Microsoft、過去に流出したパスワード使用するMicrosoftアカウントを多数発見

リポート公開から時間が経っているようだが、Microsoftが1月から3月にかけて実施した調査によると、過去に流出したパスワードと同じパスワードを使用するAzure ADまたはMicrosoftサービスのアカウントが計4,400万件以上あったそうだ(Microsoft Security Intelligence Report、gHacksの記事、PCMagの記事、ZDNetの記事)。

調査は侵害された認証情報がMicrosoftのシステムで使われていないかどうかを確認するのが目的で、複数のデータ侵害事件で流出した認証情報30億件以上を用いたという。流出したパスワードと一致するパスワードを使用していたユーザーに対しては、パスワードリセットを強制したそうだ。Azure ADユーザーの場合は高リスクのフラグ付けをし、管理者がパスワードリセットを実行できるよう通知したとのこと。

Microsoftでは複数のユーザーが同じパスワードを使用している現状からみて、多要素認証(MFA)を使用するなどのセキュリティ強化が必要だとし、MFAの使用でアカウントに対する攻撃の99.9%を防ぐことができると説明している。

　スラドのコメントを読む | セキュリティセクション | セキュリティ | マイクロソフト | 情報漏洩

　関連ストーリー：
Microsoft曰く、多要素認証を使用すれば自動攻撃の99.9％がブロックできる 2019年08月30日
パスワードリセットを要請された英ISP、なぜか元のパスワードを郵送する 2019年08月23日
Slack、2015年の不正アクセスに関連してアカウントの約1％でパスワードをリセット 2019年07月21日