2021 年版流出パスワードトップ 200、 世界では「123456」が 1 位、日本では「password」が 1 位 109
ストーリー by headless
人気 部門より
人気 部門より
パスワードマネージャーの NordPass が 2021 年版の人気パスワードトップ 200 を公開している (NordPass の記事、 HackRead の記事、 Mashable の記事)。
調査は NordPass がサイバーセキュリティインシデント専門の独立系研究者と協力してまとめたもので、4 TB のデータベースを調査したという。1 位は各社の調査で 10 年以上にわたってトップを独走している「123456」であり、2 位以下も「123456789」「12345」「qwerty」「password」といった常連ばかりだが、今回の調査では国別・性別のデータもまとめられている。
日本では 85,561,976 件のパスワードが流出しており、日本人 1 人あたり 0.68 件が流出した計算になる。人口 1 人あたりの流出件数はロシア (19.902 件)やチェコ (6.221 件)、フランス (6.025 件)、ドイツ (5.838 件)、米国 (5.158 件)などで多い。
日本のパスワード 1 位は「password」となっており、以下「123456」「123456789」「12345678」「1qaz2wsx」のように世界共通のパスワードが上位を占める。一方で、現地語の単語を使用したパスワードが数多く出現するのが国別データの特徴だ。日本の場合は「sakura (15位)」「takahiro (21位)」「fujitvpass (25位)」「doraemon (28位)」などが上位に入っている。
また、「nekoneko (35位)」「lovelove (38位)」「nikoniko (46位)」「tomotomo (53位)」「hirohiro (54位)」といった2音節を繰り返したパスワードも目立つ。トップ 5 のパスワードが 1 秒以内にクラック可能なのに対し、日本人の名前らしきパスワードの中にはクラックに 3 時間を要するものもあるが、日本に特化したパスワードリストを使用すればクラック時間は短縮されるだろう。
スラドの皆さんが使用しているパスワードは見つかっただろうか。
調査は NordPass がサイバーセキュリティインシデント専門の独立系研究者と協力してまとめたもので、4 TB のデータベースを調査したという。1 位は各社の調査で 10 年以上にわたってトップを独走している「123456」であり、2 位以下も「123456789」「12345」「qwerty」「password」といった常連ばかりだが、今回の調査では国別・性別のデータもまとめられている。
日本では 85,561,976 件のパスワードが流出しており、日本人 1 人あたり 0.68 件が流出した計算になる。人口 1 人あたりの流出件数はロシア (19.902 件)やチェコ (6.221 件)、フランス (6.025 件)、ドイツ (5.838 件)、米国 (5.158 件)などで多い。
日本のパスワード 1 位は「password」となっており、以下「123456」「123456789」「12345678」「1qaz2wsx」のように世界共通のパスワードが上位を占める。一方で、現地語の単語を使用したパスワードが数多く出現するのが国別データの特徴だ。日本の場合は「sakura (15位)」「takahiro (21位)」「fujitvpass (25位)」「doraemon (28位)」などが上位に入っている。
また、「nekoneko (35位)」「lovelove (38位)」「nikoniko (46位)」「tomotomo (53位)」「hirohiro (54位)」といった2音節を繰り返したパスワードも目立つ。トップ 5 のパスワードが 1 秒以内にクラック可能なのに対し、日本人の名前らしきパスワードの中にはクラックに 3 時間を要するものもあるが、日本に特化したパスワードリストを使用すればクラック時間は短縮されるだろう。
スラドの皆さんが使用しているパスワードは見つかっただろうか。
繰り返しに追加 (スコア:2)
Re:繰り返しに追加 (スコア:1)
Rock'n'Roll
＃高町家カラオケ大会で高町なのは、鳳蓮飛ペアが歌った歌
らじゃったのだ
Re: (スコア:0)
hardかな？
Re:繰り返しに追加 (スコア:1)
秘密の質問 (スコア:2)
「1年生の時の担任の名前」←覚えてない
「ペットの名前」←ペット飼ったことがない
「好きな歌手の名前」←特になし
「好きな野球チーム」←スポーツ興味なし
「初めて旅行した町」←覚えてるわけがない
「初恋の人の名前」←初恋って、保育園の時の○○ちゃんかな？ 小学校の時の○○ちゃん？ ╳╳ちゃん？ 高校の時の？ いったい誰が初恋の相手なんだろう？
こういう「秘密の質問」はせめて自分で作らせて欲しい。
Re:秘密の質問 (スコア:2)
昨日、パスワードの再設定をしたサイトの「秘密の質問」で、「母親の旧姓は？」という表示が出たので違和感を感じました。周りに養子に行ってる人間が多いので。
昔はなんとも思わなかったのですが時代の流れですかねぇ・・・
Re:秘密の質問 (スコア:1)
>パスワードそのものではないが、パスワードを設定した後に「秘密の質問」の設定も要求してくるサイトが結構多い。
第三者に推測されやすい情報を本人確認に使うのはセキュリティホーになりやすいということで、その手のは廃れたと思ってたけどまだあるのでしょうね。
揚げ足とりとり (was Re:秘密の質問) (スコア:2)
セキュリティホー
なんだかちょっとかわいい。
ハイホー ハイホー クラックが好きー♪
死して屍 拾う者なし
Re:揚げ足とりとり (was Re:秘密の質問) (スコア:1)
セイ ホー！
コメント書き込んで編集しているときにルを消してた orz.
Re:秘密の質問 (スコア:2)
その手のは廃れたと思ってたけどまだあるのでしょうね。
大手都市銀行のネットバンキングサイトでも要求されますね。
Re:秘密の質問 (スコア:3)
み、みずほ銀行の悪口はやめるんだ！度重なるシステム障害で延期されたけど廃止予定だし！
みずほダイレクトセキュリティ強化に伴う仕様変更について | みずほ銀行 [mizuhobank.co.jp]
# みずほダイレクトはいつになったらあの 90 年代まんまの時代遅れな UI を刷新するのか。三井住友銀行の SMBCダイレクトを見習ってください…
Re:秘密の質問 (スコア:2)
「そんなものは答えたくもないし記憶もないので、やっぱり回答不能です」
みたいな文章で登録して、そっちの文章を、lastpass のメモ欄に保存しておきます。
それ登録しないとアウトというサイトもあったりするので。
¶「だますのなら、最後までだまさなきゃね」/ 罵声に包まれて、君はほほえむ。
Re:秘密の質問 (スコア:1)
＞それ登録しないとアウトというサイトもあったりするので。
そうそう「その手のサイト」だと秘密の質問設定しないと登録できないようになってますね。
ブランクでもダメだし。
某所ででパスワードわからなくなって秘密の質問もわからなくて。
カスタマサポートに連絡しても秘密の質問答えろとしか言ってこなくて。
結局利用を諦めた。
Re:秘密の質問 (スコア:1)
何と言ってもApple IDがそういう仕様ですからね、安全だと信じ込んでいる人間が多いのでしょう
Re:秘密の質問 (スコア:2)
安全だと信じ込んでいる人間が多いのでしょう
別に安全だと信じてなくても、そのサービスを使うユーザーには選択肢はないわけで、そういうシステムならイヤでも「秘密の質問」に答えなければならないのですよ。
Re:秘密の質問 (スコア:2)
かなり前から呼びかけられてました。
IPA 情報セキュリティ 2015年7月の呼びかけ
「 その秘密の質問の答えは第三者に推測されてしまうかもしれません 」
https://www.ipa.go.jp/security/txt/2015/07outline.html [ipa.go.jp]
これは秘密の質問を使われること前提で、ユーザーには「そのまま答えるな」とアドバイスしていますね。
Re:秘密の質問 (スコア:2)
この質問は字面どおり受け取る必要ないんだけど
それはそうなんですけどね。やっぱり、素直に自分が答えられる質問に適切な答えを書いた方が覚えやすいじゃないですか？ 気分の問題？ 「あなたの初恋の人は？」に「12ab34cd」って答えを用意するのもなぁ…。忘れそうだし…。
やっぱりそういう人が多いんだろうか。
圧倒的に多いと思いますよ。たぶん 99.94 % 位かと？（この 99.94 % に深い意味はありません。単に日本の刑事裁判のかつての有罪判決率を流用したまでです。）例えばネットバンキングを利用する顧客の大半は SE でも、プログラマーでも、IT 技術者でもなく、ごく普通の一般人ですからね。素直に提示された質問の答えを考えますよ。
もっとも、関係なさ過ぎて答えの方を忘れる人もいるけど。
上の方にもいらっしゃいましたけれど、そういう方もきっと多くいらっしゃると思います。
Re:秘密の質問 (スコア:1)
>もっとも、関係なさ過ぎて答えの方を忘れる人もいるけど。
答え書いてるじゃん。
「1年生の時の担任の名前」→ 1年は覚えてないから2年にしたろ → あれ？何年だっけ… 1年以外にしたのは覚えてるんだが。
「好きな野球チーム」→ 野球別に好きじゃないわ。せやシルバーキャッスルにしたろ → 10年後 → 何にしたっけ… なんかアニメのチーム名だった気がするんだが…
「ペットの名前」→ ペットおらんからドラクエ5のボロンゴにしたろ → その後ペット飼う → なんでや、うちのペットはこれしかおらん！（ボロンゴの経緯を完全に忘れている）
とかになるんやで。（実話）
ちなみにボロンゴの件が解決したのはその事件の数年後や。
ワイはレトロゲーが好きなんやが、たまたまドラクエ5を久しぶりにプレイしてて、ボロンゴ出てきた時に思い出した。
あっ！そういえばパスワードこれか。 ってな。
だから字面通りにしとかないと困るんやで。
なんなら字面通りでも1年の担任とか設定してから10年経ったら忘れる可能性高いんやで。
パスワードなんて人間に考えさせるからダメなわけ (スコア:2)
毎回入力するものなんだから、1個だけなら憶えられるよ。それをマスターキーにして、残りはパスワード管理ソフトに管理させる。それが一番。
例えば、4桁のランダムな英数字（大文字小文字区別）で情報量は23bit、これに8,000語からランダムに選んだ英単語3つで13x3=39bit、合せて61bit。これだけあればパスワードの強度としては十分。
これで作ると、例えばこんなパスワード（パスフレーズ）になる。これぐらいなら憶えられますよ。
ts2h cigar aloof erda
問題は、こういうパスワードを自動生成できるソフトがないってことなんですが。PaswordTechが良かったんだけど、最新バージョンでわかりにくく使いにくくなったからなぁ。あと、パスワード管理ソフトがハックされたら終わるという難点も。
Re:パスワードなんて人間に考えさせるからダメなわけ (スコア:1)
パスフレーズなら、Bitwarden でも生成できますよ？
Bitwarden Premium なら、FIDO U2F を利用できるので、セキュリティをガチガチに固めたい人におすすめ。
nikoniko (スコア:2)
「pasuwa-do」にしている俺は無敵だった (スコア:1)
ところで、「takahiro (21位)」ってなんなんだ。たかひろさん、そんなに多いの？
EXILEの人かな (スコア:0)
https://m.ex-m.jp/artist/index/8 [ex-m.jp]
Re: (スコア:0)
"fujitvpass" フジTV 出入り業者の使いまわしパスワード?
一体何件、流出したん?
よしスラド国民投票だ (スコア:1)
あなたのパスワードは
・記号あり8文字未満
・記号あり16文字未満
・記号あり32文字未満
・記号あり64文字未満
・その他:コメントにパスワードをご記入ください(オイマテ
Re:よしスラド国民投票だ (スコア:1)
今まで設定したパスワードはこんな感じでした。
・数字4桁
・英字数字で8文字以上
・必ず英字と数字を含む
・必ず英字と数字と記号を含む
・必ず英小文字と英大文字と数字と記号を含む
・過去n回の内で使用したパスワードは設定不可で90日以内に変更
誰か教えて (スコア:1)
４位の「qwerty」と９４位の「qwerty」はどう違うんだろう？
意外に安全 (スコア:0)
日本のベスト200に「pasuwa-do」が入っていなかった。おすすめ
あと日本では
nekoneko、lovelove、nikoniko、masamasa、hogehoge、takataka、yukiyuki
など2回繰り返すのが多い。3回繰り返すのもおすすめ
Re: (スコア:0)
Sumomomomomomomomoはどうなんだろう
あんまり堅固な感じがしない
Re:意外に安全 (スコア:1)
化学系の人なら
hhelibebcnofne
とかあるのかな
Re:意外に安全 (スコア:1)
+H3N.CHR1.COO-.+H3N〜
とかでは？
Re: (スコア:0)
Sumomomomomomomomoはどうなんだろう
あんまり堅固な感じがしない
ではjugemujugemugokounosurikire(以下略）で。
# jinmusuizeianneiitoku(以下略)でも可（いずれも文字数制限で...）
Re: (スコア:0, オフトピック)
憲法第九条にしとけば攻められることはない
半角に依存しない環境が欲しいです。 (スコア:0)
最近、日本語の平仮名、カタカナ、漢字をパスワードが組めるサイトが有りましたね。
半角英数だけでなく全角で日本語パスワードならだいぶ事情が変わってくると思います。
でもそれより、このNordPassって有料なのに利用者のパスを晒しているってどういう事？
警鐘の為に晒してますという言い訳なのでしょうかね？
Re:半角に依存しない環境が欲しいです。 (スコア:1)
さすがに有料ユーザのデータは使用していないと思いたいです。
>The list of passwords was compiled in partnership with independent researchers specializing in research of cybersecurity incidents. They evaluated a 4TB database.
ソースはサイバーセキュリティ事件ということなので、流出したデータがソースなのでは。
Re:半角に依存しない環境が欲しいです。 (スコア:1)
パスワードを設定してください
（半角英数字、一部記号※のみ使用可）
[ ]
ひみつの言葉を設定してください
[ ]
昔からあるこの組み合わせの矛盾感ね
ひみつの言葉なんて重要なものに日本語受け付けられるならパスワードも日本語通せた方が強度高いだろうし
パスワードが半角じゃなきゃ駄目な理由あるならひみつの言葉でも同様だろうって
Re:半角に依存しない環境が欲しいです。 (スコア:1)
日本語を許可すると入力時に入力ソフトに表示されてしまうことがあるからわざわざ禁止しているんです。
Re:半角に依存しない環境が欲しいです。 (スコア:1)
最近、日本語の平仮名、カタカナ、漢字をパスワードが組めるサイトが有りましたね。
これには脆弱性があるんですよねぇ
IMEのサジェスト変換とサジェストデータ共有送信
大抵のIMEはサジェストデータ共有送信がデフォルト有効なので
これでパスワード流出してしまう
formでパスワードフィールドが日本語有効になっているサイトは
こういった配慮のないとこですので要注意です
強固にしてもこういう罠があるから逆効果ってのもあるのですよ
Re: (スコア:0)
パスワードだけあってもユーザーリスト(ユーザーごとの各サイトのログインID)がなければ使いようがないんだからそこは別にどうでもいいと思うけど
ただ、この手のニュースってたいていは流出したパスワードの調査結果が主だと思うけど、自分とこのユーザーの調査結果って言うのは珍しい気がする
Re: (スコア:0)
ん、なんか読み間違ってたけど、別に自分のところのデータを使ってとは書いてなかった。流出データかな
Re: (スコア:0)
> The list of passwords was compiled in partnership with independent researchers specializing in research of cybersecurity incidents. They evaluated a 4TB database.
なんで、最近漏れたのを研究者に集計させたんじゃね
客のパスワードを晒してるわけじゃないと思う、ってかそれやってたら信用ないわ
Re:半角に依存しない環境が欲しいです。 (スコア:1)
ネイティブじゃないんだろうね
パソコンの日本語対応の話を聞くと悪い文化だ！！修正してやる！って
変な義憤に駆られて環境ぶっ壊しにくる外人さんが時々いるんだ
というかパスワードマネージャーって (スコア:0)
平文でパスワードを保管してるのか？
4TBデータってどうやって取得したんだ？
Re: (スコア:0)
こういうのは漏洩して出回ってるのを使うんやで
自社のDB晒してるわけではない
日本人は日本人だった (スコア:0)
28位draemon、68位onepiece、 167位rakisuta、169位korosuke、100位ganndamu、102位anpanman、179位gundam
アニメ関連の辞書が日本人には有効……
155位pakistan、192位yarakasita、154位slipknotと198位metallica、が個人的には気になる
Re:日本人は日本人だった (スコア:1)
ゲームだよな
＃綺堂さくら いまだに最推し
らじゃったのだ
Re:数字だけでもなんか硬い・・・ (スコア:1)
数来宝っていう数え歌みたいなやつらしい
https://kotobank.jp/zhjaword/%E6%95%B0%E6%9D%A5%E5%AE%9D [kotobank.jp]
Re:どれだけの信憑性がある? (スコア:1)
「fujitvpass (25位)」というパスワードを使っている人がこんなに多いとは思えないので、かなり重複しているか質の悪いリストなのでしょうね。
元記事を読む限り具体的なデータソースは示されていませんし、調査に協力した独立系研究者の名前も不明ですし、ハッキリ言って与太同然です。
そもそも昨今はパスワードのハッシュ化が当たり前になってきたので、大量に生パスワードが出回ること自体ほとんどありませんし。
Re:ある程度長いし発音と表記が異なるので少し強固 (スコア:2)
ニワトリガイル？
庭の隅っこでじっと待ってそうだな。
Re:だれも乗っ取ってくれない (スコア:1)
あなたが「乗っ取られてもいい」と思うようなアカウントということは、
他の人から見ても「乗っ取るほどの価値がない」ということですよ。