2014年01月27日 12時47分メモ

「危険なパスワード」やECサイトのパスワード基準が安全かどうかをDashlaneがランク付けして公開

By hugovk

Amazonや楽天のようなオンラインショッピングサイト(ECサイト)大手から、AppleやMicrosoftなどの家電製品やソフトウェア製品を開発する企業に至るまで、多くの企業が自社製品を販売するためのECサイトを持っています。ユーザーはそれらのサイトを使用する度に個人情報を入力し、自分で考えたパスワードでロックをかけているわけですが、PCやスマートフォンから使用できる無料のパスワードマネージャーアプリを提供するDashlaneが、そこで使用されているパスワードのトップ10と、各社のサイトで使用できるパスワードの基準(『数字と英字を混ぜなければいけない』や『大文字を混ぜなければいけない』など)を評価し、そのトップ10とボトム10を公開しています。

(PDFファイル注意)The_Illusion_of_Personal_Data_Security_in_E-Commerce_(Press Release).pdf
https://www.dashlane.com/download/securityroundup_2014_q1/The_Illusion_of_Personal_Data_Security_in_E-Commerce_%28Press%20Release%29.pdf

Dashlaneの調査によると、最も多く使用されているパスワードのトップ10は以下の通り。パスワード横のパーセンテージは、これらを入力してもパスワードとして使用できてしまうECサイトの割合です。

1位：password(58％)
2位：123456(55％)
3位：12345678(57％)
4位：abc123(70％)
5位：qwerty(58％)
6位：monkey(59％)
7位：letmein(59％)
8位：dragon(59％)
9位：111111(55％)
10位：baseball(62％)

パスワードとしての役割を果たすにはあまりに単純過ぎる文字列でも、ECサイト側が許可してしまえばユーザーはそれらのパスワードを使用できてしまいます。そこで、Dashlaneはアメリカで人気の高いECサイト100個が、オンラインセキュリティ上で重要になる24のパスワード基準をどの程度満たしているのかを調査し、それぞれのサイトにマイナス100から100までのポイントをつけてランク付けしました。

というわけで、パスワード基準が最も高いECサイトと最も低いECサイト、それらのサイトが記録したポイントは以下の通り。

◆トップ10
1位：Apple(100)
2位：Newegg(65)
3位：Microsoft(65)
4位：Chegg(65)
5位：Target(60)
6位：Williams-Sonoma(55)
7位：CDW(50)
8位：Amway(45)
9位：Musician's Friend(45)
10位：Nike(45)

◆ボトム10
1位：MLB(-75)
2位：Karmaloop(-70)
3位：Dick's Sporting Goods(-65)
4位：Toys R Us(-60)
5位：Aeropostale(-60)
6位：J. Crew(-55)
7位：Vitacost(-50)
8位：Nutrisystem(-50)
9位：American Girl(-50)
10位：1-800-Flowers.com(-46)

この調査によるとAppleは全100サイト中、唯一の満点を叩き出した優良サイトを運営する企業で、これに続いてNewegg・Microsoft・Cheggの3つが高いパスワード基準を満たしているとのこと。この調査で45ポイント以上を得点したサイトは優れたパスワード基準を持ったサイトと評価され、これは全体でたったの10％しか存在しない模様です。

By Adrian

反対に-35ポイント以下のサイトは悪いパスワード基準を持ったサイトと評価され、これの中にはAmazonやWalmart、Victoria’s Secretなども含まれています。

また、Amazon・Dell・Best Buyなどを含む51％のECサイトでは、間違ったパスワードを10回入力しても、まだログインできます。これらのサイトでは何度もパスワードを変更してログインを試みることができるので、ハッカーからすればユーザーのアカウントをハッキングしやすい、ということになります。

By zen Sutherland

さらに61％のサイトでは強力なパスワードを作成するためのアドバイスが表示されず、93％のサイトではパスワードの強さを評価してくれるインジケーターが表示されません。そして調査対象の内62％のサイトでは文字のみであったり、数字のみで作ったパスワードでもOK。73％のサイトでは6文字以下のパスワードを使用することも可能、とのこと。