「おさいふPonta」にパスワードリスト攻撃

"「おさいふPonta」にパスワードリスト攻撃、1時間に約３０万件 - 一部で残高の不正移行"
http://www.security-next.com/099567


これは複数のサイトで同じメールアドレス、パスワードを設定している場合、どこかの脆弱性のあるサイトでユーザのメールアドレス、パスワードのリストを盗んで、他のサイトでこれを試す攻撃です。

サイトごとにパスワードを変更するのは有効です。こうすればパスワードリスト攻撃の被害を受けにくくなります。

覚えられないなら下一桁だけでも変えるとよいでしょう。

サイトA:
!#P0723!#001

サイトB:
!#P0723!#002

サイトC:
!#P0723!#003

手帳など紙に書いて覚えるのも仕方なしと思います。手帳を落としても大丈夫のように

!#P<誕生日＞!#001

のようにメモ書きするのもよいでしょう。

また使っていないサイトは退会するのをお勧めします。（退会してもサーバ側にデータは残っている可能性はありますが）

さらにどうでもよいサイトはフリーの一時的なメールアドレスで登録して、パスワードも適当にしましょう。サービスが不要になったらすぐに退会しましょう。

サービス提供会社もパスワードリスト攻撃対策をして欲しいものです。同じIPからの連続試行を拒否するのは当然ですが、IPを変えて攻撃するケースもあるでしょう。

AIにより防御を導入し、不自然な連続試行が発生した場合は拒否する対策がよいでしょう。例えば深夜２時くらいは普段はログイン思考がないのに、ある日突然大量のアクセスがあればAIが検知してブロックしたり管理者に警告したりということです。