令和8年7月15日
本サイトの情報は、正確であるよう努めておりますが、万が一、情報が不正確であったことによる損害について、一切の責任を負いかねます。
最近、KDDIのISP向けメールサービスで、 最大760万件のパスワードが漏洩した可能性があるというニュースが報じられました。 国内の大手事業者でさえこのような事態が起きており、 中小企業でもメール乗っ取りや不正ログインの被害が増えています。
今回は、企業が日常的に直面する「パスワードを狙う攻撃」と、 その対策として誤解されがちな「パスワードの頻繁な変更」について、 最新の考え方をご紹介いたします。
増え続けるパスワードを狙う攻撃の種類
● ブルートフォース攻撃（総当たり）
あらゆる組み合わせを機械的に試す攻撃であり、短いパスワードは数秒で突破される可能性があります。
● 辞書攻撃
「よく使われる単語のリスト」を使ってパスワードを試す攻撃であり、 “company2026”“taro123”などは突破されやすくなります。
この他にも、キーロガー攻撃、クレデンシャルスタッフィング攻撃、中間者攻撃、フィッシング、パスワードスプレー攻撃、レインボーテーブル攻撃等があります。
定期変更がもたらす「セキュリティの脆弱化」
実は「パスワードは頻繁に変更すべき」という考え方は、現在のセキュリティ基準では推奨されていません。
●予測しやすいパスワードの生成: 頻繁な変更を強いられたユーザーは、記憶の負担を減らすため、「Password2026_01」を「Password2026_04」にするなど、安易で予測されやすいパターンに陥りがちです。これは攻撃者にとって格好の的となります。
●パスワードの使い回し: 管理すべきパスワードが増えることで、複数のサービスで同じパスワードを使い回す傾向が強まります。一つのサービスで漏洩が発生すると、他の重要システムへも不正アクセスされる「クレデンシャルスタッフィング攻撃」のリスクが飛躍的に高まります。
考え方の転換点
2017年、米国NISTが発行したガイドライン「SP800-63B」で、 「漏洩の証拠がない限り、パスワードの定期変更は不要」 と明確に方針転換が示されました。
日本でもIPAがこの考え方を採用しており、 パスワードポリシーの見直しは世界的な流れとなっています。
背景にあるのは、 “複雑さよりも、侵害されていないことが重要” という新しい考え方で、定期変更に労力を割くより、 漏洩したパスワードが使われていないかを監視し、多要素認証（MFA）で防御を強化する方が、 はるかに効果的であると結論付けられています。
攻撃への対策
① 強固なパスワードを使う
12〜16文字以上の長いパスワード・英数字・記号を組み合わせる・ランダムな文字列を使う・単語や誕生日など推測されやすい情報を避ける
② 多要素認証（MFA）を導入
知識情報（パスワードなど）、所持情報（スマートフォン、セキュリティキーなど）、生体情報（指紋、顔認証など）のうち、2つ以上を組み合わせて認証を行う。
③ パスワード変更は「漏えい時のみ」
定期変更ではなく、 漏えいが疑われる場合に変更する というのが世界標準です。
コメント