4桁のPINコード、最も頻繁に使われるのは「1234」「1111」 「0000」等

HIBPから取得したとするデータは実際に設定されていたPINコードから取ったデータベースではなく、パスワードとして4桁のPINコード全てを試行した(即ち、流出したパスワードのうち4桁の数字のみからなるものに絞った)結果を当てはめたとみられます。

上位50で前述したパターンに当てはまらないとみられるもののうち、4位の「1342」は「1234」を組み替えただけのもの、28位の「2580」はテンキー上の並びで縦に順番に押したものとのことです。

50位以下も併せると、誕生日(「日・月」の順番も含む)を使用しているとみられる数字も頻出しており、キャッシュカード・クレジットカードの暗証番号と同様の傾向が見受けられます

PINコードに対する限られた試行回数で、攻撃者が真っ先に試す数字のパターンはある程度限定されるものと思われますので、そういった数字を避け、より長い桁数や指紋認証等が使えるならばそれを使うこと等を心掛けるべきです。

Googleフォームへの回答内容を閲覧・管理する「編集者ビュー」がデフォルトで特定のGoogleアカウントのみアクセス可能な「制限付き」の設定であるところ、アカウントを持たない管理者との共有のため「リンクを知っている全員」へ変更したこと、また公開ページへのリンク貼り付けの際に「回答者へのリンクをコピー」で表示されるURLではなく、アドレスバーに表示されている編集者ビューのURLを貼り付けたことが原因と推測されます。

Googleフォームでは2024年12月に現行仕様への変更があり、その際にも巷では多少の混乱が生じていた様子が窺えます。

このようなリンクの取り違えはGoogleドライブやその他オンラインストレージサービスでも往々にして起き得るものであり、「アカウントを持っていない一部の相手と情報を共有したい」という状況が発生した場合には外部への情報漏洩の恐れに特に注意を払い、リンク貼り付け後にはプライベートウィンドウ等非ログイン状態でのアクセスにより、適切なページ等が表示されているか確認することが肝要です。