クレデンシャルスタッフィング（パスワードリスト攻撃）とは

このシリーズ「攻撃者の視点を知る」では、Webサイトを狙う代表的な攻撃の手口を、1つずつやさしく解説します。目的は攻撃の「やり方」を知ることではなく、しくみを知ることで「何を」「なぜ」「どう」守るべきかを判断できるようになることです。実際に攻撃を試すための情報は含みません。前の教材「ブルートフォース攻撃」では、考えられる鍵を片っ端から試す手口を見ました。クレデンシャルスタッフィングも同じ「ログインを試す」手口ですが、使う鍵の種類が違います。

クレデンシャルスタッフィングとは

クレデンシャルスタッフィング（パスワードリスト攻撃）とは、別のサービスの情報漏えいなどで流出したID・パスワードの組み合わせを、別の無関係なサイトのログイン画面に対して自動で試す手口です。「ブルートフォース攻撃」が「考えられる鍵をあてずっぽうに1本ずつ試す」のに対し、クレデンシャルスタッフィングは「別の建物の落とし物として見つかった、実際に使われていたことが分かっている鍵束」を使って、あなたの家の扉にも同じ鍵を試してみる手口にたとえられます。多くの人が複数の扉で同じ鍵（同じID・パスワード）を使い回しているため、当たる確率が高く、攻撃者にとって効率のよい手口です。

何が起きるおそれがあるのか

• 管理画面や会員ページに、本人になりすまして不正にログインされる
• サイトの内容を書き換えられたり、会員情報を盗み見られたりする
• うまくいったID・パスワードが、さらに別のサイトでも試される（被害が連鎖する）

なぜ成立してしまうのか

同じID・パスワードの組み合わせを複数のサービスで使い回していると、どこか1つのサービスで情報が流出した時点で、使い回している他のすべてのサービスが危険にさらされます。自分のサイトのパスワード管理に問題がなくても、訪問者や社員が「他のサービスで使っていたパスワードを、ここでも使っている」ことが原因で成立してしまう点が、この手口の特徴です。

サイト運営者としての備え

1. 管理アカウントは使い回さない：管理画面のパスワードは、他のサービスで使っていないものにしましょう。くわしくは「パスワード管理の基本」で解説しています。
2. 可能であれば2段階認証を使う：流出した組み合わせが当たってしまっても、もう一段階の確認があれば不正ログインを防げます。
3. パスワードマネージャーの利用を検討する：サービスごとに違う長いパスワードを使い分けるには、「安全なパスワードマネージャーの選び方」も参考になります。

外から見える範囲の設定は無料診断で確認できます。

このシリーズの続き

ここまでの2つ（ブルートフォース攻撃、クレデンシャルスタッフィング）はいずれもログイン画面を狙う手口でした。次は「中間者攻撃（MITM）」で、ログインそのものではなく、通信の経路を狙う手口を見ていきます。

参考にした公開情報

• OWASP：Credential Stuffing（英語）

この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。