pictBLandとpictSQUAREに対する不正アクセスがあり、パスワードがソルトなしのMD5ハッシュで保存されていたことが話題になっています。 2023年8月16日に外部のフォーラムにpictSQUAREより窃取した情報と主張するデータ販売の取引を持ち掛ける投稿が行われた（中略）パスワードはMD5によるハッシュ化は行われているもののソルト付与は行われていなかったため、単純なパスワードが使用されていた29万4512件は元の文字列が判明していると投稿。（それ以外の26万8172件はまだMD5ハッシュ化されたままと説明。） 不正アクセスによるpictBLand、pictSQUAREの情報流出の可能性についてまとめてみた - piyolog より引用 これに関連してMD5ハッシュやソルトに関するツイート(post)を観察したところ、どうもソルトの理解が間違っている方が多いような気がしました。

HackerNewsで質問され、話題になっていたトピック。 格安チケットで有名なアメリカのJetBlue のサイトのヘルプページで、「パスワードに使えない文字」というリストが載っています。他にもいろいろ突っ込みたい制限はありますが、 一番わからないのが「QとZは使えません」という制限。これはなんでだろう? という疑問への回答が、レガシーなシステムを引きずったシステムのたいへんさを明らかにしています。 「飛行機やホテルの予約システムSabreの制限だろう」というコメントはすぐにいくつも出ていて、どうやらそれは正しいようなのですが、ではどうしてSabreのパスワードにQとZが使えないのか? 答えは昔の電話にあります。 [caption id="attachment_2831" align="alignnone" width="550"] (photo credit: denisgiles)[/

高橋: こんにちは、高橋です。今日は徳丸さんをお招きして、JALの不正ログイン事件についてお話を伺います。徳丸さん、よろしくお願いします。 徳丸: 徳丸です。よろしくお願いします。 高橋: まず、事件の概要を説明します。日本航空のホームページに不正アクセスがあり、JALマイレージバンク（JMB）のマイルが、Amazonのギフト券に勝手に交換される被害がありました。日本航空の発表では、1月31日から2月2日にかけて、身に覚えがないマイル交換がされているという問い合わせが複数ありました。調査の結果、40人の利用者のマイルがアマゾンのギフト券、数百万円相当と交換されていたというものです。 徳丸: ここで問題となるのは、パスワードは数字6桁ということなんですよね。 高橋: やはりそこですか。パスワードが数字6桁だとどのような攻撃ができるのでしょうか? ブルートフォース攻撃 徳丸: まず、ブルートフ

日本航空（JAL）は2月6日までに、「JALマイレージバンク」のログインパスワードについて、セキュリティを強化する対策を検討していることを明らかにした。従来、数字のみ6ケタのパスワードだったが、会員ページに第三者から不正ログインされた事件を受け、アルファベットや記号を加えるなどの対策導入を検討する。 JALマイレージバンクは、7ケタか9ケタのマイレージ番号と、数字のみ6ケタのパスワードの組み合わせでログインでる。「大半の会員が携帯電話やスマートフォンを利用しており、入力時に負担をかけないよう配慮していたため」（広報部）簡便なパスワードを採用していたが、不正ログイン事件を受け、パスワード強化策を含む再発防止策の検討に入った。 不正ログインは、1月31日～2月2日にかけ、計7人のユーザーから「自分のマイルが意図せず引き落とされている」という相談を受けて発覚した。不正ログインを受けた可能性がある

なぜ僕らはまだパスワードリスト攻撃に悩まされ続けるのか：Japan Identity ＆ Cloud Summit 2014レポート 2014年1月14日と15日の2日間にわたって、「アイデンティティ」という切り口からビッグデータや番号制度、セキュリティなどの問題について議論するカンファレンス「Japan Identity＆Cloud Summit」が開催された。その初日の模様をレポートする。 2014年1月14～15日の2日間にわたって、「アイデンティティ」という切り口からビッグデータや番号制度、セキュリティなどの問題について議論するカンファレンス「Japan Identity＆Cloud Summit」が開催された。 ユーザーデータの活用には透明性の確保が前提 1日目、最初のプログラムでは「ビッグデータとアイデンティティ～ビッグデータ活用の高度化にあたり、われわれは『利用者のID』とど

2013年には、多くの人がパスワードを盗まれた。中には、盗んだ人もいるだろう。 米国防高等研究計画局（DARPA）の遺物であるパスワードは、かつては各自の頭の中にある秘密だった。しかし2013年には、盗まれたパスワードダンプを晒すPastebinやDump Monitor、そしてインターネットのさまざまなブラックホールでハッカーにもてあそばれる情報へと、簡単に変わるということが度々起こった。 無数のパスワードが、Adobe（3800万件）、MacRumors（86万件）、Ubuntuのフォーラム（182万件）、GitHub（未発表）などのサイトから盗まれている。安全だったパスワードは少なかったと言えるかもしれない。 当初は、パスワードが盗まれたサイトのアカウントへのアクセスが問題になったが、多くのユーザーが複数のサイトで共通のパスワードを使用しているため、ハッカーたちは、盗まれた認証情報を

退社した人のPCや前の管理者が管理していた共有PCなど、パスワードが分からなくなり、仕方なくWindows OSを再インストールする羽目になった、ということもあるのではないだろうか。実は、パスワードが分からなくなっても、ちょっとした操作でパスワードの再設定ができる。ただし悪用は厳禁である。他人のPCに対して許可なく、以下の方法でログオン（サインイン）すると犯罪になる。 以下、Windows 10のインストールメディアを使い、Windows 10のパスワードを解除する手順を紹介する。他のバージョンのインストールメディアやWindows 7／8／8.1でも同じ手順でパスワードの再設定が可能だ。 Windows OSのパスワードをリセットする裏技 パスワードを再設定するには、ちょっとした裏技（？）を利用する。Windows 7／8／8.1／10のログオン（サインイン）画面にある［コンピューターの

読者の皆さんは普段、ID/パスワードを使ってログインするサイトをいくつぐらい利用しているだろうか。シマンテックが先週（2013年10月30日）発表した「『個人・企業のパスワード管理』に関する意識調査」によると、「普段利用しているサイト（もしくはスマートフォンアプリ）で、ID/パスワードでログインするサイト数」は「5～9個」が29.3％で最も多く、これに「1～4個」（26.3％）、「10～19個」（23.7％）が続いている（図1）。 図1●普段利用しているサイト（もしくはスマートフォンアプリ）で、ID/パスワードでログインするサイト数（出典：シマンテック「『個人・企業のパスワード管理』に関する意識調査」） 記者自身、改めて考えてみると、ID/パスワードを使ってログインするサイトは、オンラインバンキング、ショッピングサイトなどで15個ほど。これに社内のグループウエア、伝票決済システム、出勤簿、

Adobeから流出したユーザーのパスワードをセキュリティ企業が調べた結果、「123456」「qwerty」などの安易なパスワードを使っているユーザーが大量に存在することが分かった。 米Adobe Systemsのネットワークが不正アクセスされて大量のユーザー情報などが流出した事件で、流出したパスワードを調べたセキュリティ企業が、依然として「123456」などの安易なパスワードを使っているユーザーが大量に存在する実態を指摘した。 Adobeの情報流出は10月3日に発覚し、影響を受けるユーザーは少なくとも3800万人に上ることが分かっている。同社によると、流出したパスワードは暗号化されていたが、パスワードセキュリティを手掛ける米Stricture Consulting Group（SCG）はこの情報を分析し、使用者数の多かった上位100のパスワードを割り出した。 集計できた理由としてSCGのジ

米GoogleのWebブラウザ「Chrome」が保存されたパスワードを平文で表示する機能を提供していることについて、Googleの担当者が掲示板サイトで「ユーザーに誤った安心感を与えたくない」とする同社の立場を説明した。 この問題はソフトウェア開発者のエリオット・ケンバー氏が自身のブログで指摘し、Googleのパスワードセキュリティ対策の甘さを批判していた。 Chromeブラウザのセキュリティ責任者ジャスティン・シュー氏は、掲示板サイト「Hacker News」でこれに反論。「保存されたパスワードへの唯一強力なパーミッションの境界はOSユーザーアカウントであり、Chromeではロックされたアカウント上のパスワードを安全に保つため、そのシステムが提供する暗号化ストレージを使っている」と説明する。 一方で、例えばシステムにロックを掛けないまま席を外すなどして、悪意を持った人物にアカウントにアク

「パスワードの使い回しはやめて」、IPAが呼び掛け：異なるパスワードを設定し、リストとして管理するなどの提案 情報処理推進機構（IPA）セキュリティセンターは2013年8月1日、パスワードリスト攻撃（リスト型攻撃）によって不正ログインの被害が続いていることを踏まえ、パスワードの使い回しをやめるよう呼び掛ける文書を公開した。 情報処理推進機構（IPA）セキュリティセンターは2013年8月1日、パスワードリスト攻撃（リスト型攻撃）によって不正ログインの被害が続いていることを踏まえ、パスワードの使い回しをやめるよう呼び掛ける文書を公開した。 2013年4月以降、国内の複数のサービスで不正ログインの被害が報告されている。その多くは、何らかの方法で事前に入手したIDとパスワードのリストを流用し、プログラムなどを用いて自動的にそれらのIDとパスワードを入力することでログインを試みる手口だ。総当たり式に

パスワードが変更されていないルータや産業制御システムなどの機器は、攻撃者が簡単に見つけ出し、管理者権限でログインできてしまう恐れがある。 デフォルトのパスワードを変更しないままインターネットに接続されたルータや産業制御システムなどの機器が不正侵入の被害に遭うケースが続出しているという。米US-CERTは6月24日、こうしたパスワードの危険性について警告するアラートを出し、工場出荷時のデフォルトパスワードは必ず変更するよう呼び掛けた。 US-CERTのアラートによると、基幹インフラなどの組み込みシステムやデバイス、アプライアンスなどの製品は、工場出荷段階で単純なパスワードが設定され、特定のメーカーや製品ラインの間で同じパスワードが使われているものも多いという。 こうしたパスワードは説明書に記載されていたり、インターネットで一覧を簡単に入手できるものも多い。Shodanのような検索エンジンを使

「パスワードを突破され、不正アクセスを受けた」というニュースが後を絶たない。4月に入り、NTTレゾナントや、イーブックイニシアティブジャパン、JR東日本などが被害を受けたことを公表している。 被害を受けた企業やそのニュースを報じる報道機関は、こうした問題が発生するたびに「強固なパスワードを設定し、使い回しをしないように！」という“正論”を述べている。具体的には「パスワードは、アルファベットの大文字小文字や数字を混ぜ、できれば記号を加えた推測しづらい8文字以上の文字列とし、他サイトでの使い回しを避け、メモもしてはいけない」といったものだ。 実社会では書類ごとに印鑑を用意しているのか こうした指摘はまったく正しい。まさしく正論である。しかし、こうした運用を実社会でしたなら、どうなるのかを考えてみよう。 上記のようなパスワード管理を印鑑に当てはめると、「押印する書類の相手ごとに、一般には売ってい

立て続けに発生した不正アクセス事件によって、あらためてパスワード使い回しの危険性が明らかになった。ツールを用いて「リスト型攻撃」のリスクを認識し、われわれがいま取ることができる対策について考えていく。 相次ぐ不正ログイン事件、その背景には？ NTTレゾナントの「gooID」、NTT東日本の「フレッツ光メンバーズクラブ」、イーブックイニシアティブジャパン「eBookJapan」と、国内の著名サイトで立て続けに不正ログインが発生している。 「gooID」の事件の発生当初、原因は「ブルートフォース攻撃」（注1）という力技による攻撃であるとも考えられていた。だが時間が経過し、詳細が明らかになるに従って、ブルートフォース攻撃ではなく「リスト型攻撃」（「リスト型アカウントハッキング」や「リスト型パスワードクラッキング」などとも呼ばれる）によるものである可能性が非常に高いと考えられるようになってきた。

eBook Japanに対する不正アクセスについて、詳細の発表があり、いわゆる「パスワードリスト攻撃」であることが発表されました。 前回のご報告までは「複数のIPアドレスからログインページに対して機械的に総当たり攻撃等を行う大量アクセス行為（ブルートフォースアタック）」とご説明しておりましたが、詳細調査の結果、「不正の疑われる複数のIPアドレスからログインページに対して、予め持っていたログインIDとパスワードの適用可否を試行する大量アクセス行為」であることが判明いたしました。 つまり、大量アクセス行為を仕掛けてきた者は、当社以外の他のサービスなどで他のサービスのログインIDとパスワードを不正に入手し、ユーザーがログインIDとパスワードを共通に設定している可能性を狙って当社サービスに不正にログインしようとし、上記件数についてはログインに成功してしまったということです。 そのように判断した根拠

相次ぐパスワードリスト攻撃に注意、パスワードの使い回しは厳禁：ID／パスワードリスト流通の可能性も？ この1カ月あまりの間に、国内のポータルサイトやオンラインショッピングサイトへの不正アクセスを狙った事件が複数発生している。被害を受けたサイトのいくつかは、その手口を一部明らかにし、ユーザーに向けてあらためて「パスワードの使い回し」を避けるよう呼び掛けている。 この1カ月あまりの間に、国内のポータルサイトやオンラインショッピングサイトへの不正アクセスを狙った事件が複数発生している。被害を受けたサイトのうち、NTTレゾナントの「goo」や電子書籍販売サイトの「eBookJapan」ではその手口を一部明らかにし、ユーザーに向けてあらためて「パスワードの使い回し」を避けるよう呼び掛けている。 NTTレゾナントが、gooのアカウント情報である「gooID」に対する不正アクセスに気付いたのは4月2日の