NEWモバイルキャリアへの「リスト型攻撃」で回線不正契約…中高生逮捕

発表を受けての新聞等各社の報道は、攻撃ツールの開発における生成AIの使用に注目が集まっている一方、攻撃自体は従来のリスト型攻撃の大規模な事例と言えます。

リスト型攻撃はユーザーに対し推奨されるパスワード設定の考え方を大きくシフトさせるきっかけとなりましたが、他のサービスで流出したものと同じID・パスワードをユーザーが使用することを完全にやめさせるのは不可能であり、多要素認証やパスキー等、ID・パスワードのみに依存しないログイン手順の採用も急務とされます。

楽天モバイルは1つのIDで最大15回線を契約可能、かつ追加契約には本人確認不要という仕様に攻撃者が目を付けたとされ、このような大手サービス、こと携帯電話回線の発行を行う事業者においては、前述した多要素認証等の採用、不正ログインの試行へのより厳格な対応、ユーザー自身へのログイン通知等によるユーザーの積極的な保護が肝要でしょう。

外部から侵入を受けた装置等の詳細は公表されておらず、今回のケースに該当するかは不明ですが、VPN装置が脆弱性を突かれる、あるいは推測されやすいID・パスワードを設定していたアカウントから不正ログインされる事例は頻繁に報告されており、脆弱性を塞ぐため装置のOS・ファームウェアを最新バージョンに保つこと、また全てのアカウントに強力なパスワードを設定することが重要です。

またサーバーへの不正アクセス時は、VPN装置を踏み台とするだけでなく、各クライアントPCへマルウェアを感染させるケースも決して珍しくなく、その観点からもアンチウイルス等による防御の強化もまた決して疎かにしてはいけないでしょう。