クレデンシャルスタッフィング（パスワードリスト攻撃・アカウントリスト攻撃）とは？アカウントの使い回しはやめよう

公開日:2020/4/15 最終更新日:2020/6/15

「クレデンシャルスタッフィング攻撃」とは別名をパスワードリスト攻撃・アカウントリスト攻撃とも呼ばれ、1つのサービスから漏洩したアカウント情報を使って、別の無関係なサービスにログイン試行するというサイバー攻撃の一手法です。

多くの方は、複数のwebサービスを利用していると思います。

例えばGoogleアカウントやApple ID、YahooアカウントやDropbox、FacebookやTwitter、Instagram、LINEなどのSNSもあると思います。

これらがすべて同一のアカウントとパスワードにされていた場合、1か所から漏れればそれは事実上すべてのwebサービスのアカウントが漏洩したのと同じになります。

このためどこかのWebサービスでアカウント情報が漏洩すると、攻撃者はそのアカウントとパスワードの組み合わせを使って様々なwebサービスやSNSでその組み合わせでのログインを試行するわけです。

アカウントを使い回している場合、これでログインできるWebサービスが見つかることになります。

「クレデンシャルスタッフィング」とはサイバー攻撃のそうした手法を指します。

クレデンシャルスタッフィング(パスワードリスト攻撃・アカウントリスト攻撃)の実例

2020年2月25日に公表された、トヨタファイナンスのカード会員向けWebサイトへの不正ログイン事案

オンライン会議ツール「Zoom」のアカウントがダークウェブで売買・配布されていた事案

クレデンシャルスタッフィング攻撃を防ぐためには、アカウントの使い回しを避けることです。

ユーザー名とパスワードの組み合わせを各サービスによって使い分ける必要があります。