パスワードの文字を入れ替えた程度の使い回しを推測する攻撃手法、中国の研究者発表

– 2023年8月、中国の大学研究者により、あるパスワードから文字を入れ替えたりした程度のパスワードを比較的高い精度で推測する手法についての論文が発表されています。

– 既に全く同じパスワードを複数のサービスで使い回すことは「パスワードリスト攻撃」による連鎖的な不正ログインに繋がり得ることが知られていますが、論文で参照されている調査結果によれば、あるパスワードをベースに文字を入れ替えたり追加・削除したりする等の「微調整」を行ったパスワードをサービス毎に使用するやり方をユーザーの21～33%が行っているとされています。

– 今回発表された「Pass2Edit」と呼ばれる手法では、過去に流出した約48億個のパスワードをデータセットとし、微調整されたパスワードに対する最大100回の推測実験を行ったところ、一般ユーザーが設定したものに対しては平均24.18%、セキュリティーに精通したユーザーのものに対しても11.68%が成功したとしています

– さらに推測回数を最大1000回とした場合には、一般ユーザー・セキュリティーに精通したユーザーそれぞれに対する成功率は30.34%・15.32%に上昇したとのことです。

– 9月28日(現地時間)、WordPress用セキュリティプラグイン等を提供する米Sucuri社より、9月に報告された25のWordPressプラグインに存在する脆弱性のまとめ記事が発表されました。

– 特に危険なものである「緊急(Critical)」レベルの脆弱性はありませんが、SQLインジェクションが2件、クロスサイトスクリプティング(XSS)が5件等とされています。