4桁のパスワード

昔のパスワードは簡単な覚えやすいものにするのが普通でした。古き良き時代。とはいえ、オンラインATMでありながら昔ながらの4桁の数字パスワードが健在なのが、地方銀行などのオンラインアカウント。4桁だと、どれかの番号に誰かがいるので、いわゆるリバースブルートフォース攻撃されたら、誰かの口座番号がハックされてしまいます。案の定、ドコモ口座をはじめとしてPayPayなどもなりすまし利用が広がってきてます。こののんびり感は別格にしても、Pinではともかく4桁の数字が普通です。

ではどのような4桁数字パスワードが使われてるのか。調べた論文が出てます。ケンブリッジ大のComputer labからのもので
A birthday present every eleven wallets?
The security of customer-chosen banking PINs
という題名。

ここで使われたデータは主にRockYouというsocial gamingから2009年に流出した3千2百万件ものパスワードと、iPhoneの開発者が出版した20万件のデータに基づいてます。古いものになりますが、この論文の主旨とはちょっと違って、意外と下の図が面白い。

頭の2桁と後半の2桁についてプロットしたものがこちら。

もし完全にランダムなら、平坦になるはず。スポットや線などの何らかのパターンは、意図的なパスワードです。この頃はまだ、パスワードに1234を使ってる人が多いことが、(12,34)の濃いスポットからわかります。また斜めの線は、2525等、xyxyのパターンです。左下が濃いのは、前半に00から30まで後半は00から12までを使う人がなぜか多いということです。前半が19と20が多いのは、自分か子供の生まれた年でしょうか。

また後半に10、11、12を使う人も多いのは横の帯が示してます。だけど、2512から2552までの線は一体なんだろう？

あちこちにスポットがでて、かんたんなところでは逆連番の4321が結構濃い。9876もあります。こんなのとは違って謎めいたスポットのいくつかについて、ネットでその解明がされてます。5683はラテン語圏でloveの隠語、5452はタガログ語圏で愛してますの隠語、とか。なんなの？

今ではもっと平坦になって、スポットも帯も消えているのでしょうか。メモ無しで誰でも記憶できるPWだと、これくらいになってしまうのなら、やはり別のステップを入れる必要がありそうです。