IPA（情報処理推進機構）セキュリティセンターは5日、パスワードリスト攻撃によるネットサービスの被害が深刻なことを受け実施した、「オンライン本人認証方式の実態調査」の結果を公開した。
インターネットサービス利用者（個人2,060人）とサービス提供者（国内サービスサイト：100サイト、海外サービスサイト：30サイト）の双方を分析・調査したほか、各種資料データを集計した。
まずサービス利用者側は、「英字、数字、記号を組み合わせた文字列であること」74.2％、「名前や誕生日など、推測されやすい文字列を使わないこと」70.3％、「文字数は8文字以上であること」67.2％など、パスワードの設定について、約7割が正しい認識を持っていた。
しかし、金銭に関連したサイトであっても、実際設定しているパスワードは「ランダムな英数字の組み合わせ」26.8％、「名前にちなんだもの」19.0％、「誕生日にちなんだもの」17.2％となっている。記号まで織り交ぜた「ランダムな英数字と記号の組み合わせ」を設定している割合は13.1％と低かった。金銭に関連した複数サイトで「同一のパスワードを利用している」割合は25.4％。理由は「パスワードを忘れてしまうから」が最多で64.1％、「複数のパスワードを管理するのが手間だから」が過半数の51.3％だった。
一方の事業者側は、「パスワードを設定する際の最小桁数」が8桁未満の割合は58％。“通販・物品購入”サービスに限定するとその割合は79.2％だった。逆に8桁以上となるのは約2割に留まっていることとなる。「パスワードに使用可能な文字種」を“英字＋数字＋記号”としているサービスサイトはわずか11％で、“英字＋数字”が69％で約7割を占めた。“通販・物品購入”に限定すると「パスワードに使用可能な文字種」を英字＋数字
