昨今、ホームページの不正ログインやアカウント乗っ取り事件が後を立ちませんが、多くの原因と考えられているのが他社サービスで大量流出したログイン情報を悪用したものです。

この様な不正アクセスをリスト型アカウントハッキングあるいはパスワードリスト攻撃と呼んでいます。

一般的にはパスワードが単純すぎたり使い回しが原因とされていますが、私はログインIDにメールアドレスやユーザ任意の文字列を使用できる設計を採用しているサイト運営側にも問題があると考えます。

サイトの立ち上げ当初はユーザの利便性を考慮してこのような仕様を採用することが多かったと思いますが、現在はログインにメールアドレス＋パスワード形式を採用しているサイトはいつ不正アクセスに合ってもおかしくない状況です。

ですから今後、運用サイトのセキュリティ強化や新規に会員機能を構築する際は、既にユーザーの個人情報がブラックマーケットに流出している前提で設計する必要があります。

具体的な対策としては以下のようなものが考えられます
・ログインIDにメールアドレスや任意の文字列を使用しない（サイト側で払い出し）
・パスワードを定期的に強制リセットする（逆に変更機能は設けない）
・大量連続ログイン対策を講じる
・ログイン認証項目を増やす
（いずれもユーザの利便性は犠牲になってしまいます）

特にメールアドレスや任意のログインIDはこれだけ頻繁に大量の個人情報流出事件が発生している状況では認証に使用しない方が賢明でしょう。

現行サイトの運用や今後のサイト構築の際に参考にしていただければ幸いです。