クレデンシャル・スタッフィング（）とはサイバー攻撃の一種であり、攻撃者が何らかの方法で事前に入手したIDとパスワードのリストを利用して、様々なウェブサイトやサービスへの不正ログインを試みる手法である。日本では別名、パスワードリスト攻撃（Password List attack）、リスト型アカウントハッキングとも呼ばれる。

概要 クレデンシャル・スタッフィングは、複数のウェブサービスで同じIDとパスワードの組み合わせを使い回す傾向があることを悪用した攻撃である。攻撃者は、セキュリティの脆弱なサイトから流出した認証情報のリストや、ダークウェブなどで不正に取引されているリストを入手し、そのリストにある膨大な数の認証情報をプログラム（ボットなど）を用いて、標的となる別のサービスに対して総当たり的に試行する。

この攻撃の成功率は、パスワードの使い回しをしている利用者の割合に大きく依存する。一つのサービスから認証情報が漏洩した場合、その情報が他の多数のサービスへの不正アクセスに繋がる危険性があるため、深刻な被害に発展しやすい。

手順

攻撃者は、他のウェブサイトへの不正アクセス、フィッシング詐欺、マルウェア感染、スミッシングなど、様々な手段を用いてIDとパスワードのリストを入手する。多くの場合、大規模な個人情報の漏洩に起因する。 金銭的価値の高い情報（クレジットカード情報、個人情報など）を扱うオンラインサービスや、多くの利用者を抱える人気のサービスを選び、標的とする。 攻撃者は、自動化されたプログラム（ボット）を使用して、入手したリストのID（利用者名やメールアドレス）とパスワードの組み合わせを標的のサイトのログインページで次々と試行する。 盗まれたアカウントから、通常はの一覧とそれに対応するパスワードを収集して（多くの場合は）、それら情報を悪用してウェブアプリケーションに自動ログイン要求を大規模に送りつけ、他のシステムの利用者アカウントに不正にアクセスすること。 ログインに成功すると、攻撃者はそのアカウントになりすまし、登録されている個人情報の窃取、金銭の不正利用、スパムメールの送信、登録されている他のサービスへの不正アクセスなどを行う。

他の攻撃手法との違い 他の攻撃手法とは異なり、クレデンシャル・スタッフィング攻撃では、総当たり攻撃やパスワードの推測を試みる必要がない。すでに発見済みの（数千から数百万に及ぶ）多数の認証情報ペアを用いたログインを自動化するだけで攻撃をすることができる。攻撃には、標準的ウェブ自動化ツールの Selenium、cURL、、もしくはこの種の攻撃専用に設計された Sentry MBA、SNIPR、STORM、Blackbullet、Openbullet などを用いる。

対策

パスワードの使い回しをしない - 最も基本的かつ最も重要な対策。サービスごとに異なる、推測されにくい複雑なパスワードを設定する。パスワード管理ツールを利用することも有効である。 多要素認証（MFA）の利用 - パスワードに加えて、SMS認証コード、認証アプリ、セキュリティキーなど、複数の認証要素を組み合わせることで、たとえパスワードが漏洩しても不正ログインを大幅に防ぐことができる。 FIDO2認証の利用 - パスワードを用いないログイン認証に切り替える。 不審なログイン通知の確認 - サービスが提供するログイン履歴の確認機能や、不審なログインがあった場合に通知を受け取る設定を有効にしておく。 不審なアクセスの検知 - 同一IPアドレスからの大量のログイン試行や、短時間でのログイン失敗の多発などを検知し、一時的にアクセスを制限（アカウントロックアウト）する仕組みを導入する。 CAPTCHAの導入 - ログインページにCAPTCHA（画像合わせ認証など）を導入し、ボットによる自動的なログイン試行を困難にする。 漏洩パスワードのチェック - 既知の漏洩したパスワードのリストと照合し、利用者が脆弱なパスワードを設定できないようにする。

脚注

関連項目

パスワードクラッキング ブルートフォースアタック 多要素認証 OTP（ワンタイムパスワード） フィッシング スミッシング

外部リンク

クレデンシャル・スタッフィングに関する OWASP の見解