USBメモリ紛失の尼崎市、記者会見でパスワードの桁数暴露 ネット騒然 「悪例として最高の手本」

委託先の従業員が全市民46万人分の個人情報が入ったUSBメモリを紛失したとして、6月23日に謝罪した兵庫県尼崎市。同市の記者会見がネットで波紋を呼んでいる。会見中、USBメモリに設定されたパスワードの桁数を職員が話してしまったからだ。Twitterでは「セキュリティの悪例として最高の手本」など批判が続出している。 会見では、職員がパスワードについて聞かれたときに「英数字13桁のパスワードを設定している。解読するのは難しいのかなと考えている」などと返答していた。 これを受け、Twitterでは尼崎市のセキュリティ体制への批判が続出。パスワードの組み合わせを総当たりで試す「ブルートフォース攻撃」がしやすくなるという指摘が相次いだ。中には明らかになった情報から、同市が使っていたパスワードを推測する人も。ある文字列の組み合わせがちょうど13文字になることから、一部では「これがパスワードではないか」

[ho4416]

（と言ったが実は20桁なのだよ…ﾌﾌﾌ）

[s-supporter]

『英数字13桁のパスワードを設定している。解読するのは難しいのかなと考えている』会見でそれを言ってはダメだし、むしろ解読を容易にしてしまったと気付いていないのか…委託先企業も酷いけど市職員も酷い（呆）

[himakao]

amagasakiが9文字で4桁数字と合わせると不自然な13桁ピッタリなんだよね。2022とか日付とか。

[sny22015]

こういうのを二次不祥事といいます（USBメモリの紛失＝一次不祥事、不祥事対応の失敗＝二次不祥事）

[t-tanaka]

13文字のパスワードを総当たりで解読しようとするとき「12文字以下でない」と分かっていても，計算量は1割しか削減できない。ただ，14文字以上ではないということは，最終計算量をみつもるヒントにはなる。

[sisya]

7payの社長記者会見を思い出した。無能というより素人が専門家をやっているような状態なのだと思う。学生時代でもこんなうかつなことはしないというレベルなので、むしろセキュリティ分野が苦手な人なのだろう。

[shinagaki]

12文字より13文字のほうがセキュアってのはわかるが、意図的な文字数だとしたら辞書＋日付かなって思ってしまう

[JULY]

結局、ブルートフォースでしか解けないようなパスワードであれば、13 桁というヒントは、それほど美味しくない。12 桁以下の総当たりの数は、13 桁の総当たりの数の 1% 強にすぎない（ASCII 文字を仮定）。

[kumoha683]

参考までにバッファローの法人向けのハードウェア暗号化対応USBメモリーであればデフォルトでは10回パスワードを間違えると初期化が必要になる

[tpxyid45i]

USB本体にパスワードテプラまであるわこれ

[buhoho]

うーん完全ランダムなパスワードならブルートフォース必須だけど。人間に読みやすいパスにしてるなら、末尾に4桁8桁の日付風の数値、空いた部分に日本語由来の英字を入れるだけで探索範囲が激減するよね……

[lovely]

『帰宅後にカバンの紛失に気付いた』って、カバンが複数あったのかしら？手ぶらになったらさすがに帰宅前に気づくと思うが……

[deep_one]

コメントを見て。確かに12桁以下のパターンの量と13桁の量を考えるとブルートフォースではあんまり影響ないな。／ハードウェア暗号化製品使ってるぐらいの配慮があればいいんだが。（数千円台で売ってる。）

[miruto]

AMAGASAKI2022

[tick2tack]

ブコメ参考になる "12 桁以下の総当たりの数は、13 桁の総当たりの数の 1% 強" / Arohn_A のブコメが "5chのネタレスを画像ツイートしたもの" を信じたものらしいが、他人をバカにしたい人ほど引っかかるのかね

[itboy]

ドヤ感が出ていて最高のセリフですね。

[KAN3]

尼崎市にとって意味のある文字云々はデマ。そして13桁なら桁数がバレてもリスクはほとんど上がらない。

[hazel_pluto]

これは現代のゴールデンカムイ/舞台は尼崎、消えたUSBメモリ(金塊)を追って、反社、警察、情報屋？の三つ巴の戦いが始まる。

[bobcoffee]

桁数を出した時点でそれ以外の桁数で調べる必要がなくなるからね。

[big_song_bird]

もうなんだかな〜ってｗ。

[new3]

よっぽど変に強固で特殊なアルゴリズムで暗号化していなければ、13桁ならちょっと良いGPU使ってHashcat使えばブルートフォースできるから簡単。下手すると数時間、変なロック使っていても遅くとも1週間ぐらいかな

[Chishow]

どうしてヒントを言ってしまうのか・・・

[acoatacy]

何を／どこまで　公表して良いのか、組織として明確にしてから会見しないと、“市民を安心させたい”“被害を過剰に報道されたくない”等の思いから、知っている情報をつい話してしまいそう。他山の石としたい。

[kirakking]

来年度の倫理・セキュリティ教育はこれで決まりかな。

[Kil]

実は6桁とか8桁の、明らかに弱いパスワードを設定していたけど、この発言により13桁のみ試す形になったおかげで破られずに済みました、という話だったら面白いんだが。

[apipix]

フェイクっぽく感じるが、現実は単なるうっかりなんだろうなあ

[wumf0701]

委託先か。パソナかな？

[u_mid]

id:Arohn_A　それは5chのネタレスを画像ツイートしたものを本当の話だと勘違いしてるだけで、実際の記者会見ではないでしょう？

[Yuny]

こういうの、情報の漏洩は確認されていませんとかって良くいうけど、ダークウェブとかもチェックしているんだろか。

[queeuq]

USBメモリのパスワード認証がどういう作りか次第だなぁ。削除機構があったりトライしようにも独自のソフト経由でしか接続できないようなものだと総当りすること自体が難しい/zip書庫だとでも思ってるようなブコメ多数

[wgnr85]

ITに疎いとしても流石にヒントになるってことくらいは察せるだろうから、シンプルにドジっ子属性なんだろうな…

[roja123]

そもそも今どきUSBメモリーで重要な情報の持ち運びをしてること自体がセキュリティ上どうかと(　・ω・)

[sweetier]

ヒントになる桁数を暴露するってことはPW自体が超単純だからこそ13桁であるという情報を出した方が複雑だと思わせられると思ったってことだよな。つまり…。当人が公開した情報を記事にするな！ってアホかよ

[tts524]

なくすBIPROGY（旧日本ユニシス）も大概やけど、桁数バラしてとどめを刺す職員もすごいな。長い桁数のパスワードかけてたのか！ヨッシャ！安心させたろ！って思ったんやろな。不憫でならない。

[nobububu]

ランダムに生成した13桁だと役所の担当者が暗記できてないだろうから、単語の組み合わせだろうね。だったら桁数は大ヒント。

[magnitude99]

「子供新聞」で報道される個人情報漏洩は、ほんの一握りの事例に過ぎない。実態は毎日煩雑に漏洩しているのに、日本人は今日も「見ざる聞かざる言わざる」だ。　セキュリティニュース→　https://cybersecurity-jp.com/news

[uniR]

本当にせよデタラメにせよ、これを広めるのは自殺の手法を報じるのと大して変わらない、と思うのだが……

[ymch7]

人間とかいうセキュリティホールなんとかせいや

[kyaworu]

ブルートフォースを簡単にしちゃうと分かっていながら記事にしちゃうITmediaさんもどうなのよ

[jsbmrr]

amagasaki2022…後世に語り継がれるネットミームになるんだろうな…