【ITニュース解説】一部利用者から「身に覚えのないログイン」の報告 - Qoo10

大手ECサイト「Qoo10」において、一部の利用者が身に覚えのないログインを経験したという事象が報告された。運営元であるeBay Japanは、自社のシステムから顧客情報が流出した事実は確認されていないと発表しており、この問題の原因は「パスワードリスト攻撃」である可能性が極めて高いと考えられている。この種のセキュリティインシデントは、特定のサービスに限らず、現代のインターネット社会において頻繁に発生しており、システムエンジニアを目指す上でその仕組みと対策を深く理解しておくことは不可欠である。

まず、今回の不正ログインで用いられたと推測される「パスワードリスト攻撃」について解説する。これは、攻撃者が何らかの手段で事前に入手したID（メールアドレスなど）とパスワードの組み合わせのリストを使い、標的となる別のサービスに対して自動的にログインを試みる攻撃手法である。攻撃者が利用するリストは、過去に他のウェブサービスから漏洩した情報や、ダークウェブなどで不正に売買されているものである場合が多い。多くの利用者が、複数の異なるサービスで同じIDとパスワードの組み合わせを使い回しているという実態が、この攻撃を成功させる最大の要因となっている。攻撃者は、リストにある大量の認証情報をプログラムで次々と試行し、一致するものが見つかれば、正規の利用者になりすましてアカウントを乗っ取ることができてしまう。Qoo10が自社からの情報流出を否定している背景には、この攻撃手法の存在がある。つまり、問題はQoo10のシステムの脆弱性ではなく、利用者側のパスワード管理と、他のサービスで発生した情報漏洩事件に起因している可能性が高いということだ。

システムエンジニアの視点からこの問題を考えると、サービス提供者側が講じている防御策についても理解を深める必要がある。ウェブサービスが利用者のパスワードを保管する際には、平文のままデータベースに保存することは絶対にない。通常、「ハッシュ化」という不可逆的な暗号化処理が行われる。これは、元のパスワードをハッシュ関数という計算式に通して、一見ランダムな文字列に変換する技術である。利用者がログインする際には、入力されたパスワードを同じハッシュ関数で変換し、データベースに保存されているハッシュ値と一致するかどうかを照合する。この仕組みにより、万が一データベースの情報が漏洩したとしても、攻撃者は元のパスワードを直接知ることができない。Qoo10が「自社からの流出ではない」と断言できる一因は、こうした堅牢なパスワード管理を行っているという前提があるからだ。さらに、サービス提供者は不審なログインを検知する仕組みも備えている。例えば、短時間に多数のログイン試行があった場合や、普段とは異なる国や地域のIPアドレスからのアクセスがあった場合に、アカウントを一時的にロックしたり、本人確認を求めたりする機能がそれにあたる。

しかし、パスワードリスト攻撃は、正規のIDとパスワードの組み合わせを一つずつ試すため、単純なログイン試行回数の制限だけでは検知が難しい場合がある。そこで、利用者側が自衛のために取るべき対策、そしてエンジニアが実装を推進すべき、より強固なセキュリティ対策が重要になる。最も基本的かつ重要な対策は、パスワードの使い回しをやめることである。サービスごとに固有で、かつ推測されにくい複雑なパスワードを設定することが、パスワードリスト攻撃のリスクを根本的に低減させる。

さらに、システム開発の観点から見て、この種の攻撃に対する最も効果的な解決策の一つが「二要素認証（2FA）」または「多要素認証（MFA）」の導入である。これは、従来のIDとパスワードという「知識情報」に加えて、スマートフォンアプリに表示されるワンタイムパスワードや、SMSで送られてくる認証コードといった「所持情報」など、二つ以上の異なる要素を組み合わせて本人確認を行う仕組みである。仮にパスワードリスト攻撃によってIDとパスワードが突破されたとしても、攻撃者は利用者のスマートフォンなどの物理デバイスを持っていなければ、二つ目の認証をクリアできず、ログインを完了させることができない。システムエンジニアは、このような認証の仕組みを深く理解し、自身が開発するサービスに積極的に導入を検討するべきである。利用者のセキュリティ意識を高めるだけでなく、システム側で安全性を確保する設計思想を持つことが、信頼されるサービスを構築する上で不可欠だ。

今回のQoo10の事案は、特定の企業のセキュリティ問題ではなく、インターネットを利用するすべての人々に関わる普遍的な課題を浮き彫りにした。システムエンジニアを目指す者は、プログラムを書く技術だけでなく、それが動作するインターネット環境に潜む脅威を理解し、いかにして利用者の情報とサービスを守るかというセキュリティの視点を常に持ち続けなければならない。攻撃手法は日々進化しており、それに対抗する防御技術もまた進化し続ける。この攻防の最前線で、安全なデジタル社会を支えるのが、これからのシステムエンジニアに課せられた重要な責務の一つと言えるだろう。