クレデンシャルスタッフィングとは、あるデータ侵害で流出したユーザー名とパスワードの組み合わせを使い、別のWebサイト、アプリケーション、API、またはリモートアクセスサービスのアカウントへのログインを試みる、自動化されたアカウント乗っ取り攻撃です。複数のアカウントで同じ認証情報が使い回されている場合、攻撃が成功しやすくなります。
従来のブルートフォース攻撃とは異なり、クレデンシャルスタッフィングではパスワードを推測しません。攻撃者は、すでに有効である可能性のある認証情報をテストします。また、ボット、分散IPアドレス、デバイス偽装、細かく調整したリクエスト頻度などを利用し、不正なログイン試行を通常のトラフィックに見せかけることもあります。
クレデンシャルスタッフィングは、パスワードスプレー攻撃とも異なります。クレデンシャルスタッフィングでは、過去に侵害されたユーザー名とパスワードの組み合わせをテストします。一方、パスワードスプレー攻撃では、1つ、または少数の一般的なパスワードを多数のアカウントに対して試します。
要点
クレデンシャルスタッフィングは、盗まれたユーザー名とパスワードの組み合わせを使い、同じ認証情報が使い回されているアカウントを乗っ取る攻撃です。
単一の対策だけですべての攻撃を確実に阻止することはできません。組織には、認証、自動トラフィックの検知、アカウント監視、インシデント対応を組み合わせた多層的な対策が必要です。
クレデンシャルスタッフィングの仕組み
多くのクレデンシャルスタッフィング攻撃は、次の4つの段階で進行します。
-
攻撃者が盗まれた認証情報を入手する。 ユーザー名とパスワードのリストは、データ侵害、マルウェア、フィッシング、または犯罪者向けマーケットプレイスなどから入手されます。
-
自動化ツールで認証情報をテストする。 ボットが、ログインページや認証APIに対して認証情報の組み合わせを大規模に送信します。
-
ログインに成功したアカウントを確認する。 攻撃者はアクセス可能なアカウントを特定し、その価値を評価します。
-
侵害したアカウントを悪用する。 攻撃者は、不正取引、情報窃取、復旧情報の変更、アクセス権の転売などを行う可能性があります。
クレデンシャルスタッフィングの標的には、Webサイトのログインフォーム、モバイルアプリのAPI、カスタマーポータル、ロイヤルティプログラム、プリペイド残高を持つアカウント、VPN、リモートアクセスゲートウェイなどが含まれます。そのため、すべての認証エンドポイントに同等の保護を適用する必要があります。
クレデンシャルスタッフィングの実例
盗まれたパスワードが自社システムから流出したものでなくても、組織がクレデンシャルスタッフィングの被害を受ける可能性があります。以下の事例は、認証情報の使い回しが、アカウント乗っ取り、データ漏えい、不正行為につながる仕組みを示しています。
| 事例 | 発生した事象 | セキュリティ上の教訓 |
|---|---|---|
| 23andMe | 2023年、攻撃者は過去に侵害された他のWebサイトで使い回されていた認証情報を利用し、23andMeのユーザーアカウントの0.1%にアクセスしました。さらに、アカウント連携機能を通じて、約550万件のDNA Relativesプロフィールと約150万件のFamily Treeプロフィールにもアクセスしました。 | アカウント連携機能やデータ共有機能がある場合、少数のアカウント侵害でも被害が大幅に拡大する可能性があります。認証対策に加えて、認可範囲の制限や、その後のデータアクセスの監視も必要です。 |
| Dunkin’ | 2015年以降に発生したクレデンシャルスタッフィング攻撃により、プリペイドカードが登録されたアカウントを含む、数万件のDunkin’顧客アカウントが侵害されました。ニューヨーク州との和解では、顧客への通知、パスワードのリセット、返金、セキュリティ対策の強化、インシデント対応手順の改善が求められました。 | 組織は攻撃を速やかに調査し、プリペイド残高を保護し、流出した認証情報をリセットし、影響を受けた顧客へ通知する必要があります。また、侵害されたアカウントで不正取引が発生していないか、継続的に監視することも重要です。 |
| Ring | 米国連邦取引委員会によると、Ringは2017年と2018年に複数回のクレデンシャルスタッフィング攻撃を受けましたが、多要素認証を導入したのは2019年でした。攻撃者は、米国の顧客約5万5,000人の保存済み動画、ライブ映像、アカウントプロフィールにアクセスしました。 | アカウント乗っ取りによってカメラ、録画映像、個人情報、その他の機密性の高いIoT機能が侵害される可能性がある場合、MFAを早期に導入し、適切に実装する必要があります。 |
クレデンシャルスタッフィングがビジネスに与える影響
ログイン試行のうち成功する割合がごくわずかであっても、クレデンシャルスタッフィングは大きな財務的、運用上の損失をもたらす可能性があります。攻撃者がアカウントへのアクセスに成功すると、次のような行為を行う可能性があります。
- 保存されている決済方法を使って商品を購入する
- ギフトカード、ロイヤルティポイント、クレジット、プリペイド残高を盗む
- 個人情報、金融情報、機密情報にアクセスする
- 連絡先情報やアカウント復旧設定を変更する
- アカウントを使ってフィッシングやその他の不正行為を行う
- 有効性を確認したアカウントを別の犯罪者に販売する
被害を受けた組織には、チャージバック、カスタマーサポート、不正調査、パスワードリセット、認証インフラへの負荷、アプリケーションの停止、規制対応、顧客離れなどに伴うコストが発生する可能性もあります。
標的となった組織が最初のデータ侵害を受けていなくても、こうした被害は発生します。顧客アカウントを管理する企業は、盗まれた認証情報の使い回しを想定すべき認証リスクとして扱い、ログイン時の活動とログイン後の行動の両方を対象に対策を構築する必要があります。
クレデンシャルスタッフィング、ブルートフォース攻撃、パスワードスプレー攻撃の違い
クレデンシャルスタッフィング、ブルートフォース攻撃、パスワードスプレー攻撃はいずれもアカウントを狙う攻撃ですが、使用する情報と悪用する弱点が異なります。
| 攻撃の種類 | 仕組み | 主に悪用される弱点 |
|---|---|---|
| クレデンシャルスタッフィング | 盗まれたユーザー名とパスワードの組み合わせを、複数のアカウントやサービスでテストする | パスワードの使い回し |
| ブルートフォース攻撃 | 1つ、または少数のアカウントに対して、多数のパスワード候補を試す | 脆弱なパスワードや推測しやすいパスワード |
| パスワードスプレー攻撃 | 1つ、または少数の一般的なパスワードを多数のアカウントに対して試す | 一般的なパスワードと不十分なアカウントロックポリシー |
強固で複雑なパスワードであっても、別のサービスで流出し、使い回されていれば、クレデンシャルスタッフィングによって侵害される可能性があります。パスワードの強度は、推測型の攻撃への対策としてより有効です。クレデンシャルスタッフィングのリスクに対しては、サービスごとに異なる認証情報、漏えいパスワードの照合、MFA、パスキー、ボット検知などが、より直接的な対策となります。
クレデンシャルスタッフィング攻撃の検知方法
クレデンシャルスタッフィングを検知するには、アカウント、デバイス、ネットワーク、セッション、認証エンドポイントを横断して情報を関連付ける必要があります。1回のログイン失敗は無害に見えても、関連する試行が数千回発生していれば、組織的な攻撃キャンペーンである可能性があります。
主な警告サインは次のとおりです。
- ログインの失敗件数、または成功件数が異常に増加している
- 認証の失敗と成功の比率が急激に変化している
- 1台のデバイス、ブラウザプロファイル、または接続フィンガープリントから複数のアカウントにアクセスしている
- ローテーションするIPアドレス、サブネット、自律システム番号、または地域から分散して試行が行われている
- 単純なレート制限のしきい値を下回る、低頻度で継続的な攻撃が発生している
- ログイン速度、地域、デバイスの利用状況、またはログイン後の行動に異常がある
- パスワード、復旧情報、決済方法、または配送先住所がログイン直後に変更されている
- Webサイト、モバイルアプリ、APIの各エンドポイントで異なる攻撃パターンが確認されている
単一のシグナルだけで、クレデンシャルスタッフィング攻撃の発生を断定することはできません。アカウント、デバイス、ブラウザ、ネットワーク、時間、行動に関するデータを組み合わせることで、誤検知を減らしながら検知精度を高められます。クレデンシャルスタッフィング検知サービスを評価する際は、すべてのログインチャネルにまたがる分散型の攻撃活動を関連付けられるかどうかも確認する必要があります。
進行中のクレデンシャルスタッフィング攻撃への対応
攻撃が確認された場合は、次の対応を実施します。
- 複数のリスクシグナルを使い、不審なトラフィックに対して追加認証、スロットリング、またはブロックを行います。
- 正しいパスワードが使用されたアカウントや、ログイン後に異常な動作が確認されたアカウントを特定します。
- 有効なセッション、リフレッシュトークン、記憶済みデバイス、流出したAPIトークンを無効化します。
- パスワードのリセットを要求し、既知の漏えいパスワードが再利用されないようにします。
- 機密性の高いアクセスを復旧する前に、MFAやステップアップ認証を要求します。
- プロフィール、決済情報、復旧情報、配送先、取引内容の変更を確認します。
- 信頼できるチャネルを通じて、影響を受けた顧客に通知します。
- ログを保存し、セキュリティ、不正対策、法務、プライバシー、カスタマーサポートの各チームと連携します。
- 影響を受けたアカウントについて、その後の不正行為、フィッシング、再侵入を継続的に監視します。
組織は、インシデントが発生する前にこれらの手順を文書化し、テストしておく必要があります。
クレデンシャルスタッフィング攻撃の防止方法
ユーザーが自分自身を守る方法
ユーザーは、アカウントごとに異なるパスワードを作成し、信頼できるパスワードマネージャーを使用し、MFAまたはパスキーを有効にする必要があります。また、有効なセッションを確認し、身に覚えのない認証要求を拒否し、信頼できるデータ侵害通知を受けた場合は、使い回しているパスワードを変更することも重要です。
認証と認証情報のセキュリティを強化する
組織は、新しく設定されたパスワードや変更されたパスワードを、既知の漏えいパスワードデータと照合する必要があります。MFA、パスキー、リスクベースのステップアップ認証を活用し、通常とは異なるログインや機密性の高い操作を保護します。
OWASPは、MFAをパスワード関連攻撃に対する最も有効な一般的防御策としています。
自動化されたログイントラフィックを制御する
行動ベースのボット検知、デバイスと接続のフィンガープリンティング、ネットワークレピュテーション、高度なレート制限、適応型チャレンジを適用します。単一のしきい値に依存せず、アカウント、IPアドレス、エンドポイント、デバイス、セッション、行動に基づいてトラフィックを評価する必要があります。
ログイン後のアカウントを保護する
ログインに成功したセッションを監視し、プロフィールの変更、復旧情報の更新、決済方法の変更、ロイヤルティポイントの利用、取引パターンなどの異常を検知します。ユーザーが有効なセッションを確認し、不審なアクセスを無効化し、機密性の高いアカウント操作に関する通知を受け取れるようにすることも重要です。
単独では十分でない対策
CAPTCHA、IPブロック、アカウントロック、パスワード複雑性の要件、基本的なレート制限は、リスクの軽減に役立ちます。ただし、それぞれ回避される可能性があり、正規ユーザーに不要な負担を与える場合もあります。多層的な対策を採用することで、保護を強化し、特定の検知方法への依存を減らせます。
CDNetworksによるクレデンシャルスタッフィング対策
CDNetworks Bot Shieldは、Webサイト、アプリケーション、APIを標的とする自動化されたアカウント乗っ取り活動の検知と緩和を支援します。
IPアドレス、URI、HTTPヘッダー、エンドユーザーIDなどのパラメーターを組み合わせた高度なレート制限に加え、フィンガープリントチャレンジ、人間の行動検知、リアルタイム監視、アラート、設定可能な対応アクションを提供します。
CDNetworksは、悪意のあるボットへの対策に加えて、多層的なセキュリティと高速化機能を提供し、Webサイト、アプリケーション、APIの安全性、応答性、可用性の維持を支援します。CDNetworksの製品ポートフォリオには、次のサービスが含まれます。
DDoS Protection：大規模トラフィック型、プロトコル型、アプリケーション層のDDoS攻撃に対するクラウドベースの防御により、サービスの可用性を維持します。
CDN：ユーザーに近いエッジロケーションへコンテンツをキャッシュすることで、遅延とオリジンサーバーの負荷を軽減し、コンテンツ配信性能を向上させます。
Web Application Firewall（WAF）：正規のトラフィックを通過させながら、不正なリクエスト、一般的なWeb脆弱性を悪用する攻撃、アプリケーション層攻撃をエッジで検知し、ブロックします。
API Security：アクセスを制御し、公開状態にあるAPIや脆弱なAPIを特定し、悪意のある活動がバックエンドサービスに影響を与える前に検知することで、APIエンドポイントを保護します。
クレデンシャルスタッフィングに関するよくある質問
クレデンシャルスタッフィングとは何ですか？
クレデンシャルスタッフィングとは、盗まれたユーザー名とパスワードの組み合わせを使い、通常は自動化されたログイン試行によって、別のサービスのアカウントへのアクセスを試みる攻撃です。
クレデンシャルスタッフィングとブルートフォース攻撃は同じですか？
ブルートフォース攻撃ではパスワードを推測します。一方、クレデンシャルスタッフィングでは、過去に流出し、別のサービスでも有効である可能性がある認証情報をテストします。
MFAはクレデンシャルスタッフィングを防止できますか？
盗まれたパスワードだけでは認証を完了できないため、MFAは多くのアカウント乗っ取りを阻止できます。ただし、組織はアカウント復旧機能の悪用、セッションの窃取、ログイン後の不審な活動についても引き続き監視する必要があります。
ユーザーはクレデンシャルスタッフィングからどのように身を守れますか？
ユーザーは、アカウントごとに異なるパスワードを設定し、パスワードマネージャーを使用し、MFAまたはパスキーを有効にする必要があります。また、有効なセッションを確認し、信頼できるデータ侵害通知を受けた場合は、使い回しているパスワードを変更することも重要です。
パスワードスタッフィングとは何ですか？
パスワードスタッフィングは、クレデンシャルスタッフィングを指す非公式な表現です。流出したユーザー名とパスワードの組み合わせを、別のWebサイト、アプリケーション、またはサービスでテストする攻撃を意味します。
強力なパスワードでクレデンシャルスタッフィングを防止できますか？
パスワードが流出しており、別のサービスでも使用できる場合、複雑性だけではクレデンシャルスタッフィングを防止できません。サービスごとに異なるパスワード、MFA、漏えいパスワードの照合、ボット検知を組み合わせることで、より強力な保護を実現できます。
クレデンシャルスタッフィングはAPIやモバイルアプリも標的にしますか？
攻撃者は、Webサイトのフォーム、モバイルアプリのAPI、認証API、カスタマーポータル、VPN、その他の再利用可能な認証情報を受け付けるあらゆるエンドポイントを標的にできます。