とりあえず楽天とAmazonとLINEのパスは変更しておいた方がよさそうだ、という話

今件はいわゆるリストハッキングのネタに使われそうなデータが漏れた可能性がゼロではないという話。複数のサービスで同じIDとパスの組合せを使っていると、1つのサービスでそれが漏れた場合、他のサービスで試されてしまうというもの。

IDとパスワードを定期的に変更すべきか否かの問題は常に色々と論議されている。確率論的に考えれば変えようが変えまいが繰り返しの試みに対するリスクは同じではないかという気もするのだけど(要は何回サイコロを振ろうが、振るたびに6が出る可能性は1/6でしかないってこと)、IDとパスの漏洩リスクを考えるとちょっと違ってくる。

今回は昨年11月に取得されたサーバーの分析の結果、その内容からハッキングの可能性があると今年の4月にようやく事態が判明した次第。その間に何らかの不正ログインが行われるリスクがあったことを考えると、パスワードの定期的な変更などが決して無意味なものではないことが分かる。

悪意のあるものにIDとパスワードの組合せを盗取されてから、それが悪用されるまでの間に変更が行われていれば、盗取されたデータは無意味なものとなる。そしていつ盗取されたかは盗まれた方には大よそわからない。今件の場合はたまたま発覚したから分かったまでの話で、それでもタイムラグが生じている。

例えるなら、自宅の鍵がいつの間にかコピーされているかもしれない、でもコピーされたか否かは分からない。だから定期的に変えておけば、コピーされた鍵で侵入されるリスクは減らせるというもの(実際には鍵そのもののコピーは困難なので、そのような必要性はあまりないのだけどね)。

先日のツイッターにおけるレイバンアタックのように、どこから漏洩したのか分からないIDとパスワードの組合せによるリストハッキングが起きている以上、報道されない、公にはされていない形で、どこかのサービスのIDやパスが盗取されている可能性は多分にある。その盗取されたデータが無意味なものとなるように、定期的にパスワードの変更は必要なようだな。。。