よくある危険なパスワードランキング welcomeで不正アクセス歓迎？

　よくあるパスワードというのは、狙われやすいということで良くないパスワードということで紹介。ただ、ありがちな言葉かどうかより長さの方が重要みたいなんですけどね。

　最初に2015年のランキングで19位だったパスワード「letmein」に関するクイズを出題。選択肢を3つ作りたかったのですが、3つも思いつかなかったのでなしですみません…と最初書いていたものの、何とか3つ絞り出しました。

【クイズ】「letmein」は「Let me in」のことだと思われます。この「Let me in」はどういう意味でしょう？

(1)さあ、入りましょう。
(2)中に入れてくれ。
(3)(トイレの個室などで)入っています。


2020/02/01：
●お茶の水女子大サーバがフィッシングメールが大量送信、理由は？
2016/3/5：
●不正アクセス大歓迎？最近流行のパスワードは「welcome」
●よくある危険パスワードランキング、未だに「password」が多い
●特有の傾向としては、スター・ウォーズなパスワードがブームに
●辞書に載っているような単語をパスワードにしてはいけいない理由
2019/12/23：
●一見複雑で安全そうなパスワードがランキング上位に…


●お茶の水女子大サーバがフィッシングメールが大量送信、理由は？

2020/02/01：最初に実際に問題となった事例を紹介しておくことにしましょう。国立大学法人お茶の水女子大学は2020年1月28日、同学の研究室のサーバへの不正アクセスにより大量のフィッシングメール送信が発生したと発表しました。3,086,870件ものフィッシングメールが送信されたとのことで、すごい数です。

　海外からの不正アクセスを受けフィッシングメール送信の踏み台とされていたことがわかっています。お茶の水女子大学が不正をしたわけではないものの、フィッシングメールをばらまいたような形。不正に利用されてしまったと言えます。

　問題はこの原因でした。お茶の水女子大学ではこのサーバを2019年11月上旬に外部公開していたのですが、登録したアカウントの1つに安易なパスワードを設定したことが原因で外部から不正ログインを受け、フィッシングメールをばらまくことに。やっぱりちゃんとしたパスワードにする必要があるとわかる話ですね。
(安易なパスワード設定が原因で不正ログイン被害、大量のフィッシングメールを送信（お茶の水女子大学） | ScanNetSecurityより)


●不正アクセス大歓迎？最近流行のパスワードは「welcome」

2016/3/5：よくあるパスワードでは固定的なものがある一方で、どうも年によって流行のようなものもあるようです。笑ってしまったのが2015年に初登場で最も良い11位だった「welcome」(ウェルカム9。本人以外も大歓迎で、いかにも不法アクセスを許してしまいそうなパスワードです。

　これに限らず、そもそも「辞書に載っているような単語をパスワードにしてはいけいない」と言われています。

　こういったランキングは大抵海外の例であり、そのまんま日本に当てはめることはできないので、「辞書に載っているような単語ひとつをパスワードにしてはいけいない」は覚えておいてください。


●よくある危険パスワードランキング、未だに「password」が多い

　さて、肝心のランキング。パスワード管理アプリの「SplashData」による集計だそうです。

【2015年に最もよく使用されたパスワードトップ25】(カッコ内は2014年との変動)
1：123456 (0)
2：password (0)
3：12345678 (+1)
4：qwerty (+1)
5：12345 (-2)
6：123456789 (0)
7：football (+3)
8：1234 (-1)
9：1234567 (+2)
10：baseball (-2)
11：welcome (new)
12：1234567890 (new)
13：abc123 (+1)
14：111111 (+1)
15：1qaz2wsx (new)
16：dragon (-7)
17：master (+2)
18：monkey (-6)
19：letmein (-6)
20：login (new)
21：princess (new)
22：qwertyuiop (new)
23：solo (new)
24：passw0rd (new)
25：starwars (new)
最もよく使われている危険なパスワードトップ25リスト、年度ごとにパスワードにも流行があることも明らかに - GIGAZINE(2016年01月20日 12時00分00秒)


●特有の傾向としては、スター・ウォーズなパスワードがブームに

　「4：qwerty (+1)」はキーボードの左上部分ですね。この型式のキーボードは、この部分を取ってQWERTY(クウォーティー)配列と言われます。GIGAZINEの記事では、スポーツのことをネタにしていました。

＜面白いのは、2014年度のデータでは10位だった「football」が2015年では7位にランクアップし、2014年は8位だった「baseball」が2015年は10位にランクダウンしている点で、2つのスポーツがパスワード界で競い合っているという謎の現象が起きています＞

　また、2015年特有の傾向として、「25：starwars (new)」やスター・ウォーズシリーズではおなじみのキャラクター「ハン・ソロ(Han Solo)」と見られる「23：solo (new)」が入っていることを指摘していました。「スター・ウォーズ／フォースの覚醒」絡みのようです。で、SplashDataが「フォースはジェダイを守ってくれるかもしれないが、セキュリティは守れない」とうまいこと言っていました。

　他に記述がなかったものとして気になたのは、「18：monkey (-6)」。英語圏の人は日本人のように猿に親しみは持っていないと言われているのですが、少なくとも2年連続でランクインしているようです。2016年の十二支は申ですが、日本人だって猿絡みのパスワードになんかしませんよね。何か特別な意味があるのでしょうか？

　気になって検索してみたものの、>monkeyの意味・用例｜英辞郎 on the WEB：アルクではパスワードにふさわしい意味も特に見当たらず。英語圏の人が好んでつける理由は不明です。


●辞書に載っているような単語をパスワードにしてはいけいない理由

　なぜ辞書に載っているような単語をパスワードにしてはいけいないか絡みで、辞書攻撃 - Wikipediaを紹介します。

　まず、総当たり攻撃A～Z・0～9まで総当たりでパスワードを打ち込みパスワードを破る「ブルートフォースアタック」という、なんかすごい必殺技みたいな攻撃があります。ただ、これ、名前がすごそうではあるものの、膨大な試行回数がかかり、時間ロスが大きいんだとのこと。

　名前的には大したことないのですけど、辞書攻撃はこれの上位版。人間が発想するパスワードはワンパターンな事が多いために、良く使われるパスワードを「辞書」的に登録し攻撃に利用するのが辞書攻撃なんだそうです。

　それから、最後にクイズの答えもやっておきましょう。


【クイズ】「letmein」は「Let me in」のことだと思われます。この「Let me in」はどういう意味でしょう？

(1)さあ、入りましょう。
(2)中に入れてくれ。
(3)(トイレの個室などで)入っています。

【答え】(2)中に入れてくれ。


　最初の「welcome」よりパスワードとしての意味が通りますね。ウェルカムだと迎え入れる方であり、「Let me in」(中に入れてくれ)とユーザーがお願いしている形です。でも、こうやって意味がわかっちゃう方が余計悪いですので、パスワードにするのはやめてください。


●一見複雑で安全そうなパスワードがランキング上位に…

2019/12/23：その後やっているのですけど、パスワードは辞書に載っている単語かどうかよりも、長さを気にするべきと最近は言われています。目安としては、12桁以上みたいです。

　で、今回の追記のメイン。セキュリティー・サービス会社SplashDataが、流出した500万以上のパスワードを評価する第9回ワースト・パスワード・オブ・ザ・イヤーを発表したというニュースです。「welcome」はランキングを下げているものの、それでもまだ20位にいます。

＜2019年の「最も酷いパスワード・ベスト20」＞
1 - 123456（2018年から不動）
2 - 123456789（1ランク上昇）
3 - qwerty（6ランク上昇）
4 - password（2ランク下降）
5 - 1234567（2ランク上昇）
6 - 12345678 （2ランク下降）
7 - 12345（2ランク下降）
8 - iloveyou（2ランク上昇）
9 - 111111（3ランク下降）
10 - 123123（7ランク上昇）

11 - abc123（4ランク上昇）
12 - qwerty123 (13ランク上昇)
13 - 1q2w3e4r（新）
14 - admin（2ランク下降）
15 - qwertyuiop （新）
16 - 654321（3ランク上昇）
17 - 555555（新）
18 - lovely（新）
19 - 7777777（新）
20 - welcome（7ランク下降）
(今年も「最も酷いパスワード・ベスト50」が発表される季節になりました　GIZMODO / 2019年12月22日 9時0分より)

　最初のときにも、キーボード上部を使った「qwerty」が入っていました。その発展形と言える「qwerty123」が13ランク上昇、「qwertyuop」が初登場15位となっています。ただ、一見複雑に見えるかもしれないこうしたパスワードも、何百万人ものユーザーが使っていることを知っているハッカーを騙すことはできないと、報告書は指摘していました。

　また、前述の通り、長さも足りないと思われます。とはいえ、キーボード配列の順番で長くするだけ…では、おそらくすぐに看破されてしまうでしょう。ハッカーは、単純な英数字パターンをすぐに見つけ出してしまうので、人々の「パスワードの複雑さ」は、いまだに不充分だとされていました。

　残念なことにデータ漏洩は避けられない問題ですが、それぞれのアカウントごとに強力な固有のパスワードを使用することで、漏洩されたひとつのログイン情報を使用して、悪意のある人間が、使い回された他のさまざまなアカウントにまでアクセスしてしまうことを防げるとのこと。パスワード使い回しだとたとえ複雑にしても、一網打尽でやれるので厳禁です。


【関連投稿】
　　■日本で人気の数字4桁やiPhoneパスコードなどありがちなパスワード
　　■会社のパソコン監視 フォレンジックでメール復元、不倫も発見
　　■IT化は仕事の効率化の敵？ 脱IT化・パソコン禁止のメリット
　　■アンチウイルスソフト、55％の攻撃を検知できず シマンテック幹部が発言
　　■大半がイスラム国と無関係、宣戦布告したアノニマスが停止のアカウント
　　■ネット・コンピュータ・ハイテクについての投稿まとめ