氏名と生年月日でパスワードを割り出していたSNSの不正アクセス事案についてまとめてみた

2022年1月6日、愛知県警はプライベートを盗み見する目的で不正アクセスを行っていたなどとして不正アクセス禁止法違反の容疑で男を逮捕しました。ここでは関連する情報をまとめます。

4年前から毎日不正アクセスと供述

愛知県警豊田署、足助署、県警サイバー犯罪対策課は2020年3月22日から2021年2月10日の4回に渡り愛知県内の女性のInstagramに自分のスマートフォンから不正アクセスを行った他、2021年3月から10月までに不正入手した東京都の女性タレントのInstagramのログインID、パスワードを自分のGmailアカウントに保管していたとして、不正アクセス禁止法違反の容疑で男を逮捕。*1
男は2021年10月に別件の不正アクセス事件で摘発を受けており、自宅のスマートフォンを押収し解析した結果今回の件が判明した。容疑を認めており、動機について「1500人ぐらいのSNSの覗きを行った。他人のプライベートを見たかった。」などと供述。2人の被害者との面識はなかった。*24年ぐらい前から毎日不正アクセスを行っていたことも話している。盗み見以外の行為（設定の書き換え、情報の流出など）は確認されていないとしている。*3
男のスマートフォン（Gmail）には他人のID、パスワードが約2040件保存されており、男は軒並み試したと話している。被害者のほとんどは自分の名前と生年月日をアカウント名に登録していたとみられ、被害に遭った2名も名前や生年月日に関連するパスワードを設定していた。また男女は問わずに男が興味を持った人の非公開情報（ダイレクトメッセージ、写真、メール、アドレス帳など）を盗み見していたとしている。*4 *5 *6
男が管理していたとみられるGmailアカウントについて、報道映像からは「Facebook」「Instagram」「Notes」「Twitter」「写メ」といったラベル付けされた内容が確認できる。また不正に保管をしていたとみられる認証情報について、Instagramのアカウント名「（ぼかされた箇所）_219」に対してパスワードが「（ぼかされた箇所）219」、アカウント名「（ぼかされた箇所）0131」に対してパスワードが「（ぼかされた箇所）0131」などと記載されたものが紹介されていた。*7

www.youtube.com

公開情報からパスワード推定、使いまわし狙いも

報道によれば男は次の認証情報の収集や不正アクセスを行っていたとされる。*8 *9

Twitter、Instagramなどで用いられているアカウント名（ID）やプロフィール情報、投稿された内容を収集し、収集した情報を元にアカウント所有者の氏名、生年月日を推測。推測した情報（氏名＋生年月日）を組み合わせ、パスワードを割り出しし不正アクセス。
設定されたメールアドレスをSNSから取得し、パスワードの使い回しを狙って他のサービス（Google、AppleID）にも不正アクセス。
不正アクセスしたアカウントとSNS上の関係（フォロワー）にある他のアカウントに対しても不正アクセスを試行。