今回の場合、攻撃元のIPアドレスが1つだったにも関わらず、利用者からの指摘で発覚しているので、監視も特にしていなかったと思われます。JAL以外のサイトでも一定の脅威ではありますが、JAL程ではありません。利用者が安全なパスワードをつけられるからです。リバースブルートフォース攻撃はパスワードを固定するので、攻撃に使うパスワードは「ありがちなパスワード」使うと効率的です。例の「123456」などですね。123456やpasswordなど安易なパスワードを設定している利用者には脅威ですが、それは自己責任というか、自業自得の感があります。JALの場合は、利用者が安全なパスワードをつけたくてもつけられないので、利用者の責任とは言えません。その違いは大きいですね。最近被害が多いようですが。JALの場合は、パスワードリスト攻撃ではないと考えられますね。パスワードリスト攻撃は、別のサイトから漏えいしたIDとパスワードの一覧を用意して、攻撃対象のサイトで試すという方法です。IDとパスワードが一定確率で共通のものがないと、攻撃が成立しません。JALの場合、IDは利用者がつけるものではなく、JALが割り当てた独自のものです。この時点でパスワードリスト攻撃の対象にはなりません。言い換えれば、パスワードリスト攻撃の対象は、利用者が好きなIDをつけられるか、メールアドレスをログインIDとして使用する場合、ということですね。加えて、JALの場合、パスワードの仕様が数字6桁ですが、多くのサイトで数字だけのパスワードはチェックで弾いています。これらの理由から、パスワードリスト攻撃ではないと考えられます。辞書攻撃の可能性もあると私は見ています。辞書攻撃とリバースブルートフォース攻撃のハイブリッド攻撃という可能性があります。2018年以降この攻撃方式はパスワードスプレイ攻撃と呼ばれるようになりました)。リバースブルートフォースのようにパスワードを1つに固定しなければならないわけではないのですね。JALの場合は、IPアドレスが固定でしたからIPアドレスをキーに監視やロックができた可能性がありますが、IPアドレスまで変えられると、従来から取られてきた対策では防御できないのです。対策を検討する上で、パスワードに対する攻撃でどの程度の被害があり得るかを検討しましょう。アカウントロックに引っかからない前提で、1ユーザあたりパスワード4個まで試せると仮定すると、パスワードが的中してしまう確率は100万分の4です。JMBの利用者が2700万人いるので、かけ算すると、108人が被害にあう計算です。あー、利用者数が多いことで、被害者も増えるのですか。パスワードをランダムに試すのではなく、人気のありそうなものにすれば、この数倍になるでしょう。いえば、ANAのパスワードは数字4桁だから、単純計算で1万人が被害にあう計算ですね。こちらの記事によると「ANAマイレージクラブ」は、2013年6月末時点で2,500万人の会員数を有している」ということなので、計算上はちょうど1万人ですね。はやく対策を教えてください。二要素認証を使う方法があります。ポイントの交換や個人情報の閲覧の際には、パスワード以外の情報を求める、というものです。登録したメールアドレス宛にトークン(6桁程度の乱数)を送るという方法がありますが、登録済みメールアドレスが使えるとは限らないのですよね。私も今回の件で、数年ぶりにJALのサイトにログインしました。いう方だと、メールアドレスが変わっているという人も多そうです。いうことなので、生年月日を使う方法が考えられます。生年月日は秘密情報とまでは言えないですよね。今回のような「不特定多数を狙った」攻撃には効果があります。特定ユーザを狙った攻撃など一般的な対策については、こちらの記事をご覧下さい。わかりましたが、いちいち生年月日を入力するのも面倒ですね。自分の情報をしょっちゅう確認・変更する人はいないでしょうし、ポイントの交換もそんなにはないでしょう。パスワードの制限を緩めて、安全なパスワードをつけられるようにすることが、総合的には安全性と利便性を両立できるのだと思います。テレフォンサービスでも同じパスワードを使っているからでしょう。あぁ、電話だと英字や記号は使えませんね。電話の場合は、リバースブルートフォース攻撃などはできないので数字のままでもそれほど危険ではないでしょうしね。Web用とテレフォンサービスとでは、パスワードを別にするしかないでしょう。利用者が2種類のパスワードを管理できないという意見もありそうですが。その辺が難しいところですね。数字6桁のパスワードでは一定の被害が出てしまうことは避けがたいので、Webが不要な利用者は数字のパスワードだけだがWebは使えなくするなど、きめ細かい施策を打つしかないでしょう。言えば、対策に高額な費用が掛かるのであれば、対策は保留して金銭的な補償で対応するという経営判断もある、という記事を読みましたが。リスクの受容、あるいは俗に「サイバーノーガード戦法」と呼ばれるものですね。金銭で片が付く問題であれば、一般論としては成立する話ですが、コンシューマー向けサービスでは、金銭補償は最後の手段として考えるべきでしょう。不正ログインで被害にあうと、金銭的な損失もさることながら、精神的なショックが大きいですし、個人情報がいったん漏えいすると、回収は不可能です。これらは、金銭で補償できるという種類のものではありません。