こんにちは、デジタルペンテスト部のねいちゃーどです。 普段は チート対策ペネトレーションテスト の診断員として、主にゲームに関わるサービスの脆弱性診断を担当しています。 さて、6月末は 高難易度で知られるアクション RPG の DLC が配信開始 されたり 登録アカウント数が3000万人を超えた MMORPG の新たな拡張パッケージが公開 されたりゲーマーにとっては忙しい月末でした。 某 MMORPG のプロデューサー兼ディレクターは DLC を 1週間で終わらせて！と言っていたそうですが... さて、私も普段、後者の MMORPG を遊んでいるのですが、オンラインゲームを遊ぶために必要なものって何でしょうか ? PC/ゲーム機 ? はたまたカセット (ソフト) ? それも必要ですが ... ズバリ、「ID」と「パスワード」です。 昨今では通販を始めとした、様々なサービスがオンライン上で提

組織のシステムをサイバー攻撃から守る対策を徹底すべき立場にあるIT管理者の多くが、実はエンドユーザーと同じくらい安易なパスワードを使っていた――スウェーデンのサイバーセキュリティ企業のOutpost24の調査でそんな実態が明らかになった。 Outpost24は法人向けセキュリティサービス「Threat Compass」を通じて1月～9月に収集した管理者パスワード180万件のデータを分析した。その結果、最も多かったパスワードは「admin」で、180万件のうち4万件を超えていた。 Threat Compassを通じて収集した管理者パスワードの1位は「admin」に。以降、トップ10までには、2位「123456」、3位「12345678」、4位「1234」、5位「Password」、6位「123」、7位「12345」、8位「admin123」、9位「123456789」、10位「adminis

このコーナーでは、2014年から先端テクノロジーの研究を論文単位で記事にしているWebメディア「Seamless」（シームレス）を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 Twitter: ＠shiropen2 中国の南開大学や北京大学などに所属する研究者らが発表した論文「Pass2Edit: A Multi-Step Generative Model for Guessing Edited Passwords」は、1つのサービスで使っているパスワードを少し変えて別のサービスで使い回しているパスワードを予測して特定する攻撃を提案した研究報告である。 インターネットでサービスを利用すると、アカウント数が増加する。一般のユーザーは、80～107個ものオンラインアカウントを持っているとされている。このような状況において、新しいパスワードを都度設定するのは

Webブラウザにパスワードを保存すると毎回入力する手間が省けて便利ですが、実は危険な行為です。その理由と対策についてご説明します。 強力なパスワードは長く、複雑で、数字や記号が混じったものが理想的だとされています。その上アカウントごとにユニークなものを使用するため、覚えていることは不可能です。そのため、ブラウザーにパスワードを保存すれば、毎回パスワードを再入力する必要がなくなり、手間が省けると思っている人も多いと思いますが、これは本当に安全なのでしょうか？今回のブログでは、ブラウザーにパスワードを保存することが推奨できない 3 つの理由と、より安全に管理できるパスワードマネージャーを使用する必要がある理由について説明します。 1.パスワード収集ツール ブラウザーにパスワードを保存する場合問題となるのは、使いやすさのためにセキュリティが犠牲になることです。これは、少なくとも 3 つの最も人気

サイバー犯罪者は、さまざまな手口を使ってパスワードを盗み出そうとする。一方、推測されやすい単純なパスワードを使って、わざわざサイバー犯罪者を助けるようなことをしている人も多い。英国の決済サービス企業Dojoが実施したハッキングされやすいパスワードの調査結果は、避けるべき間違いを知り、インターネットを安全に利用する助けになるかもしれない。 Dojoは、過去に流出したパスワードの膨大なリストである「RockYou2021」を使って、600万個以上のパスワードを調査した。その結果、最も頻繁に使われていたパスワード、その平均的な長さ、パスワードによく使われる言葉が明らかになった。 まず、ハッカーはどのような手口でパスワードを入手するのだろうか。 最もよく使われている方法は「総当たり攻撃」だ。サイバー犯罪者たちは、自動化されたツールを使って1秒間に何百万個ものパスワードを試す。これと似た手口に「辞書

スマートフォンでネットショッピングを利用したり、さまざまなSNSを利用しているという人は多いはず。ほとんどの場合、ショッピングサイトやSNSではアカウントを保護するためのパスワードを設定しますが、簡単なパスワードにすると、悪用されてしまうのではないかと心配に思う人もいるでしょう。 一方、複雑なパスワードを設定すると、パスワード自体を忘れてしまいかねません。そんな時に便利なのが、iPhoneの「iCloudキーチェーン」という機能です。 本記事では、iCloudキーチェーンの基本的な機能や使い方についてご紹介します。 iPhoneでパスワード管理をするのに便利な「iCloudキーチェーン」ってどんな機能？ iCloudキーチェーンを利用すると、Webサイトやアプリごとのユーザ名、パスワードの保存ができ、ログインをする際には、自動的にパスワードを入力する機能などが利用できます。ユーザ名、パスワ

パスワードの流出は、デジタル時代において最も悩ましい問題の一つです。一見、それほど大した問題には思えないかもしれません。めったに使わず、何の価値もないような古いメールアカウントのパスワードを他人が見つけたとしても、何の問題もないようにみえます。 しかし、もしユーザーが、それと同一のメールアドレスをSNSのアカウント、さらには銀行のアプリやその他のアプリで使っていたとしたら…サイバー犯罪者にあなたの情報が渡ってしまったということになります。結果、お金や個人のデータまで盗まれて自分が苦しい思いをするのに加えて、友人や家族、同僚をも悩ませることになります。というのも、乗っ取られたアカウントは、ユーザーの連絡先に登録されているすべての人に対して、ユーザーの名前を使い、フィッシングメールや詐欺メールを送り付けるために使用されるからです。 今回は、認証情報がどのようにして盗まれるのか、またそれが流出さ

データのセキュリティを守ろうとする安全対策と、それを破ろうとするハッキング手法の発達はいたちごっこで、これまでにPCから発せられる音や電磁波、熱を使ってデータを盗み出す方法が編み出されています。さらに、イギリスの研究者によって、赤外線カメラと機械学習を使ってキーボードで入力した内容を盗み出すことができることが確かめられました。 ThermoSecure: Investigating the Effectiveness of AI-Driven Thermal Attacks on Commonly Used Computer Keyboards | ACM Transactions on Privacy and Security https://doi.org/10.1145/3563693 University of Glasgow - University news - AI-driv

強固なプライバシー保護法が存在するスイスでも運用されているエンドツーエンド暗号化が施されたメールサービス・Proton Mailを開発するProtonが、独自のパスワードマネージャー「Proton Pass」を発表しました。 Proton Pass is now in beta | Proton https://proton.me/blog/proton-pass-beta Proton launches an end-to-end encrypted password manager - The Verge https://www.theverge.com/2023/4/20/23691097/proton-end-to-end-encrypted-password-manager-e2ee 現地時間の2023年4月20日、Protonがサービス初期からProton Mailをサポートし

2022年に全世界で最もよく使われたパスワード上位20（出典：NordPass） 上記の基本的なパスワードに加え、新たな傾向が研究者によって毎年確認されている。パスワードとして常に用いられているのは、以下のようなパターンだ。 スポーツチーム：例えば、サッカーチームである「レッドスターベオグラード」は、5,850万件以上確認された ファッションブランド： 1,480万件近く使われている「ティファニー」が代表例だ 悪口：最もよく用いられている「f*ck」は2,100万回以上確認された 音楽アーティスト：最上位の「U2」は3,300万回以上確認された 映画：最も頻繁に使われている「leon」は640万回に及ぶ 自動車：800万以上のユーザーが「mini」をパスワードに使用している ゲーム：2022年に最も用いられた「arma」は620万以上のユーザーが使用していた 食べ物：約860万件のパスワー

サイバーセキュリティ企業のHome Security Heroesが、ニューラルネットワークでパスワード予測を行うAI「PassGAN」を使って実際のパスワードを解析する実験の結果を発表しました。それによると、一般的なパスワードのおよそ半分が1分で、65％が1時間で解析できてしまったとのことです。 2023 Password Cracking: How Fast Can AI Crack Passwords? https://www.homesecurityheroes.com/ai-password-cracking/ 通常、パスワードの解析に使われるパスワード推測はシンプルなデータ駆動型のツールが使われます。つまり、膨大なデータを元にパスワード分析を行うというやり方で、こうした方法は小規模で予測可能なパスワードの場合は効率的に解析可能ですが、サンプルサイズが大きくパターンが複雑になって

リトアニアのセキュリティ企業Nord Securityは3月30日、情報漏えいしたことがある企業のデータを基に、世界31カ国の大企業で働くビジネスマンが、仕事でよく使うパスワードのランキングを発表した。米国や日本、中国、インド、英国などからデータを集めたという。 「テクノロジー・IT」「航空・宇宙」など20業界でランキングを公開。例えばテクノロジー・IT業界の1位は「123456」だった。2位は「password」で、3位は「aaron431」。TOP10には「research」（4位）、「linkedin」（7位）、「社名や部署名（もしくはそれを一部変更したもの）」（12位）などもあった。 航空・宇宙業界も1位は「password」。2位は「社用メールアドレスのドメイン」、3位は「社名や部署名（もしくはそれを一部変更したもの）」だったという。TOP20には「opnesesame」（6位）

一般的に、パスワードは、無数のオンラインサービスで使用する最も一般的な認証方法にすぎません。しかしサイバー犯罪者にとって、パスワードは、はるかに価値があるものです。他人の生活、大切な仕事のツール、そして売りたい商品への近道なのです。パスワードを知ることで、犯罪者は、ユーザーのアカウント、データ、金銭、さらには身元まで入手できるだけではなく、オンライン上の友達や親戚、勤務先や経営する企業を攻撃するために被害に遭ったユーザーを利用します。こういった被害を防ぐためには、そもそも他人がどうやってユーザーのパスワードを入手するのかを理解する必要があります。 パスワードはどのようにしてサイバー犯罪者の手に渡るのか パスワードが漏えいするときはユーザーが何らかのミスを犯している、というのは全くの誤解です。例えば、確認をせずにネットからファイルをダウンロードする、見知らぬ人から送信された文書を開く、怪しい

この記事は、ESET社が運営するマルウェアやセキュリティに関する情報サイト「Welivesecurity」の記事を翻訳したものである。 パスワードの概念は数世紀前から存在し、想像以上に早くからコンピューターの世界にも導入された。パスワードが長く使われ続けている理由の1つとして、人々が本能的にその仕組みを理解できる点が挙げられる。パスワードは、デジタル時代を生きる人々にとってアキレス腱のような存在だ。平均的な人でも100のログイン情報を保有しており、それは上昇傾向にある。パスワードを乱雑に扱う人が増え、結果としてセキュリティに問題が生じるのもなんら不思議なことではない。 パスワードは、サイバー犯罪者が個人情報や決済情報を入手する際の唯一の手段であるため、彼らはログイン情報の窃取や解読に躍起になっているのだ。私たちは、オンラインアカウントを保護するために、少なくとも同程度の労力を費やす必要があ

Androidを利用していると、必ず必要になるのがGoogle アカウント。アカウントのパスワードを忘れてしまった場合は、再設定すればOK。アカウント復元ページにアクセスしてみましょう。プッシュ通知や画面ロック、再設定用の電話番号・メールアドレスを利用して、新しいパスワードを設定できます。 プッシュ通知でパスワードを再設定する まずはアカウント復元ページにアクセスしましょう。メールアドレスを入力して進むと、ログイン済みの端末にプッシュ通知が送られます。メールアドレスや端末名を確認して「はい、私です」をタップします。本人確認が終わると、パスワードの変更画面が表示されるので、新しいパスワードを2回入力して「パスワードを保存」をタップします。これで、パスワードの再設定が完了です。 アカウント復元ページにアクセスし、メールアドレスを入力して「次へ」をタップ（写真＝左）。「はい、私です」をタップ（写

こんにちは。サイバーグリッド研究所　チーフリサーチャーの谷口です。 最近、一部のインターネット利用者の間で、Webサイトを閲覧した際に「Facebook拡張ツールバッグを取付て安全性及び使用流暢性を向上します」（原文ママ）という表示が出て、マルウェアがダウンロードされたり、インターネット接続ができなくなったりすることが話題となっています。 この事象は、WebサイトのIPアドレスを問い合せる先のDNSサーバの設定が第三者に勝手に変更され、攻撃者のWebサイトへ誘導されるサイバー攻撃が原因です。DNSサーバの設定が変更される方法はいくつか考えられますが、今回は、私が用意した環境で第三者がルータの管理画面へログインして設定変更する行為を観測しましたので、攻撃手法の概要と対策について解説します。 確認した事象 初期パスワードのままでルータの管理画面をインターネットに公開したところ、第三者によりDN