「123456」は4年連続トップ

米国のセキュリティ会社SplashDataは2017年1月25日、2016年において利用率が高く、危険なパスワード群を発表した。それによると、もっとも多くの人が使用している、見方を変えればもっとも危険なパスワードは「123456」だった。次いで「password」「12345」が続いている(「Announcing Our Worst Passwords of 2016」)。

SplashDataでは毎年、ハッキングなどを受けてインターネット上に公開されてしまった数多くのデータファイル(パスワードなど)を収集し、その統計データを基に汎用性の高い、つまりは多くの人が共通して使っておりリスクの高いパスワードのランキングを発表している。今回発表された2016年分では500万件以上の事例を元に精査が行われている。それによると前年2015年分に続き2016年分においても、「123456」が最上位につくこととなった。次いで「password」が続いている。以下上位25位までを使われている順位で列挙すると次の通りとなる。

2013年分では、それまでトップについていた「password」から「123456」への交代劇が最大のハイライトであった。これはアメリカ合衆国のAdobe Systemによるユーザー情報流出問題による影響が大きい。今回年もその立ち位置は継続中で、これで4年連続となっている。もっともSplashDataがパスワードに関するランキングの精査内容の公開を始めた2011年分以降、「password」と「123456」が上位2位に位置していることに変化は無い。また「photoshop」をはじめとするアドビ社製品に直接係わりのある固有名詞は2014年以降上位陣から抜けており、「123456」がアドビ社製品に係わるものの偏り的な傾向では無く、汎用的な動きだったことも見て取れる。

一方、容易に想像が付く文字列が多数が使われている状況もこれまで通り。例えばキーボードの並びでそのまま文字を打ち込んでいく数字の羅列や「qwerty」(キーボードの配列で左上の列の左端から一文字ずつ打つとこの並びに)、「zaq1zaq1」(キーボードの配列で一番左を下から順に2回繰り返すとこの並びに)、シンプルで誰もが知っている言い回しや単語、それらの組み合わせ、例えば「football」などが名を連ねている。「これなら分かりやすいし、他に使っている人もいないだろう」との目論見なのかもしれない。

アクセスの際に使われることが多いため、ログイン周りと深い言葉が多用されているのも目に留まる。「admin」「login」などが好例。さらに映画「スターウォーズ」の新作が公開されたこともあり、「solo」「princess」のような関係キーワードがいくつか登場しているのが特徴的。そして「『password』ならパスワードそのものなので覚えやすいが、ありきたりなのでマズいから、『o(アルファベットのオー)』を『0(数字のゼロ)』に変えれば大丈夫(passw0rd)」との安易な発想を多くの人がしており、結果的にセキュリティの低下につながっている実情も確認できる。

なお今回の統計結果に際し、トップの「123456」は全体(流出したパスワード)の4％ほどが該当、上位25位で全体の10％以上が相当するとのことである。

セキュリティを強化するために

今回の結果に関してSplashDataのCEOであるMorgan Slain氏はセキュリティ向上のヒントとして「複数の文字種類を組み合わせた8文字以上のパスワードを使うこと」「複数のサービスで同じユーザー名とパスワードの組合せを使わない」「パスワード管理用のソフトを用いる、さらにはランダムなパスワードを生成して自動ログインするようなツールを活用する」と述べている。

以前同氏は「文字を追加してパスワードのセキュリティを上げる傾向が見られるが、もしそれらがシンプルなパターンによるものだったとしたら、たとえ文字数が多くともハッキングのリスクは何ら変わるところがない」と言及していた。今回の結果からはその実情がうかがえる結果が出ている。

また同氏は「数字のみの羅列によるパスワードは絶対に避けるべき」「パスワードを要求するサービスでは、より長い、さらには数字と文字列の組合せによる入力を求めるようになりつつあるが、それでもなお安心することはできない」「スポーツ名やプロスポーツのチーム名は汎用性が高いので使わない」「誕生日関連の数字、子供の名前に人気のある名詞は使うべきではない」「趣味名や著名スポーツ選手名、自動車のブランドや映画名も使うべきではない」など、パスワードを利用する際の留意事項を言及していた。インターネット上のサービスを利用する上では、どれもが皆、心しておくべき内容に違いない。

とりわけ「複数のサービスで同じユーザー名とパスワードの組合せを使わない」は重要。これは仮に一つのサービスでハッキングの被害を受けると、他のサービスでもその組み合わせを使われて被害が拡大する可能性が生じるからである。この手法によるハッキングの事を「リスト型アカウントハッキング」と呼んでいるが、昨今生じているアカウント乗っ取り事案においては、この手法によるものが多分に推測される状況が確認されており、大いに気を付けるべき話ではある。

今件リスト内に該当するパスワードを用いている人はもちろん、そうでなくとも指摘内容に思い当たる節がある人(特に同じユーザー名とパスワードの組合せを複数サービスで使っている人)は、可及的速やかに変更をすることを強くお勧めしたい。

■関連記事:

パスワード管理方法、8.5％は「書いた紙をパソコンなどの周囲に貼る」

ウェブ上でのログイン、パスワードを全部共用している人は1割強