他のWebサービスから流出したIDとパスワードを使って不正にログインする「リスト型攻撃」が後を絶たない。

 リスト型攻撃を受ける原因は、Webサービスの多くが、IDとパスワードによるユーザー認証(個人認証)しか実施していないためだ。多要素認証(2要素認証)やリスクベース認証といった別の認証方式を導入すれば、リスト型攻撃を防げる可能性が高い。

 だが、IDとパスワードしか使っていないWebサービスはまだまだ多いようだ。フィッシング対策協議会が実施した調査により、危険な実態が浮き彫りになった。

300社以上にアンケート調査

 フィッシング対策協議会はフィッシング対策の業界団体。Webサービス(インターネットサービス)事業者やセキュリティーベンダーなどで構成される。

 同協議会は、インターネットでサービスを提供している事業者がどのようなユーザー認証方式を採用しているのかを把握するため、ユーザー認証に関するアンケート調査を実施した。

 「こういった調査の結果が過去になかったので、自分たちで実施することにした」(フィッシング対策協議会の長谷部一泰運営委員 認証方法調査・推進ワーキンググループ主査)。

 対象は、銀行・地銀、クレジットカード、保険など10業種。それぞれの業種で31の企業の担当者に尋ねた。ただし「ゲーム」についてはサンプル数が足りなかったため29企業とした。

今回の対象業種とサンプル数
(出所:フィッシング対策協議会)
[画像のクリックで拡大表示]

 調査対象企業が提供しているサービスのユーザー数(ID数)は、1000未満から500万以上まで様々。業種によってもばらつきがある。また、調査対象の企業名は明らかにしていない。匿名を条件に調査した。

調査対象企業が提供するサービスのユーザー数(ID数)
(出所:フィッシング対策協議会)
[画像のクリックで拡大表示]

この先は有料会員の登録が必要です。今なら有料会員(月額プラン)が2020年1月末まで無料!

日経 xTECHには有料記事(有料会員向けまたは定期購読者向け)、無料記事(登録会員向け)、フリー記事(誰でも閲覧可能)があります。有料記事でも、登録会員向け配信期間は登録会員への登録が必要な場合があります。有料会員と登録会員に関するFAQはこちら