Have I Been Pwned & 1Password

データ侵害の基本：ハッカーがパスワードを盗む方法

データ侵害がニュースになったり、知り合いが自分のアカウントの1つがハッカーに乗っ取られたことが判明したりしない週はめったにありません。

このような事態が発生した場合、「なぜこのようなことが続くのか」と思うのは当然のことです。犯罪者はアカウント認証情報を盗むためにどのような手法を使用しており、パスワードの盗用から身を守るにはどうすればよいのでしょうか。

最初の2つの質問から始めましょう。ハッカーが使用する最も一般的な手法は次のとおりです。

ソーシャルエンジニアリングとフィッシング

ソーシャルエンジニアリングとは、ユーザーを操作してパスワードや電話番号などの個人データを共有させようとする試みです。攻撃者は、知り合いや信頼できる人物（職場の上司、銀行、大学時代の旧友など）を装い、あなたが情報を共有すべきだと信じられる理由を考え出すことで、あなたを騙そうとします。

ハッカーは、これを行うことで情報を「フィッシング（釣り上げ）」しています。ソーシャルエンジニアリングは、メール、テキストメッセージ、電話（この場合は「ビッシング」）の形をとることがあります。攻撃者は多くの場合、大規模なネットワークを張り巡らせ、誰かが騙されることを期待して、数百人または数千人の人々に一斉にフィッシング攻撃を仕掛けます。

パスワードの漏えいとクレデンシャルスタッフィング

ハッカーがPCの前に座って、アカウントに侵入するためにさまざまなパスワードを試すことはめったにありません。時間がかかりすぎるため、数回失敗するとロックアウトされる可能性があります。代わりに、過去のセキュリティ侵害で漏えいした認証情報を試します。

攻撃者は、一般の人が複数のパスワードを使用することはめったにないことを知っています。したがって、古いMicrosoftアカウントのユーザー名とパスワードを知っていれば、同じ認証情報がその所有者のメールアカウントでも機能する可能性が高くなります。実際には、ハッカーは専用のソフトウェアを使用して、盗んだ認証情報をウェブ上で大規模にテストします。このタイプの攻撃はクレデンシャルスタッフィングとして知られています。

辞書攻撃とハッシュ化されたパスワードの解読

攻撃者があるパスワードのデータベースを発見したとしましょう。ここで問題となるのが、すべての認証情報が保護のためにハッシュアルゴリズムによって暗号化されていることです。攻撃者は、一般的に使用されているハッシュアルゴリズムを使用して考えうるすべてのパスワードを実行し、その結果がデータベース内の何かと一致するかどうかを確認することができます。しかし、これが奏功することはほぼありません。

代わりに、攻撃者は事前に定義されたリストから一般的な単語、フレーズ、または以前に漏洩したパスワードを試します。一致するものを見つけたら、スクランブル解除されたパスワードを使って関連アカウントにアクセスしたり、所有者の他のオンラインアカウントでも機能するかどうかを確認したりできます。

さて、ハッカーがどのようにパスワードを盗むかについては説明しました。では、一般的にこうした戦術やデータ侵害から身を守るために何ができるでしょうか？

各サービスごとに固有のパスワードを設定して自分自身を保護

オンラインで自分自身を保護する最善の方法は、すべてのアカウントに強力で固有のパスワードを使用することです。そうすれば、たとえ1つのサイトのデータが侵害されたとしても、他のサイトのデータは安全に保たれます。何百もの異なるパスワードを作成したり記憶したりすることはできませんが、パスワードマネージャーなら可能です。1Passwordの内蔵パスワードジェネレータを使用すれば、Amazon、Instagram、Gmailを含むすべてのウェブサイトやサービスに安全なパスワードを作成して、時間を節約できます。

多要素認証を有効化

多要素認証により、オンラインアカウントのセキュリティがさらに強化されます。これを有効にすると、ユーザー名とパスワードに加えて2つ目の要素（通常は制限時間付きのコード）を入力してサインインする必要があります。1Passwordは、多要素認証をサポートしているウェブサイトを通知し、認証システムとして機能して、特別なワンタイムコードをコピーして自動入力します。

Watchtowerでセキュリティの脅威を常に把握

Watchtowerは、1Passwordに保存されたアイテムに関連するデータ侵害やその他のセキュリティ問題について通知します。これには、現在脆弱なパスワードや再利用されたパスワードがあるウェブサイトや、パスキーをまだ使用していないサービスが含まれます。Watchtowerの通知に従うことで、セキュリティを強化し、個人情報がダークウェブに公開される可能性を確実に減らせます。