他のWebサービスから流出したIDとパスワードを使って不正にログインする「リスト型攻撃」が後を絶たない。

リスト型攻撃を受ける原因は、Webサービスの多くが、IDとパスワードによるユーザー認証（個人認証）しか実施していないためだ。多要素認証（2要素認証）やリスクベース認証といった別の認証方式を導入すれば、リスト型攻撃を防げる可能性が高い。

　だが、IDとパスワードしか使っていないWebサービスはまだまだ多いようだ。フィッシング対策協議会が実施した調査により、危険な実態が浮き彫りになった。

300社以上にアンケート調査
　フィッシング対策協議会はフィッシング対策の業界団体。Webサービス（インターネットサービス）事業者やセキュリティーベンダーなどで構成される。

　同協議会は、インターネットでサービスを提供している事業者がどのようなユーザー認証方式を採用しているのかを把握するため、ユーザー認証に関するアンケート調査を実施した。

　「こういった調査の結果が過去になかったので、自分たちで実施することにした」（フィッシング対策協議会の長谷部一泰運営委員 認証方法調査・推進ワーキンググループ主査）。

　対象は、銀行・地銀、クレジットカード、保険など10業種。それぞれの業種で31の企業の担当者に尋ねた。ただし「ゲーム」についてはサンプル数が足りなかったため29企業とした。

調査対象企業が提供しているサービスのユーザー数（ID数）は、1000未満から500万以上まで様々。業種によってもばらつきがある。また、調査対象の企業名は明らかにしていない。匿名を条件に調査した。
https://tech.nikkeibp.co.jp/atcl/nxt/column/18/00001/02573/