大規模侵害の定義が変わりました。数百万人分のユーザー名とパスワードを含む膨大なデータベースがオンラインで流通しています。
コレクション#1として知られるこの個人情報は、先週、ファイル共有サービスMEGAで初めて確認されました。87GBのデータで構成され、1万2000個のファイルに含まれる26億9281万8238行のスプレッドシートに分散しています。これはインターネット史上最大のデータ流出であり、メールアドレスとそれに関連するパスワードが含まれています。
このデータベースはMEGAから削除されたが、セキュリティ研究者のTroy Hunt氏は、ハッキングフォーラムで広く共有されていることを確認した。
ハント氏は、コレクション1のデータを自身のデータ侵害通知ウェブサイト「Have I Been Pwned?」にアップロードしました。このサイトでは、自分が被害に遭ったかどうかを確認できます。このウェブサイトには、340のウェブサイトから6,474,028,664件以上の侵害されたアカウントの詳細が掲載されています。「Have I Been Pwned?」は、メールアドレスをデータ侵害と照合し、ログイン情報が漏洩した場合にユーザーに通知するように設計されています。
コレクション1は自動的にハント氏のリストのトップに躍り出たため、数千人のユーザーが自分の情報が含まれていることを知らせる通知メールを受け取りました。ハント氏によると、メールアドレスとパスワードの組み合わせは合計で1,160,253,228通りあり、これらは772,904,991件のメールアドレスから抽出されています。
これらの電子メール アドレスのうち 1 億 4000 万件は、コレクション #1 以前には Have I Been Pwned? の全体データベースに表示されていませんでした。
これら7億のメールアカウント全体で、2,100万通りの異なるパスワードが使用されていました。人間はセキュリティにあまり注意を払わず、複数のウェブサイトで同じパスワードを使い回すため、このような大きな差異が生じています。（最も一般的なパスワードは、123456、password、123456789です。）
ファイルの出所は不明ですが、ハント氏によると、これは他のデータ侵害の情報が組み合わさったものだということです。つまり、個人またはグループが過去のデータ侵害の詳細を1つのファイルにまとめたということです。2,000件以上のデータ侵害の個人情報が含まれていると考えられています。
続きを読む: デジタルライフのための本当に強力なパスワードを作成する方法
こうした記録は、クレデンシャル・スタッフィングと呼ばれる手法の一部として利用される可能性があります。この手法では、悪意のある人物が、過去のデータ侵害で漏洩したメールアドレスとパスワードの組み合わせを用いてウェブサイトにログインしようとします。この手法が成功するのは、人々が複数のウェブサイトで同じパスワードを使い回しているからです。
コレクション#1は単一のデータ侵害によるものではありませんが、これまでに公開された個人情報ファイルとしては最大規模です。過去最大のデータ侵害は、2013年のYahoo!のハッキング事件です。30億人のユーザーアカウントすべてが何らかの形で攻撃を受けましたが、この攻撃に関する情報はこれまでオンライン上に公開されていません。
では、もしあなたの情報がコレクション#1に含まれていたら、どうすればいいでしょうか？まず、パスワードを変更しましょう。そして、複数のウェブサイトやアプリで同じパスワードを使い回さないでください。同じパスワードは絶対に使い回してはいけません。NetflixアカウントにFacebookのパスワードを使うのが便利だからといって、必ずしも使い回すべきではありません。実際、絶対に使い回すべきではありません。
ユニークなパスワードを使うからといって、何百もの異なる数字の組み合わせを覚える必要はありません。パスワードマネージャーはまさにそのために存在します。パスワードマネージャーを使えば、あらゆるウェブサイトやサービスで強力かつ安全なパスワードを使うことができます。（1PasswordとLastPassは、現在最も優れた2つのツールです。）
パスワードマネージャーを使うことに抵抗があるなら（特にそうすべき理由はありませんが）、少なくとも自分を守るためにできることは、強力で固有のパスワードを使うことです。強力なパスワードは、文字、数字、特殊文字を組み合わせたものです。例えば、R5S5&CNV$8KNCCTWはLastPassによって生成されたパスワードの一例です。（パスワードマネージャーには、安全なパスワードを自動生成するツールがあります。）
パスワードマネージャーの使用に加えて、2段階認証を有効にする必要があります。このセキュリティ対策では、サービスにログインする際に本人確認が必要になります。これは、携帯電話のコードジェネレーターや、パスコードを含むテキストメッセージを携帯電話に送信するといった形で行われるのが一般的です。
二段階認証を有効にすると、たとえパスワードを知っていたとしても、攻撃者があなたのアカウントに侵入することが非常に困難になります。少し面倒に思えるかもしれませんが、データ保護には間違いなく役立ちます。
この記事はWIRED UKで最初に公開されました。
