大抵の人はパスワードを選ぶとき、「12345」とか、「letmein」（中に入れて）とか、かなり安易なものを選びがち（英文記事）です。では、視点を変えて、不正アクセスをしようとする輩が実際に試しているパスワードやユーザー名には、どんなものが多いのか見てみましょう。情報セキュリティ企業のRapid7がまとめた分析結果から、なかなか興味深いことがわかりました。
Rapid7は「Project Heisenberg」（プロジェクト・ハイゼンベルク）と称して、非公開のIPアドレスで稼動している世界中のハニーポット（不正アクセスの調査などのために設置する「おとり」のシステム）を対象に調査を行いました。同社では、ハニーポットに届くトラフィックはすべて、広範なIPアドレスのスキャンを行うサービスから来ていると想定しています。リモートデスクトッププロトコル（RDP）を使ったハニーポットへのログイン試行の約1年分のデータを分析したところ、119カ国の5000を超える異なるIPアドレスから、22万回以上もの不正なログインの試みが記録されていました。
もっともよく使われたパスワードのトップ10は次の通りです。
| パスワード | 試行回数 | 割合 |
|---|---|---|
| x | 11865 | 5.36% |
| Zz | 10591 | 4.79% |
| St@rt123 | 8014 | 3.62% |
| 1 | 5679 | 2.57% |
| P@ssw0rd | 5630 | 2.55% |
| bl4ck4ndwhite | 5128 | 2.32% |
| admin | 4810 | 2.17% |
| alex | 4032 | 1.82% |
| ....... | 2672 | 1.21% |
| administrator | 2243 | 1.01% |
ランキング上位のいくつかのパスワードはいかにもありがちですが、「alex」なんて個人名が入っているのはちょっと意外ですね。ともかく、これらのパスワードは絶対に使わないようにしてください。
もっともよく使われたユーザー名のトップ10は、このような結果になりました。
| ユーザー名 | 試行回数 | 割合 |
|---|---|---|
| administrator | 77125 | 34.87% |
| Administrator | 53427 | 24.15% |
| user1 | 8575 | 3.88% |
| admin | 4935 | 2.23% |
| alex | 4051 | 1.83% |
| pos | 2321 | 1.05% |
| demo | 1920 | 0.87% |
| db2admin | 1654 | 0.75% |
| Admin | 1378 | 0.62% |
| sql | 1354 | 0.61% |
ここにもなぜか「alex」が入っています。それはともかく、管理者のユーザー名は、「admin」が含まれないものへと変えることをお勧めします。
もっと詳しく知りたい方は、下記のレポートを参照してください。
The Attacker's Dictionary | Rapid7 via BetaNews.
Melanie Pinola（原文／訳：風見隆／ガリレオ）
Photo by automobileitalia.
