【ITニュース解説】約700件のアカウントで不正ログイン被害、ポイント不正利用も - PinT

電気やガスといったライフラインサービスを提供するPinTのウェブサイトで、顧客向けページに対する不正ログインが発生し、約700件のアカウントで被害が出たというニュースがあった。この事件は、システムエンジニアを目指す人にとって、Webサービスのセキュリティがいかに重要であるかを認識するための具体的な事例として学ぶべき点が多い。

まず、今回の不正ログインがなぜ発生したのか、その原因となった「パスワードリスト攻撃」について詳しく解説する。パスワードリスト攻撃とは、あるウェブサービスから流出したIDとパスワードの組み合わせ（リスト）を使い、別のウェブサービスに対してログインを試みるサイバー攻撃手法である。多くの人が複数のウェブサービスで同じIDとパスワードを使い回す傾向があるため、この攻撃は非常に効果的だ。攻撃者は、一度どこかのサービスから手に入れたIDとパスワードのリストを、手当たり次第に他のサービスで試していく。もし、ユーザーがPinTのサービスと他のサービスで同じIDとパスワードを使っていた場合、他のサービスから流出した情報を使ってPinTにログインされてしまうというわけだ。これは、システムの脆弱性を直接狙う攻撃とは異なり、ユーザーのパスワード使い回しという習慣を悪用する点で厄介な攻撃と言える。

今回のPinTのケースでは、このパスワードリスト攻撃によって約700件のアカウントで不正ログインが確認され、それに伴いポイントの不正利用も発生した。不正ログインされた場合、攻撃者はユーザーのアカウント情報を閲覧したり、登録されているクレジットカード情報や個人情報を悪用したり、今回の事例のように貯まっているポイントを勝手に使ってしまうといった被害を引き起こす可能性がある。これは、単にログインできないだけでなく、金銭的な被害や個人情報の漏洩といった深刻な事態につながることを意味する。

このような被害を防ぐために、システムを開発・運用する企業側は様々なセキュリティ対策を講じる必要がある。まず、「多要素認証（MFA）」の導入が非常に効果的だ。多要素認証とは、パスワードだけでなく、スマートフォンの認証アプリやSMSで送信されるワンタイムパスワード、生体認証など、複数の異なる要素を組み合わせて本人確認を行う仕組みである。仮にパスワードが漏洩しても、別の認証要素がなければログインできないため、パスワードリスト攻撃を防ぐことができる。次に、「ログイン試行回数制限」と「アカウントロック」の仕組みも重要だ。これは、短時間のうちに何回もログインに失敗した場合、一定時間ログインを禁止したり、アカウントをロックしたりする機能である。攻撃者がリストを使って大量のIDとパスワードを自動で試すことを防ぐことができる。

また、システム側では不審なログインを検知する仕組みも必要だ。例えば、いつもと異なる国や地域からのアクセス、普段と違う時間帯でのログイン、異常に短い間隔でのログイン試行など、通常とは異なる行動を検知した際にアラートを発したり、追加認証を求めたりする。これにより、不正ログインを早期に発見し、被害を最小限に抑えることが可能になる。さらに、パスワードのハッシュ化（元のパスワードを特定できない形式に変換して保存すること）やソルト（ハッシュ化の際に付与するランダムな文字列）の利用も、万が一データベースが攻撃されてもパスワードが直接漏洩するのを防ぐために不可欠な技術である。

一方、ユーザー側にもできる対策は多くある。最も基本的なことは、複数のウェブサービスで同じIDとパスワードを使い回さないことだ。サービスごとに異なる、複雑で推測されにくいパスワードを設定することが重要である。また、利用できる場合は積極的に二段階認証や多要素認証を設定し、セキュリティを強化するべきだ。これらの対策は、システム開発者がユーザーに推奨するだけでなく、システム設計においてユーザーがセキュリティ対策を取りやすいような導線を設けることも考慮すべき点となる。

システムエンジニアを目指す皆さんにとって、この事件はサイバーセキュリティの重要性を改めて認識する良い機会となるだろう。システム開発は、ただ機能を作るだけでなく、そのシステムが安全に利用できるかどうかが極めて重要だ。セキュリティはシステムの品質を左右する重要な要素であり、開発の初期段階から設計に組み込む「セキュリティ・バイ・デザイン」の考え方が求められる。後からセキュリティ機能を付け足すよりも、最初から安全な設計を心がける方が、結果的にコストもリスクも抑えることができる。

Webサービスは、常に新たな攻撃手法の脅威に晒されている。システムエンジニアとして、常に最新のセキュリティ情報を学び、その知識をシステムの設計や実装に活かすことが求められる。ユーザーのデータを守り、サービスを安全に提供することは、私たちエンジニアの大きな責任の一つである。今回のPinTの事例から、パスワードリスト攻撃のメカニズム、その対策、そして何よりもセキュリティがシステム開発の根幹にあるべきだという教訓をしっかりと学ぶべきだ。