【ネット/セキュリティ】4桁の英字パスワードは3秒で破られる-IPAが注意を呼びかけ[08/10/03]

　独立行政法人情報処理推進機構セキュリティセンター（IPA/ISEC）は10月2日、2008年9月および第3四半期
のコンピュータウイルス、不正アクセスの届出状況をまとめ、発表した。9月に寄せられた相談や届出の中に、
「登録しているオークションサイトに、身に覚えのない商品が自分のIDで出品されている」といった、アカウント
を不正に利用されたという被害が複数あったという。

　相談の中には、数字だけの組み合わせや簡単な英単語をパスワードに設定していたために容易に見破られ、
アカウントを不正に利用されたと推測されるケースがあった。オークションサイトなどのサービスでは、アカウント
を不正に利用されると金銭的な被害が発生する危険があるため、パスワードの作成や管理には十分な注意が
必要としている。

　オークションなどのサービスを提供するウェブサイトでは、パスワードを作成する際に「英字、数字、記号を
ランダムに組み合わせて、8文字以上にしましょう」という注意事項が記載されているケースをよく見かける。
この方法は破られにくいパスワードを作成するポイントとなる。パスワード破りに使用される「パスワード解析
ツール」を使うと4桁の英字のみのパスワードは約3秒で判明できるが、大小の英字と数字の組み合わせでは
約50年かかるとのこと。

　このため、パスワードには文字の種類をできるだけ多く使い、原則8桁以上を設定するようIPA/ISECは呼び
かけている。また、パスワードを記録しておく場合にはIDとパスワードを別々に保管し、月1回など定期的に変更
するべきとした。インターネットカフェなど不特定多数が利用するパソコンには入力しないといったこともポイント
という。

　2008年9月のコンピュータウイルス、不正アクセスの届出状況をみると、ウイルスの検出数は約22万個と、8月
の約19万個から15.1％増加した。また、9月の届出件数は1875件となり、8月の1811件から3.5％増加している。
検出数の1位は「W32/Netsky」で約19万個、2位は「W32/Autorun」で約1万2000個、3位は「W32/Virut」で約9000
個であった。

　不正アクセスの届出および相談の受付状況は、届出件数が14件、相談件数が38件であった。このうち何らか
の被害に遭ったものは、それぞれ12 件、20件となっている。被害届出の内訳は、侵入6件、DoS攻撃が1件、
アドレス詐称が1件、それ以外が4件。また、9月の相談総件数は2154件であり、過去最多だった前月をさらに
大幅に上回った。このうちワンクリック不正請求に関する相談が651件（8月は545件）と4カ月連続で過去最悪
記録を更新している。

　2008年第3四半期（7月〜9月）でみると、ウイルスの届出件数は5134件。不正アクセスは届出件数が48件で、
前四半期の約1.5倍となった。被害があった件数は同1.6倍となっている。

　IPAに届けられた48件のうち、実際に被害があった届出は40件と全体の83.3％を占めた。これらの原因の
内訳は、IDやパスワード管理不備が11件、古いバージョンの使用やパッチ未導入が2件、設定不備が2件など
となっている。なお、届出者の分類は教育、個人、法人でほぼ同率であった。

▽関連スレ
【ネット】ヤフオクID乗っ取り、特定アドレス150万件接続［08/09/26］
http://gimpo.2ch.net/test/read.cgi/bizplus/1222408745/l50
▽ソース：CNET Japan　（2008/10/03 14:49）
http://japan.cnet.com/marketing/story/0,3800080523,20381338,00.htm

2

4桁の暗証番号を使ってるシステムは

パスワード必要なもの多すぎで期限付き多すぎで管理しきれん

パスワードをすべて暗記するなんて不可能です

　　　　　　　　　　　日本製ATM完全否定
　

中国人の仕業ですね

意味不明のパスワードは本人が最初に忘れる。
桁数はどの程度の効果があるのよ？
数字入りの文章をローマ字化するくらいなら適応できるんだが。

password: pass

パスワードが違いますってすぐに教えるんじゃねぇよ

password:nuko

そりゃ、１バイト文字ならな。
２バイト文字パスワードに出来れば４文字でも安全は高まるだろな。
例えば「ぬるぽー」とか。

>>12
そうはいかんざき

ｶﾞｯ

２ｃｈのトリップも数字だけなら割れてるしな

そのサイトの英字を、いつも決めている数字に割り込ませてる
決めている数字が「0123」でヤフオクだったら、「0y1h2o3k」って感じに

といあえず0を４つ

ZIPパスワードも、6文字程度なら総当たり1日で解析できるからな

チャイコフスキーの大序曲で。

>>12
そりゃ実質８文字だがな。

(´･ω･｀)　←こんなのが使えればな

1967って誕生日にしてるぞ。誕生日で設定する人多いんじゃないか？

ようつべで誰でもパスワード再設定のメール送れるのやめてくれよな
気持ち悪いぜ

>>21
ちょっとひねって、西暦表示下２桁＋(月or日)とか、元号表示＋日とか。
あとは自分の生年月日ではなく家族のとか。
（別の方法で決めたんだが、結果的に妹の生年の西暦表示になったpassはある）

1qaz2wsx とかダメかな？
キーボード左上から順に押してるだけなんだが

だめだよw

重要なPWはちゃんと英数字、小文字大文字混ぜているけど、ニコニコとかどうでもいいPWは数字だけにしている

PASSWORD 麻生早く解散しろ！
とか全角文字を使いたいね。

数字4桁の銀行ATMにも突っ込んでやれ

昔ダイアルアップのとき、ウィンドウズのダイアルアップのパスワードが
バグか何かで記憶できなくて、毎回パスワード手動で入力していた。
そしたらその8桁のランダムなパスワード自然と覚えて、今ではそのパスワードで
すべて統一している。

>>24
ぐぐったら 18,000件以上ヒットした。
その手の単語はクラック用の辞書に入ってるかもね。

銀行のことですね。わかります。

オマイラの中で、スパムメールとか送った奴とかいるの？

そんな勢いで攻撃したらサイトが潰れるだろ
不正アクセスしてパスワードのハッシュが書かれたファイルに直接アクセスして攻撃なら3秒で可能だけど

30文字くらいにすればぉk

一定回数間違えたらロックを当たり前にしろよ。

LCDモニターの筐体に書いてある型番をパスワードにしている
長いけど覚えなくても平気w

他のPCでは入力できないのが難点であり利点でもある

パスワード漢字にしろ。

vip
news

銀行のはキャッシュカード自体を盗すむ必要がある。

>>39
なんでわざわざ送り仮名間違えたの？

円周率を１万桁以上暗記している奴が
最強。

英数字8文字以上じゃないと弾くようにすりゃいい

俺のメインバンクは、ネット取引で
パスワード入力何回か間違えると電話かかってくるよ。

最初から電話認証にしろよ。

すいません教えて下さい
かわいい女子高中生とつきあいたんですが
4桁の英字パスワードは3秒で破られるという情報をつかって
うまくできませんかね？
他スレでは散々罵倒されてながらここを紹介されました
お願いします

ANA　USA（クレジットカード）会社のWeb　Passwordは、けっこうめんどくさい。
半角英字と大文字小文字,更に数字を混ぜ合わせないと、Passの設定ができない。
俺は、記号,英大文字,英小文字,数字の組み合わせで、設定している。

4桁の数字は？

1秒以内だろ

３回ミスったら使用禁止だろＪＫ　
総当りで突破しようとするなんて不可能

>>8
ここに載ってる
ttp://www.lockdown.co.uk/?pg=combi&s=articles
大文字＋小文字＋数字で4桁だと2秒以下
大文字＋小文字＋数字で5桁だと1分30秒
大文字＋小文字＋数字で6桁だと1時30分
大文字＋小文字＋数字で7桁だと4日

総当りでだから、実際は数分の一の時間で発見される可能性が高い

ｷﾀ━━━━━━(ﾟ∀ﾟ)━━━━━━ !!


までいれればな

２ｃｈのやつらに一瞬だが

パスワード管理ツール
ttp://keepass.info/

まー、面倒と言えば面倒なんだけど、こういうの使って最大長のパスワードを使用するように
している(Yahoo! なら 32 文字)。
これなら ポータブル版もあるから持ち歩けて便利だしね。

スルガ銀行って4桁だけど大丈夫？

最低8文字は欲しいな

>>53
銀行は3回とか間違えたらロック掛かるだろ、、
まぁ一日2回までなら大丈夫とかだから毎日トライされるかも知れんけど

これが便利

ID Manager
http://www.woodensoldier.info/soft/idm.htm

ビットキャッシュみたいにひらがなの羅列が最強なのか？

つーか総当り試したら普通はアカウント止まるだろ。

password:soka

- error - okotowari shimasu!

好きな単語、数字、+ランダム英数字列の組み合わせで良し

>>55
0.3％の確率でまぐれ当たりするんだけど
それでも銀行は保証してくれない、ふざけすぎだろｗ

４桁の英字パスワード

FUKC
KILL
FOOL
PAIN
SHIT
BOMB

総当たり試す前に辞書アタックすることもあるから
辞書に載っている単語はもっと速く破られるかもよ

FUKC YOU!

>>63
> 辞書アタックすることもあるから
でも

>>62
> FUKC
これは大丈夫そうだ。w

ごほごほ、タイプミス。設定したら、再入力できない。

･ﾟ･(ﾉД`)ヽ(ﾟДﾟ )ﾖｼﾖｼ　←　こんなﾊﾟｽﾜｰﾄﾞ使えると楽しいかも

>>50
いやに早いと思えば
それは10character=数字10字の総当たりじゃねーか
大文字＋小文字＋数字で4桁だと24分
大文字＋小文字＋数字で5桁だと1日
大文字＋小文字＋数字で6桁だと66日
大文字＋小文字＋数字で7桁だと11年
が正解だろう

イソプロピルアルコール

これからはすべてバイオ認証だな

っつーか、まともなシステムなら、
3回ミスっただけでロックかかるようにとかしてるだろ。

システムによっては、いったん間違えると、フェイクプラスとかいう
機能が働いて、正しいパスワードを2回入れないと認証できないのもある。
しかも、2回のうち最初の1回目は、パスワードが間違っているという偽の
エラーが出る。

もっと凝ったところだと、フェイクエクステンドとかいって、
一度認証エラーが起きると、正しいパスワードを2回、さらに各桁がすべて
正しいパスワードとは異なる間違ったパスワードを2回いれて、最後に
もういちど正しいパスワードを2回いれることで認証パスするとかいうのもある。
計6回パスワード入れるわけだが、5回目までは、すべて偽のエラーが返ってくる。
ちなみに、3回認証エラーが起これば、それ以降はずっとエラー。
(偽のエラーと同じ応答なので、全然分からない。)

いろはにほへと　使えば英語ベースのハッカーには対応できないのでは？

パスワードに日本語が使えればそれだけで安全なんだ。
日本人がクラックしようとしない限りは

>>6
全世界共通なシステム

>>68

>A. 10,000 Passwords/sec
>Typical for recovery of Microsoft Office passwords on a Pentium 100

>>71
・・・どんなレベルのシステムだとそこまで要求されるんだ？
自治体のシステムじゃ見た事無いから、国機関や銀行の入室管理とかかな？

>>61
預金の不正引き出し被害は、法改正がされて被害者側に過失が無ければ銀行が全額補償する様になった。

車内にキャッシュカードを置きっぱなしにしてたり等の過失があれば減額されるけどな。
あと被害者の故意や著しい過失による場合は当然補償されない。

失敗したときのリトライ可能時間をもっと多く取れば良いんだよ。
3回失敗したら1時間とか

うちのパスワードはだーれもしらないような超マイナー漫画のキャラクター名にしてありますから大丈夫です。
しかも２回リピートして１０文字以上になってるから完璧。

１００００通りだまってアタックさせるシステムがバカだろ

一回ミスったら3秒入力できないにすればいいんでない？

世の中パスワードだらけで、自分で設定して忘れてしまってるものが・・・

ゆうちょダイレクトの１３桁は多すぎだと思う。

ネット上では応答時間が数秒あるだろうから、
３秒というのは現実的ではないね。
注意を呼びかけるにしろ、最低限の現実性は必要だ。

password : penis

エラー:そのパスワードは短すぎます。

誕生日だなぁ。・・・・・・アニメキャラの。

政府がOpenIDサイトを運用して社会インフラとして公開しろよ。パスワード1万桁くらいで。

　自分の出身校の校歌の出だしとかだと、
20文字オーバーの国家機密級パスワードが
簡単に作れる。

>>71
フェイクエクステンドは意味なさそうだな
なんでわざわざ間違ったパスワードを
いれなければならないんだ？

パスワードの条件が
4文字以上
8文字以上
数字も入っていないといけない
の3パターンを使ってる