脱IT初心者「社長の疑問・用語解説」（第83回）ネット時代の「辞書」は危ない！？

公開日：2024.11.20

ボタンをクリックすることで、Myクリップ一覧ページに追加・削除できます。追加した記事は、「Myクリップ」メニューからいつでも読むことができます。なお、ご利用にはBiz Clipに会員登録（無料）してログインする必要があります。

　システムへアクセスする度に求められるパスワード入力。良くないのは分かっていても、つい同じパスワードを使い回す。そんなIT初心者の社長にも、分かりやすく理解できるようにITキーワードを解説する本連載。今回はパスワードを悪用する「辞書攻撃」だ。

「社長、先日ログインパスワードを変更いただくようお願いしましたが、もうお済みでしょうか？最近は辞書攻撃も心配ですし、パスワードは定期的に変更をお願いします」(総務兼IT担当者)
「最近はハッカーも辞書を引いて攻撃するのか。勉強家だな」(社長)
「ハッカーをほめてはいけません。単語や人名の入ったパスワードを辞書のようにリスト化し、そのリストを元に不正アクセスするんです」
「それは油断ならないな。具体的にどんなパスワードが危険なんだ？」

パスワード突破を狙う辞書攻撃

　辞書攻撃とは、パスワード認証を突破するための手法の一つです。攻撃者が一般的によく使われるパスワードのリスト（辞書）を用いて、コンピューターによってパスワード認証への総当たり攻撃を行います。突破に成功したパスワードは、違法な情報がやり取りされるWebサイトで売買されることもあります。

辞書攻撃ではパスワードに用いられやすい単語をリスト化し、順番に入力することでログイン画面の突破を試みる

Q 辞書攻撃ではどのようなパスワードが狙われやすいのですか。…

　辞書攻撃は一般的に使われやすい単語をリスト化しておき、自動化ツールを用いて手当たり次第に認証を試みます。例えば単純な数字や英単語の羅列、人物名や地名、個人の誕生日や電話番号などを組み合わせたパスワードは特定されやすいと言えます。他にもサービス名や業務名など、企業に関連する単語も推測されやすいので、注意が必要です。

Q 辞書攻撃が懸念される背景にはどんなことがあるのですか。

　業務でさまざまなシステムが導入され、以前に比べログイン認証(パスワード入力)する機会が増えています。ほとんどのシステムやWebサービスを利用する際、ログイン時にパスワードが求められます。たくさんのパスワードを覚えきれないといった理由から推測されやすいパスワードを設定したり、同じパスワードを使い回したりするとサイバー攻撃に遭いやすくなり、非常に危険です。

Q 辞書攻撃の対策はどうすればいいでしょうか。

　辞書攻撃を防ぐには、推測されやすい安易なパスワードを設定しない、パスワードの使い回しは止める、のような対策だけでは不十分です。ログイン時にパスワードの他、スマートフォンなどに送信されるワンタイムパスワードを入力するなど、多要素認証や本人確認のための生体認証などを組み合わせるのも効果的です。また、一度のログイン認証で社内システムやクラウドサービスなどが利用できるシングルサインオンもあります。万が一不正にログインされても、社内システムへの不正な通信を監視するサービスなどもあります。セキュリティに詳しい事業者に相談するといいでしょう。

「定期的にパスワードを変更するのはもちろんですが、多要素認証も組み合わせることでより安全にログインできます」(総務兼IT担当者)
「新しいパスワードは孫の名前を組み合わせようと思っていたが、止めておいた方がよさそうだな」(社長)
「それより、パスワードを書いたメモをパソコンのそばに貼っておくのは止めてください。第三者に盗み見られたら大変です」
「それもそうだな。見つからないように辞書の間に挟んでおくとしよう」