クレデンシャルスタッフィングとは？
くれでんしゃるすたっふぃんぐ
クレデンシャルスタッフィングとは、流出したID・パスワードの組み合わせを別サービスに大量試行する不正アクセス攻撃です。
クレデンシャルスタッフィング（Credential Stuffing）とは、過去のデータ侵害などで流出したユーザー名とパスワードのリストを使い、他のWebサービスに対して自動的にログインを試みるサイバー攻撃手法です。
多くのユーザーが複数のサービスで同じパスワードを使い回す習慣（パスワードの再利用）を悪用しています。攻撃者はダークウェブなどで入手した大量の認証情報を、ボットやスクリプトを用いて自動的にログインフォームに入力し、成功した組み合わせを収集します。成功率は一般に0.1〜2%程度とされますが、数億件のリストを使えば数十万件の不正アクセスが成立しうるため、被害規模は甚大になりえます。
ブルートフォース攻撃との違いは、クレデンシャルスタッフィングが実際に存在するID・パスワードの組み合わせを使う点です。そのため、通常のアカウントロック機能だけでは防ぎにくいという特徴があります。
主な対策として以下が有効です。
- 多要素認証（MFA）の導入
- パスワードマネージャーによる一意なパスワードの利用
- ログインレートリミットやCAPTCHAの実装
- 流出認証情報データベース（HaveIBeenPwned等）との照合による早期検知
使い方・例文
あるサービスから流出したメールアドレスとパスワードを使って、SNSや銀行口座へのログインが試みられ、不正送金が行われるケースがクレデンシャルスタッフィングの典型例です。
この用語をシェア
最終更新: