テレワークやオンラインサービス活用などデジタルシフトが急速に進み、ログイン認証情報、機密情報、金銭などを盗み取ることを目的としたサイバー攻撃が急増しています。国内企業にも多くの被害が出て、各省庁やサイバーセキュリティに関わる組織が続々とセキュリティ対策に関する注意喚起を出す事態となっています。
パスワードは、言うまでもなくセキュリティを保つために必要不可欠な要素です。そのパスワードが、安易で推測されやすいものであったらどうでしょうか？本コラムでは、主な手口からその対応策まで解説します。

パスワードクラック（パスワードクラッキング）とは、データを解析して他人のパスワードを不正に割り出すことです。パスワードクラックによって不正ログインし、サイトの改ざんや個人情報を不正入手される被害が増えています。攻撃者は総当たり攻撃、逆総当たり攻撃などさまざまな手法を使ってパスワードを解読し、システムやWebサービスへの不正アクセスを試みているのです。
実際の手口を見てみましょう。

パスワードクラックにはいくつかの攻撃手法が存在します。
悪意のある攻撃者が特定の攻撃方法を利用して、パスワードを見つけ出す主な手口について5つ説明します。

これらの攻撃手法を理解し、適切なセキュリティ対策を講じることが、パスワードクラックから身を守るためには非常に重要です。

パスワードクラックの最も重大な危険性の一つは、個人情報の漏えいです。パスワードがクラックされると、不正アクセスされたアカウントから個人の住所、電話番号、クレジットカード情報などが盗まれる可能性があります。これにより、金銭的な損害だけでなく、個人の身の安全に関わるリスクも増大します。したがって、パスワード管理の徹底は個人情報を保護する上で非常に重要です。

パスワードクラックによるもう一つの深刻な影響は不正ログインです。攻撃者によってパスワードが解読されると、そのアカウントを使ってさまざまな悪意のある活動が行われることがあります。これには、偽のメッセージの送信、社内ネットワークへの侵入、他のアカウントへのさらなる攻撃などが含まれることがあります。
不正ログインを防ぐためには、強固なパスワードを設定し、定期的に更新することが推奨されます。

パスワードクラックの手口を踏まえて、攻撃の対策方法をユーザー側・システム管理者側に分けて解説します。

「複雑なパスワード設定」「パスワードの定期的な変更」「サービスごとのパスワード作成」といったルールを策定し、きちんと社内に浸透させ運用できることが理想ですが、ルールが複雑になるほど運用が難しくなってしまうのが現実ではないでしょうか。
それを補うために多要素認証、クライアント証明書による認証がビジネスシーンではよく見られるようになっています。

多要素認証（Multi-Factor Authentication）とは、利用者の本人認証時に「複数の要素を用いて確認する」ことをいい、認証の3要素である「知識要素」、「所持要素」、「生体要素」のうち、2つ以上を組み合わせて認証することを指します。

IDとパスワードの組み合わせが何らかの方法で他人に取得されてしまうと、本人になりすましてシステムやネットワークにログインされる危険性があります。また、ユーザーが複数のサービスで同じIDとパスワードを使い回していると、1つのサービスからIDとパスワードが流出した際に、ほかのサービスでも不正が実行される可能性があります。そのため、IDとパスワード以外に、別の認証要素を組み合わせることで、なりすましのリスク低減を図ることができます。
多要素認証は、流出したID・パスワードで悪意のある第三者がログインを試みた場合にも、所持要素（携帯電話やスマートフォンを使ったSMS認証やアプリ認証など）や生体要素（顔や指紋）などの他の要素がそろっていない限りログインを許すことがなく、不正ログイン防止策として期待され急速に導入が広がっています。

多段階認証は、多要素認証と非常に混同しやすいものです。多要素認証の中でも、2要素を使う認証のことを「2要素認証」と呼びますが、これに似た言葉として、「2段階認証」と呼ばれる認証方式があります。この2つは“認証を2回行う”という点では同じですが、「2要素認証」が認証の3要素のうち2要素を利用するのに対して、「2段階認証」は認証要素が1つの場合を指します。
例えば、ID・パスワード認証の後に「秘密の質問への回答」という認証を行うとします。この場合、認証は2回行っていますが、パスワードと秘密の質問はどちらも知識要素です。つまり、1つの要素しか使っていないので2段階認証となり、2要素認証ではありません。
この2つの認証方式にはさほど違いがないように見えますが、知識要素で認証を複数段階にしても、情報が漏えいすると簡単にログインできてしまうため、複数の要素を組み合わせる2要素認証（多要素認証）の方がより安全といえます。どちらが良いか迷われた場合には、多要素認証をお勧めします。

クライアント証明書とは、サーバーに認証要求を送信するためにクライアント端末で利用される電子証明書の一種です。サーバーとクライアントの認証システムを設計する上で重要な役割を果たし、認証を要求する端末が、許可されたものであることを保証する役割を果たします。さらに、期限が切れた証明書や、内容が古く正確ではなくなった証明書を無効にすることもできるようになっています。
テレワークが浸透し社内ネットワークに外部からアクセスをさせる機会が増え、個人所有パソコンなど会社が許可してない端末からのネットワーク接続の被害が想定できます。また社員が紛失してしまった端末を使った不正アクセスも考えられます。こうした被害を防ぐため、有効な証明書をインストールした端末のみリモートアクセス可能にする仕組みを採用する企業が増えています。
正しい対象を認証・特定することでき、盗聴・なりすまし・改ざんなどを防止できるのです。

リトアニアのセキュリティ企業であるNord Securityは2023年版「世界で最もよく使われたパスワード トップ200」と世界35カ国間の違いを明らかにする調査結果を発表しました。
調査では世界35カ国で使われたパスワードを集計し、3TBに及ぶデータベースを作成。サイバーセキュリティ事件の研究者と共同で評価してリスト化しました。

一見複雑そうに見えるパスワードも、キーボードの配列上では横または斜めに並んだ文字列であり、簡単なものであることがわかります。
皆さんは、こういった安易なパスワードを使用していませんか？自身のパソコンやソフトウエア、サービスへのログインに使用するものはもう少し複雑なパスワードにしているかも知れません。しかし、サーバーやネットワーク機器、複合機、クラウドストレージサービスなどの管理者パスワードや共有機器のパスワードはいかがでしょうか？ドキっとした方は、ぜひこれを機会に見直しされることをおすすめします。

改正個人情報保護法において漏えい時の罰則が厳重化されるなど、企業はこれまで以上に情報セキュリティ対策の見直しを迫られています。
パスワードクラック対策は継続的な努力を要するものですが、適切な方法を導入することで、そのリスクを大幅に減少させることが可能です。ユーザーとしてもシステム管理者としても、セキュリティ意識を高め、教育と技術の両面から対応することが不可欠です。
今後も新たな攻撃手法が登場する可能性がありますので、最新のセキュリティ動向を常に把握し、対策を進化させていきましょう。

パスワードを複雑な文字列にすればするほど覚えられない、何度も変更するから覚えきれないといって、パソコンにパスワードを書いた付箋紙を貼り付けたり、すぐ目に付くところにメモしたりするのはやめましょう。とても危険です！