Home > パスワード漏洩

パスワード漏洩


  • Posted by: F&F
  • 2013年4月 5日 13:06

漏洩と言うよりもアタックを受けて破られたそうだ。
NTTレゾナントのやる事だから穴だらけと言えばそうなる。

gooはパスワード総当たり的なアタックを受けて3万ユーザのパスワードを破られたそうだ。
パスワードアタックが継続しているにもかかわらず何ら対策を行わなかった結果、翌日にはさらに7万アカウントが乗っ取られた。
アタッカーは同一IPからだそうで、セキュリティ意識のかけらもないNTTレゾナントらしい失態である。
パスワードを複数回短時間に間違えたらロックするとか、同一IPから連続して多数のIDにログインしようとしたらロックするとか、普通は考えるはずだ。

gooを見てみたのだが、不正ログインとアカウントロックに関する告知はトップのページの下のヘルプの中にあるのみだった。
しかもそこをクリックすると「エラー: データベースに接続できません」と表示されるだけ。

アカウントをロックした人に対してはメールで通知しているような記事も見受けられたのだが詳細は不明だ。
goo以外のメールアドレスを設定している人なら通知は見られるだろうが、そうでない場合はいったいどうするのだろう。

gooではアカウントロック以外の対策を行わず、ユーザに破られにくいパスワードを設定しろとアナウンスしている。
それも上に書いたように目立たない箇所でだ。
教えてgooの呆れた逆恨み野郎でも同じなのだが、何かの事象に対してその対策を講ずるという概念がないように思える。
プレスリリースでも「今後の対策として、モニタリングを強化すると共に、全てのお客様に対してパスワードの厳格化をお願いすることで再発防止を図っていく所存です。」であり、モニタはするが対策はしないよと読み取れる。

F&FサーバにしてもSSHやFTPログインを複数回間違えるとIPFWで通信そのものを遮断する。
遮断閾値は接続元IPによって変えているが、おおむね数回の連続アタックがあれば遮断している。

パスワード破りはGoogleでも問題になり、いくつかの対策が施された。
NTTレゾナントにどの程度のセキュリティ意識があるかは分からないが、gooのサービスは有料の部分もあるので少しは考えて頂きたいものだ。

Yahoo JAPANにも不正アクセスがあった。
こちらは異常に気づいた時点で不正アクセスを遮断する措置を執っている。
これが普通の対応だと思う。

   

Comments:1

してん Author Profile Page 2013年4月 9日 23:32

なぜか日が経つと表示が大きくなり、本日強制パスワード変更(変更しない全員ロック)が来ました。

使ってないし、はた迷惑だから切ってしまうか?

コメント投稿には JavaScript が必要です。ブラウザのJavaScript 機能を有効にしてください。

サインインしなくてもコメントの投稿は出来ます。
サインインしている場合はお名前などを入力せずに、そのまま投稿できます。

登録は簡単&それによって何かが起きるわけではないのでお気軽にどうぞ。
登録ページ書き込み→確認メール送信→確認メールのURLクリックで承認、の手順です。
確認メールに書かれたURLにアクセスしないと登録は完了せず、正しいログイン状態に移行できません。
コメント フォーム
コメント投稿完了までには少し時間がかかります。
二重投稿にご注意下さい。

Home > パスワード漏洩



VC