クレデンシャルスタッフィング攻撃の全貌――氷山の一角にすぎないサイバー脅威

先月以降、数百人規模の任天堂（Nintendo）ユーザーが、遠隔地から自分のアカウントへ不正アクセスされたと報告しています。また、50万件を超えるZoomアカウント情報がダークウェブ上のハッカーフォーラムに出回っていることが確認されました。さらに最近では、研究者たちによって700件以上の悪質なNetflix・Disney+のクローン（偽）サイトが発見されています。これらの詐欺サイトは、偽のサブスクリプションで金銭を騙し取るか、あるいはユーザーのデータを収集して銀行口座情報やログイン認証情報を盗み出すことを目的としています。

ここで注目すべきは、これらの最近のデータ窃取被害に共通する点があるということです。実は、これらの被害は企業レベルでの情報漏洩（データ侵害）によるものではなく、「クレデンシャルスタッフィング攻撃（Credential Stuffing Attack）」によるものだった可能性が高いのです。これはブルートフォース攻撃の一種で、盗み出したユーザー名とパスワードの組み合わせを自動的に多数のサイトに対して試行し、アカウントを乗っ取る手法です。

パート1：クレデンシャルスタッフィング攻撃の実態

まず押さえておきたいのは、現代のユーザーがデジタルプライバシーに対して非常に敏感になっているという点です。大文字・小文字、数字、記号を組み合わせた「複雑なパスワード」を設定する人が増えています。しかし残念ながら、一つ強固なパスワードを作った後、他のサイトやサービスごとに別々のパスワードを用意するのは容易ではありません。

その結果、多くの人は結局すべてのサービスで同じパスワードを使い回してしまいます。これはハッカーにとって好都合です。特別なデータベースを用意しなくても、既存の大規模な漏洩データベースを参照し、そこにあるユーザー名とパスワードを使ってNetflix、Nintendo、Zoomなどの各種サービスへの不正ログインを試みるだけでよいからです。

研究者によると、「Zoom関連のクレデンシャルスタッフィングには『OpenBullet』が使用されていました。OpenBulletのGitHubページによれば、これはユーザーデータのスクレイピングと解析に特化したオンラインテストツールであり、オープンソースとして公開されているため、クレデンシャルスタッフィング攻撃を誰でも簡単に実行できてしまうのです」とのことです。

それでは、クレデンシャルスタッフィング攻撃の仕組みと、その対策について詳しく見ていきましょう。

パート2：クレデンシャルスタッフィング攻撃の構造

クレデンシャルスタッフィング攻撃は、ユーザーアカウントを乗っ取るためのシンプルな手法です。同じ認証情報を複数回使い回していると、攻撃を受けて不正アクセスされるリスクが高まります。この攻撃は難しそうに思えますが、インターネット上で入手できる専用ツールを使えば、初心者のハッカーでも実行可能なサイバー攻撃なのです。

ある調査によると、なんと43％ものWebサイトへのログイン試行が、アカウント乗っ取りを目的としたものであるという衝撃的な結果が出ています。クレデンシャルスタッフィングの根本的な原因は、パスワードの使い回しにほかなりません。

クレデンシャルスタッフィング攻撃の標的となりやすい業界としては、Eコマース（ECサイト）、金融、エンターテインメント・ソーシャルメディア、IT、通信、運輸、小売などが挙げられます。

攻撃が成功するとアカウント乗っ取りにつながり、盗まれた有効な認証情報は第三者に売却され、アカウント内の残高の不正引き出しやデータ窃取に利用されます。

【クレデンシャル攻撃とアカウント乗っ取りの概要】

パート3：クレデンシャルスタッフィング攻撃はどのように行われるのか？

攻撃者がクレデンシャルスタッフィングを実行する際の典型的な手順は以下の通りです。

攻撃者の行動：

ステップ1： 複数のアカウントに自動ログインするボットを作成・設定し、IPアドレスを偽装します。

ステップ2： 自動化プロセスを実行し、盗んだ認証情報がさまざまなサイトで使えるかどうかを検証します。悪意あるプラットフォームには、さまざまなクレデンシャルスタッフィングツールが出回っており、それらは「プロキシリスト」を組み込んでリクエストをネットワーク上で反復させ、あたかも異なるIPアドレスからのアクセスであるかのように見せかけます。

ステップ3： 収益性の高い認証情報を継続的に監視・探索し、銀行情報などの個人情報（PII：Personally Identifiable Information）を入手します。

ステップ4： アカウント情報を保持しておき、後日フィッシング攻撃の標的として利用します。さらにデータをコピーして販売したり、（主にダークウェブ上で）公開したりして、他のハッカーに利用させることもあります。

攻撃者が被害者のデータへのアクセス権を得ると、次のような悪用を行います。

• 乗っ取ったアカウントへのアクセス権の販売（NetflixやDisney+など）
• 正規ユーザーになりすましてのEコマース詐欺

これらの犯罪は消費者に深刻な被害をもたらしますが、ビジネスにとって最も壊滅的な被害をもたらしうるのが「企業・組織のスパイ活動および機密窃取」です。

もし攻撃者が従業員や管理者のデータにアクセスできれば、あらゆる種類の機密性の高い内部情報を把握し、最高額の入札者に売り渡す可能性があります。

• 企業にとってサイバーセキュリティはなぜ重要なのか？
• 企業はサイバー攻撃に備えられているのか？

パート4：なぜハッカーの間でクレデンシャルスタッフィングが広がっているのか？

ひとことで言えば、クレデンシャルスタッフィング攻撃が増加している理由は、この手法が完全に自動化されており、シンプルで簡単だからです。高度な機能を備えたトップクラスのインターネットセキュリティ製品が市場にあふれる中、洗練された高度な手法でシステムに侵入することは困難になっています。そのため、基本的な技術でありながら効果てきめんなクレデンシャルスタッフィングは、低コストかつ手軽な侵入手段として人気を集めているのです。

どんなに優れたセキュリティ検知・防御ソリューションに頼っていても、ユーザー自身が危険な行動をとれば、必ずセキュリティ上の抜け穴が生まれます。

クレデンシャルスタッフィング攻撃において、ユーザーは複数のアカウントで同じパスワードを設定するだけで被害者になってしまいます。多くの研究者によれば、ありふれたパスワードを使い回すことは、ユーザーが犯しがちな最も一般的なミスの一つであり、ハッカーに迅速な攻撃の扉を開いてしまうのです。

パート5：クレデンシャルスタッフィング攻撃を防ぐためにできる対策

クレデンシャルスタッフィング攻撃から身を守るのは実は簡単で、いくつかのセキュリティ習慣を守るだけで十分です。

1. パスワード衛生（パスワードハイジーン）を徹底する

すべてのアカウントで同じパスワードを使うのは避けましょう。この種の攻撃が成立するのは、ユーザーが複数のアカウントに同一または類似のパスワードを設定しがちだからです。

2. すべてのアカウントで多要素認証（MFA）を有効にする

サイバー犯罪者は、個人情報やプライバシー関連の痕跡を抽出するための、より高度で洗練された手法を開発し続けています。これを防ぐには、多層的なセキュリティアプローチが最善の策です。

3. パスワードを定期的に変更する

より良いセキュリティとプライバシーを確保するため、定期的なパスワード変更を習慣にしましょう。その際、以前使ったことのあるパスワードの再利用は絶対に避けてください。

4. 個人用と業務用のアカウントで異なるパスワードを使う

従業員に定期的なデジタルクリーンアップを奨励している企業もあります。半年ごとのパスワード変更を義務付け、業務用と個人用で異なるパスワードを使うよう求めているケースもあるほどです。

5. 利用している脅威保護サービスが万全であることを確認する

今の時代、アンチウイルスソフトをシステムの盾として常駐させることがいかに不可欠かは、説明するまでもありません。Windows、Mac、Android、iPhoneなど、お使いのデバイスを最上位クラスのアンチウイルス保護で守りましょう。

パート6：Systweakはクレデンシャルスタッフィング攻撃とアカウント乗っ取りからユーザーをどう守るのか？

Systweakは、最も洗練された攻撃さえも退けられる先進的なソリューションを提供しています。

まず挙げられるのが、専用パスワード管理アプリTweakPassです。AES-256ビット暗号化、PBKDF2 SHA-256、HMacで保護された特別なヴォールトにより、認証情報と個人データを360度守ります。前述の通り、パスワードの使い回しはクレデンシャルスタッフィングのリスクを高めます。TweakPassにはパスワードジェネレーター機能が搭載されており、すべてのアカウント、サイト、サービスに対して複雑で一意なパスワードを提案してくれます。しかも、長く強固なパスワードをすべて覚える必要はありません。TweakPassが代わりに管理し、認証情報や個人情報を数秒で自動入力することもできます。

また、究極のID保護とセキュリティのためのAdvanced Identity Protectorも提供しています。これは、複数のサイトで安心して取引できるよう、データの機密性を維持する高度なツールです。マシンを一度スキャンするだけで、ハッカーに悪用されあなたの名前で犯罪を犯される恐れのある、IDに関する機密情報をすべて検出します。社会保障番号、クレジットカード情報、連絡先などの隠れた痕跡が見つかったら、セキュアヴォールトに保存するか、完全に削除して、悪意ある第三者の手に渡らないようにできます。

パート7：まとめ

インターネット上の脅威は尽きることがなく、一般消費者を危険に晒し続け、IT担当者を忙しくさせています。クレデンシャルスタッフィングは、ユーザーに重大な脅威をもたらす最も恐ろしいリスクの一つです。だからこそ、一人ひとりが固有のパスワードを使用し、多要素認証でアカウントを保護し、デジタル衛生を維持することが推奨されます。特に、不審なWebサイトやサービスを利用している疑いがあるときは、十分な注意が必要です。

関連記事：

• 2020年版 Windows向けおすすめVPNソリューション
• 2020年版 Macユーザー向けおすすめVPNクライアント
• 2020年版 Androidデバイス向けおすすめVPNサービス
• 2020年版 iPhone・iPad向けおすすめ無料VPNアプリ