クレデンシャルスタッフィングとは

クレデンシャルスタッフィングとは

クレデンシャルスタッフィングは、過去に漏洩したメールアドレスとパスワードのペアを別のサービスに対して大量に試す攻撃手法だよ。「パスワードの使い回し」を悪用した攻撃で、現在最も多く発生しているアカウント侵害の手口の一つなんだ。

なぜ成功するの?

多くのユーザーが複数のサービスで同じパスワードを使い回している現実があるよね。Aというサービスのデータが漏洩したとき、攻撃者はそのメール+パスワードのリストを入手して、自動化ツールで銀行・SNS・ショッピングサイトなど数百のサービスに対して一斉に試行するんだ。

規模の大きさ

「Have I Been Pwned」などのサービスには数百億件以上の漏洩認証情報が登録されている。これらのリストはダークウェブで売買されていて、クレデンシャルスタッフィング攻撃に使われてるよ。

防御の方法

ユーザー側

• サービスごとに異なるパスワードを使う — これが最重要。パスワードマネージャーを使えば管理が楽になるよ
• 2FAを有効にする — パスワードが合っても2要素目で防げる
• 漏洩チェックを定期的にする — Have I Been Pwnedなどで確認しよう

サービス側

• 漏洩リストとのクロスチェック
• ボット検出とレート制限
• 異常なログインパターンの検知