「39億件のパスワード」がハッカー間で共有されている

顔認証、指紋認証、PINコード、二段階認証などセキュリティを守る手段が多く採用されていますが、最終的には「パスワード」なるものが存在しています。

そのパスワードなんですが、ネットサービスを利用するほど数多くなり、それぞれ別にしておくと、いざというときに対応できなくなるということもあり

「多くの人は、共通パスワード」を使っている人も多いと思われます。

個人情報の最後の砦と言うべきパスワードが、実はダダ漏れでさらに悪用される可能性があることがわかってきました。

「39億件のパスワード」が情報窃取型マルウェアによって盗まれている

2025年2月25日　Foebes

「39億件のパスワード」が情報窃取型マルウェアによって盗まれている

2024年の年間を通じて、合計430万台以上のマシンが情報窃取型マルウェアマルウェアに感染した。これはKELAの最新サイバー犯罪動向レポート（米国時間2月20日発行）が示しているものだ。さらに脅威インテリジェンスアナリストらは、「情報窃取型マルウェアのログから取得されたと見られる認証情報リスト」のかたちで、39億件にのぼるパスワードが共有されていたと報告している。Lumma（ルンマ）、StealC（スティールシー）、Redline（レッドライン）の3種類だけで、全感染の75％を占めていたという。

記事はこちらから👇

「39億件のパスワード」が情報窃取型マルウェアによって盗まれている
https://forbesjapan.com/articles/detail/77364

「39億件にのぼるパスワードが共有されていたと報告」

もし、自分のパスワードがここに含まれているかどうかを調べるだけでも39億件から検索するだけでも　ものすごい時間がかかるだろう

盗まれる手段

では、どうやって盗まれるのであろうか？

データの約65％は企業アカウントの認証情報が保存された個人用コンピューターのものであり、情報窃取型マルウェアマルウェアを介して取得されたと考えられる」と説明している。

記事はこちらから👇

「39億件のパスワード」が情報窃取型マルウェアによって盗まれている
https://forbesjapan.com/articles/detail/77364

ホストからではなく最終的には個人のパソコンが狙われている。

企業や組織のサーバーに接続されているパソコンには、サービスに接続するためにパスワードだけではなく、鍵ファイルなども置かれている可能性も高い

なんでもできる「Admin権限」を持っているパソコンならば、盗まれたら　そこでアウト
企業だったらすべてのシステムを開放するようなものなので　その時点でアウト　となります。

ハッキング手法はAIが主役に

AIが主役になりつつある

米国時間2024年10月13日にフォーブスで報じられた「AIを使ったGmailユーザーへのハッキング手法」が話題となって以来、AIがパスワードに及ぼす現実的な脅威は疑いようがない。そんな中、NordPassのエンジニアリング責任者であるイグナス・ヴァランシウスは、弱いパスワードなら数秒でクラックされるだけでなく、「AIを使えば、より強力なパスワードも同じくらいの時間で破られる可能性があります」と警告している。

ヴァランシウスはメールで、大規模言語モデルが「パスワード総当たり攻撃や辞書攻撃を、さらに効率的に組織するために活用されるでしょう」と述べている。

AIツールが普及するにつれ、パスワードの推測やソーシャルエンジニアリング、大規模な総当たり攻撃に要する時間は2025年終わりには大幅に短縮される見込みだという。

ヴァランシウスは「18文字のランダムパスワードがすぐに危険にさらされるとはいいませんが、より短いパスワードは間違いなく脅威が増しています。だからこそ、パスワードの作成から管理、使用に至るまで、常に適切に扱うことが重要なのです」と語る。

記事はこちらから👇

「39億件のパスワード」が情報窃取型マルウェアによって盗まれている
https://forbesjapan.com/articles/detail/77364/page3

ではどうやって守れば良いのか？

パスワード管理の要点

最終的には、パスワードの内容を考えるしかない

・長ければ長いほどよい。ただし名前などの個人情報は含めない
・長くランダムなパスワードは覚えづらいので、パスフレーズ型にする方法もある
・アカウントごとに異なるパスワードを設定し、使い回しはしない
・生体認証と暗号鍵を組み合わせる「パスキー」に移行するのも選択肢の1つだ

記事はこちらから👇

「39億件のパスワード」が情報窃取型マルウェアによって盗まれている
https://forbesjapan.com/articles/detail/77364/page3

最終的には、「生体認証と暗号鍵を組み合わせる「パスキー」」というのが安全そうですが、「使い回し」というのは、わかっているけど難しいかもしれません。

セキュリティソフトウェアも気休めにになるかも知れないけど、最低限の守りは可能だろう
個人でh対向できないような気もしますが、VPNの使用も含めて対応するしかないだろう。

、