」への不正アクセス後には、真偽不明ながら同じID、パスワードを使用しているユーザーが被害を報告している事例もあり、オンラインゲームサービスの事業者も注意喚起をしています。

例えば次のような注意喚起や被害報告があります。

日付	パスワードリスト攻撃を受けた企業	注意喚起・被害報告
2010/11/16	ガンホー	【重要】アカウントハッキングにご注意ください。(魚拓)
2010/11/16	USERJOY JAPAN	【重要】アカウントハッキングについて(魚拓)
2012/08/15	セガ	SEGA ID管理ページへの対応について(魚拓)
2012/10/04	スクウェアエニックス	【重要】「リスト型アカウントハッキング」への対策について(魚拓)
2012/10/12	ガンホー	【重要】一部のお客様のガンホーIDパスワードの強制変更措置について(魚拓)
2012/10/12	NCSOFT	【重要】アカウント保護に関するお知らせ(魚拓)
2013/01/12	バンダイナムコ	ログイン時にエラーが発生された方に対するご注意(魚拓)

パスワードリスト攻撃の状況まとめ

2013年4月以降の各社の被害状況

2013年4月以降にパスワードリスト攻撃を受けた可能性があるとして被害状況を発表している企業は次の２０社(8/20更新で1社追加)です。

No	対象	不正アクセス期間	ログイン成功件数	不正アクセス回数	成功率	個人情報閲覧の可能性	金銭被害の発生	公式発表
1	Tサイト (カルチュアコンビニエンスクラブ)	3/26	299	−	−	−	有り (Tポイントギフト)	*2
		7/15	27	−	−	−	有り (Yahoo IDと連携しEdyにチャージ)	*3
2	MyJR-EAST (東日本旅客鉄道)	3/31	97	約26,000	0.373%	有り	−	*4
3	goo (NTTレゾナント)	4/1〜4/9	108,716	−	−	無し	無し	5 6 *7
4	eBookJapan (イーブックイニシアティブジャパン)	4/2〜4/5	779	2,821	27.614%	有り	無し	*8
5	フレッツ光メンバーズクラブ (東日本電信電話)	4/4	30	約20,000	0.150%	有り	無し	*9
		4/9〜4/10	77	約24,000	0.321%	−	無し	*10
6	mopita (エムティーアイ)	4/18〜4/19	5,450	−	−	有り	無し	*11
7	dinos (ディノスセシール)	5/4〜5/8	約15,000	約1,110,000	1.351%	無し	無し	12 13
8	ワタシプラス (資生堂)	5/6〜5/12	682	約240,000	0.284%	−	無し	*14
9	三越オンラインショッピング (三越伊勢丹HD)	5/6〜5/23	8,289	5,202,002	0.159%	有り	−	*15
10	阪急オンラインショッピング (エイチツーオーリテイリング)	不明〜5/13	2,382	−	−	有り	−	*16
11	ハピネットオンライン (ハピネット)	4/24〜5/31	最大16,808	−	−	有り	−	17 18
12	じゃらんnet (リクルートライフスタイル)	2/14〜2/16 6/3〜6/15	27,620	約1,100,000*19	2.511%	有り	無し	*20
13	ニッセンオンラインショッピングサイト (ニッセン)	6/18	126	11,031	1.142%	−	無し	*21
14	クラブニンテンドー (任天堂)	6/9〜7/4	23,926	15,457,485	0.155%	有り	無し	*22
15	KONAMI ID (コナミデジタルエンタテインメント)	6/13〜7/7	35,252	3,945,927	0.893%	有り	無し	*23
16	楽天市場 (楽天)	不明〜7/8	−	−	−	−	有り	*24
17	@nifty (ニフティ)	7/14〜7/16	21,184	−	−	有り	無し	25 26
18	Gree (グリー)	7/25〜8/5	39,590	7,748,633*27	0.511%	有り	無し	28 29 *30
19	Ameba (サイバーエージェント)	4/6〜8/3	243,266	特定日において通常の何倍ものログインエラー	−	有り	無し	31 32 *33
20	ジークレスト @games	8/3〜8/13	83.961	−	−	有り	無し	34 35

付随情報

付随情報として各サービスの次の情報を調べてみました。表中ログインに関係する箇所で「−」と記載しているのはpiyokangoがサービスを使ってみて確認出来なかったものであり、機能が実装されているかいなかを保障するものではありません。またいずれもパスワードリスト攻撃を各社が受けた後に調査したものです。調査以前と以後で実装が変わっているケースもあります。例えば三越オンラインショッピングは「名前」項目がログインに必要な項目として事後に追加されたようです。

No	対象	会員数	ログインID	パスワード	認証連携	多要素・多段認証	ログイン連続失敗時ロック	ログイン履歴
1	Tサイト	−	Tカード番号またはメールアドレス	半角英数字 6〜32文字	Yahoo! Japan ID	−	−	−
2	MyJR-EAST	約350万人*36 (2013/04/17時点)	任意設定半角英数記号 4〜100文字	半角英数混在 6〜12文字	−	−	有り	−
3	goo	約1800万人*37 (2013/04/04時点)	任意設定半角英数小記号(”-”、”_”のみ) 1〜30文字	半角英数記号 8〜32文字	NTT ID	−	有り	有り
4	eBookJapan	約77万人*38 (2013/03/22時点)	メールアドレス	半角英数字 4〜20文字	−	−	有り	−
5	フレッツ光メンバーズクラブ	約404万人*39 (2013/04/11時点)	お客様ID(COP/CAF+半角大文字) または日中連絡先電話番号または任意指定(詳細確認出来ず)	半角英数字 8〜10文字	−	−	有り	−
6	mopita	約800万人*40 (2013/04/18時点)	任意設定半角英数字記号(-,_,.) 6〜30文字	半角英数記号(-,_,.) 4〜40文字	docomo ID 楽天 au ID Softbank YAMADA Google Yahoo! Japan facebook	CAPTCHA	−	有り
7	dinos	−	メールアドレス	半角英数字 6〜16文字	−	−	−	−
8	ワタシプラス	約75万人*41 (2012/12月末時点)	メールアドレス	半角英大小数字 6〜12文字英数字それぞれ一字以上必要	−	−	有り	−
9	三越オンラインショッピング	約73万人*42 (2013/05/25時点)	任意設定半角英数字 6〜16文字	半角英数混在 8〜16文字	−	名前	有り	−
10	阪急オンラインショッピング	−	任意設定半角英数字 4〜16文字	半角英数混在 8〜16文字	−	−	−	−
11	ハピネットオンライン	−	メールアドレス	半角英数字 6〜16文字	−	−	−	−
12	じゃらんnet	約900万人*43 (2011/05頃時点)	メールアドレス	半角英数字 6〜20文字	−	−	有り	−
13	ニッセンオンラインショッピングサイト	約1103万人*44 (2012年12月時点)	メールアドレスまたはニッセンID(数字10桁)	半角英数字 5〜8文字	Twitter Facebook Mixi	姓名	−	−
14	クラブニンテンドー	約400万人*45 (2013/07/05時点)	任意設定半角英大小数字 6〜12文字	半角英数混在 8〜12文字	−	−	有り	−
15	KONAMI ID ポータル	−	任意設定半角英小数字記号(.,-,_) 8〜32文字	半角英数混在 8〜32文字	−	ワンタイムパスワード(有料)	−	−
16	楽天市場	約8357万人*46 (2013/05/09時点)	メールアドレスまたは任意設定半角英数字 6文字〜100文字	半角英数字 6〜128文字	−	−	有り	有り
17	@nifty	−	任意設定半角英数記号(-,_,.) 2〜32文字 1文字目は英字特定の組み合わせ使用不可	半角英数記号 6〜24文字	−	−	有り	有り
18	Gree	3500万人以上*47 (2013/08/18時点)	携帯メールアドレス	半角英数字 6〜20文字	−	−	有り	−
19	Ameba	約2954万人*48 (2013/6月末時点)	任意設定半角英数字記号(-) 3〜24文字	半角英数字 6〜12文字	−	−	−	−
20	@games	約400万人*49 (2013/06/21時点)	任意設定半角英数字 4〜12文字	半角英数混在 8〜16文字	Mixi Facebook	−	有り	−

各社を並べてみる

被害件数別

被害件数別に並べると次の通りです。

順位	対象	ログイン成功件数
1位	Ameba	243,266
2位	goo	108,716
3位	@games	83,961
4位	Gree	39,590
5位	KONAMI ID	35,252
6位	じゃらんnet	27,620
7位	クラブニンテンドー	23,926
8位	@nifty	21,184
9位	ハピネットオンライン	16,808
10位	dinos	約15,000
11位	三越オンラインショッピング	8,289
12位	mopita	5,450
13位	阪急オンラインショッピング	2,382
14位	eBookJapan	779
15位	ワタシプラス	682
16位	Tサイト	299
17位	ニッセンオンラインショッピングサイト	126
18位	MyJR-EAST	97
19位	フレッツ光メンバーズクラブ(2回目)	77
20位	フレッツ光メンバーズクラブ(1回目)	30
21位	Tサイト	27
−	楽天市場	非公開

会員数が多いところが狙われてしまうとやはり相応の被害規模になる傾向のようです。不正アクセスを受けた日数にもよりますが、ゲーム関連のサービスの被害件数が多いですね。パスワードリスト攻撃に使われているリストに偏りがあるのでしょうか。
　

被害発覚に要した日数別

パスワードリスト攻撃を受け始めてから被害に気づく(確認する)までにかかった日数別に並べると次の通りとなります。

順位	対象	攻撃を受けてから被害発覚までの日数
1位	じゃらんnet(1回目)	172日
2位	Ameba	124日
3位	じゃらんnet(2回目)	63日
4位	ハピネットオンライン	37日
5位	KONAMI ID	25日
6位	クラブニンテンドー	23日
7位	三越オンラインショッピング	17日
8位	MyJR-EAST	16日
9位	Gree	12日
10位	ワタシプラス @games	11日
11位	dinos	4日
12位	eBookJapan	3日
13位	@nifty	2日
14位	goo mopita Tサイトニッセンオンラインショッピングサイト	1日
15位	フレッツ光メンバーズクラブ (1回目、2回目)	当日
−	楽天市場阪急オンラインショッピング	非公開

攻撃を受けてから発覚するのが遅れると被害規模が大きくなる傾向のようです。被害発覚までに要した期間に対しgooや@gamesは被害件数が多いですね。
　

成功率別

パスワードリスト攻撃によるログインの成功率順にすると次の通りとなります。この11社の平均は「0.714%」でした。

順位	対象	成功率
1位	じゃらんnet	2.511%
2位	dinos	1.351%
3位	ニッセンオンラインショッピングサイト	1.142%
4位	KONAMI ID	0.893%
5位	Gree	0.511%
6位	MyJR-EAST	0.373%
7位	フレッツ光メンバーズクラブ (2回目)	0.321%
8位	ワタシプラス	0.284%
9位	三越オンラインショッピング	0.159%
10位	クラブニンテンドー	0.155%
11位	フレッツ光メンバーズクラブ (1回目)	0.150%

上位サービスの多くはログインIDがメールアドレス、パスワードも半角英数字でした。
尚、eBookJapanはこのリストから外しています。同社の不正アクセスの成功率は27%と異常な高さですが、これは同社が実際に不正アクセスを受けた件数を報告にあたりフィルタリングしている可能性が考えられます。不正アクセス件数は2,821件ですが、これは同社が報告している「ログイン成立分」、「ログイン失敗分」から算出した数字であってプレスにもこれが不正アクセスの全件であるといった記載はありませんでした。またサーバーの過負荷から発覚したにも関わらずこの件数は4日間に行われたにしては少ないように思えます。

パスワードリスト攻撃を受けたことに気づいたきっかけ

パスワードリスト攻撃を受けたかどうかに気づくことが出来たきっかけを調べてみました。大きく分けると次の通りです。

大量のログインエラーが出力された
アクセス先のサーバーが過負荷となった
ユーザーから問い合わせを受けた
パスワードリスト攻撃を受けたログを確認した
パスワードリスト攻撃の騒ぎを受けて自社も調べてみた

No	対象	きっかけ
1	Tサイト	ユーザーから見覚えのない利用履歴があるとの問い合わせを受けて
2	MyJR-EAST	パスワードリスト攻撃の騒ぎを受けて自社も調べてみたことから
3	goo	大量のログインエラーが発生したことから
4	eBookJapan	アクセス先のサーバーが高負荷となったことから
5	フレッツ光メンバーズクラブ	大量のログインエラーが発生したことから
6	mopita	パスワードリスト攻撃を受けたログを確認したことから
7	dinos	大量のログインエラーが発生したことから
8	ワタシプラス	パスワードリスト攻撃を受けたログを確認したことから
9	三越オンラインショッピング	大量のログインエラーが発生したことから
10	阪急オンラインショッピング	大量のログインエラーが発生したことから
11	ハピネットオンライン	大量のログインエラーが発生したことから
12	じゃらんnet	ユーザーからログインできないとの問い合わせを受けて
13	ニッセンオンラインショッピングサイト	パスワードリスト攻撃を受けたログを確認したから
14	クラブニンテンドー	大量のログインエラーが発生したことから
15	KONAMI ID	大量のログインエラーが発生したことから
16	楽天市場	ユーザーから見覚えのない利用履歴があるとの問い合わせを受けて
17	@nifty	パスワードリスト攻撃を受けたログを確認したから
18	Gree	大量のログインエラーが発生したことから
19	Ameba	臨時でのログチェックより発覚したから
20	@games	大量のログインが発生したことから

ログインエラー(またはログイン処理)が大量に出ていたから気づいたとしている事業者が多いです。また金銭的な被害が発生しているケースではユーザーからの問い合わせを受けてから発覚しています。異常検知される水準の大量のログイン試行やユーザーが気づく程度の金銭的被害が発生しない場合、Amebaのように臨時でのログチェックでもしない限りパスワードリスト攻撃を受けた事実に気づくのは厳しいですね。

時系列まとめ

各社の発表を元に時系列に整理しました。

未だ一連のパスワードリスト攻撃の関連性についての情報はありませんが、不正アクセス期間は綺麗に並んでいるように見えますね。また。ポータルサイトやゲーム関係、ショッピングサイトへ攻撃の行われた始めたタイミングがそれぞれ近しいようにも見えます。さらにたまたまかもしれませんが、大量のアクセスを試行するパスワードリスト攻撃の後に金銭的被害が発生するパスワードリスト攻撃が発生しているようにも見えます。真相は果たして。