クレデンシャルスタッフィングとは？
クレデンシャルスタッフィング攻撃は、サイバー犯罪者が盗んだ認証情報（ユーザー名とパスワードなど）を使用して、さまざまなウェブサイトやオンラインサービスに無差別にログインを試みる行為です。この攻撃手法は、多くのインターネットユーザーが複数のアカウントで同じパスワードを使い回している事実に依存しています。犯罪者は、これらの盗んだ認証情報を短時間で何千もの異なるサイトに試行し、SNSアカウントから企業のプライベートソフトウェアまで、広範囲のオンラインアカウントに対してアクセスを試みることで、ハッキングする成功率を高めます。
クレデンシャルスタッフィングとパスワードスプレー攻撃の違い
パスワードスプレー攻撃は、攻撃者が漏洩したユーザーネームに対して、一般的な単語などのパスワードを試みます。この手法は、多くのユーザーが単純かつ共通のパスワードを使用している場合に特に有効です。これにより、セキュリティが弱いアカウントは、簡単に乗っ取られてしまう可能性があります。
対照的に、クレデンシャルスタッフィング攻撃は、人々が異なるアカウントで同じパスワードを使い回すことに着目しています。攻撃者は、特定のログイン認証情報のセットを使用して複数のアカウントにアクセスを試みます。この攻撃は、通常、ボットネットのようなツールを使って多くのデバイスから同時に行われ、少数のログイン認証情報で広範囲にわたる影響を及ぼすことができてしまうのです。
クレデンシャルスタッフィング攻撃が成功すると、攻撃者は銀行口座やSNSなど、様々な個人情報にアクセスできるようになってしまいます。金銭的損失、恐喝、個人情報の盗用などの深刻な危険性をもたらしてしまうのです。
クレデンシャルスタッフィング攻撃の被害を受けているか見分ける方法
クレデンシャルスタッフィング攻撃の被害を受けているかを見分けることは、被害を未然に防ぐもしくは被害の早期発見に繋がります。
個人ユーザーがクレデンシャルスタッフィング攻撃を早期発見する方法
個人ユーザーは多要素認証（MFA）を利用することで、クレデンシャルスタッフィング攻撃を簡単に発見できます。多要素認証は、多くのオンラインサービスで利用できる追加のセキュリティ層で、ユーザーはユーザーネームとパスワードのみならず、一つ以上の追加認証手段を提供する必要があります。
もし、MFAを設定しているアカウントに不正アクセスが試みられた場合、あなたはログインしようとしていないのに、メールやテキストメッセージで身に覚えのないコードを受け取るかもしれません。
これらの見覚えのないコードは、あなたのアカウントに誰かが侵入しようとしている兆候です。もしこのような兆候が見られたら、パスワードを即座に変更し、対応することができます。
ビジネスユーザー向けクレデンシャルスタッフィング攻撃を早期発見する方法
ビジネスユーザーに向けたクレデンシャルスタッフィング攻撃の対策では、特にボットを含むトラフィックの異常を検出するツールが有効です。ウェブトラフィックの中から異常な挙動を検出し、ボットの存在を通知する機能を持っています。クレデンシャルスタッフィング攻撃は、認証情報を機械的に高速で何回も入力するボットを使用するため、これらを検出することで攻撃に迅速に対処できます。
また、デバイスやブラウザの指紋や顔認証技術を利用することも重要です。この技術は生体認証情報を活用し、パスワードだけでなくより強力なログイン方法を提供します。このようにパスワードと生体認証情報を組み合わせることで、それぞれ、アカウントのセキュリティを大幅に強化することが可能です。
クレデンシャルスタッフィング攻撃から身を守る対策方法
個人ユーザーのクレデンシャルスタッフィング攻撃対策
クレデンシャルスタッフィング攻撃からの対策としては、まず、各オンラインアカウントを複雑で強力なパスワードで保護することから始めましょう。パスワードには少なくとも16文字を使用し、大文字と小文字を組み合わせ、記号や数字を混ぜることが望ましいです。強力なパスワードを作成するために、パスワードジェネレーターを使用することをお勧めします。パスワードジェネレーターは、無料のオンラインツールでパスワードとして使用するための文字列をランダムに生成します。
生成されたパスワードは、複雑で覚えにくいため、パスワードマネージャーに保存することが最善です。パスワードマネージャーは、すべてのパスワードを保存・管理するのに役立ち、あなたが覚える必要があるのは強力なマスターパスワードだけです。
さらなるセキュリティ対策として、可能な限り多要素認証（MFA）を有効にしましょう。MFAは、不正なユーザーによるオンラインアカウントの侵害を防ぐのに役立ちます。MFAを有効にすることで、攻撃者があなたのユーザー名とパスワードを入手しても、追加の本人確認を証明できる認証形式なしではログインできなくなるため、クレデンシャルスタッフィング攻撃の被害に合うリスクが減ります。
企業ユーザーのクレデンシャルスタッフィング対策
企業や組織がクレデンシャルスタッフィング攻撃を防ぐために、まずは社員のアカウントを強力なパスワードで保護し、多要素認証（MFA）の使用を義務付けることから始めましょう。社員がパスワードの最善なベストプラクティスに従っていることを義務化させるなら、ビジネス用パスワードマネージャーを導入することが効果的で簡単です。
ビジネス用パスワードマネージャーは、IT管理者が社員のパスワードに関する管理に対して、一目でわかる可視性を提供します。また、パスワードマネージャーは、強力なパスワード管理の強制や、対応しているサイトやサービスでのMFAの使用を要求するなど、パスワードセキュリティの強化を自動的に行い、IT管理者を支援します。一元化されたパスワード管理ソリューションを持つことで、クレデンシャルスタッフィング攻撃から身を守ります。
それにより、企業は従業員のアカウントがハッキングされるリスクも減らすことができます。
まとめ：クレデンシャルスタッフィングから身を守ろう
クレデンシャルスタッフィング攻撃は、個人およびビジネスデータにリスクをもたらし、それによって身元盗用や財務的損失につながる可能性があります。クレデンシャルスタッフィングの被害に合わないためには、この攻撃の特徴を知り、対策を講じることが大切です。
この機会にKeeper®のパスワードマネージャーを試してみてはいかがでしょうか。
