NEWポケモンセンターオンラインでリスト型攻撃、全アカウントでパスワード リセット措置

リスト型攻撃の事案は数えきれないほど発表され、「推測されやすいパスワード」「複数のサービス間でパスワードの使い回し」等を避けるようユーザー側での自衛が度々呼び掛けられています。

今日、パスワード管理ツールの利用とこれを用いた複雑なパスワードの設定ももはや特殊なケースではなくなっている一方、リスト型攻撃を中心とした不正ログインへの対策をユーザー側のみに帰すことなく、サービス側でも二段階認証等の導入をとるよう求められるフェーズに入っているものと感じられます。

今回、特に子どものユーザーの割合が多いと思われるポケモン関連で発生した事案であり、安全なパスワードがどれだけ設定されるか未知数な上、二段階認証の導入後もフィッシング等によるアカウント情報や二段階認証のための情報(メールで送られてくるコード等)を奪取する攻撃に注意するよう十分に啓発できるかが注目されると
ころです。

SQLインジェクションは単にデータベースからの情報奪取のみならず、Webサイトを改ざんし、フォームに入力された個人情報・決済情報を抜き取るよう仕掛ける等にも悪用される可能性があり、根本的な対策として、Webアプリケーション開発の時点でSQLインジェクション等の脆弱性が入り込まないようにすることが肝要です。

多重防御の意味では、今回も行われていたようなデータベース上でのデータ暗号化の他、脆弱性を悪用するような不正なWebリクエストあるいは内部からの非正規な情報送信を検知、遮断するようなWAF・IDS・IPSの採用も、十分検討に値します。