クレデンシャルスタッフィングとは何か？
クレデンシャルスタッフィングとは何か？
クレデンシャルスタッフィングは、盗まれたログイン認証情報を使って、その他の無関係なサービスやアプリケーションにアクセスするサイバー攻撃の一種です。クレデンシャルスタッフィング攻撃を実行するために、サイバー犯罪者は盗んだ認証情報のリストを入手してボットに入力します。その後、ボットはさまざまなWebサイトで自動ログイン試行を開始します。ハッカーは、入手した認証情報を使ってサイトに侵入すると、不正行為を働くために必要な個人データを盗み始めます。
統計的に言えば、クレデンシャルスタッフィングの成功率はわずか 0.1％の非常に低い確率です。しかし、ハッカーは、数百万件、場合によっては数十億件のログイン認証情報を使って、大量試行を繰り返し、アカウントに侵入する可能性を高めているため、これは最も一般的なサイバー攻撃の1つになっています。
クレデンシャルスタッフィング攻撃は広くまん延しており、現在ではすべてのログイン試行の34％を占めています。ダークWebでは常に豊富なオンライン認証情報が流通しているため、認証情報のスタッフィングは、個人と企業の両方に最も深刻なサイバーセキュリティリスクの1つをもたらします。
盗まれたアカウントに対してハッカーが支払う実勢レートは、アカウントの価値と種類によって異なります。以下は、アカウントあたりの平均費用の内訳です。
- ピンコード付きMastercardまたはVisaの複製：25ドル
- ピンコード付きAmerican Expressの複製：35ドル
- 1,000ドル以下の口座残高：150ドル
- 5,000ドル以下の口座残高：240ドル
- 残高2,000ドル以上の銀行口座の窃取された認証情報：120ドル
クレデンシャルスタッフィングの仕組み
クレデンシャルスタッフィングは単純明快なサイバー攻撃です。プロセスの概要は次のとおりです。
- ハッカーは、ダークWebからの以前のデー
タ侵害で盗まれたログイン認証情報のリストを入手する。
- ハッカーは、関連のないさまざまなアプリケーションやWebサイトでのログイン試行を自動化するボットに認証情報を入力する。
- ログイン試行が成功すると、
ハッカーはその認証情報を使って
アカウントの乗っ取りやビジネスメール詐欺（BEC)
などの悪質な活動を始められる。
また、巧妙なハッカーは、しばしば大規模なボットネット攻撃を使います。この攻撃は、トラフィックの急増を引き起こし、特定のサービスのITインフラストラクチャを処理不可能にします。
クレデンシャルスタッフィングは、いくつかの要因が現れたことで、脅威が高まっています。
オンラインアカウントの拡大：オンラインサービスとアプリケーションの成長により、ハッカーが悪用できるオンライン認証情報の量が急速に増加しています。残念ながら、それらを取得するためのデータ侵害の猛攻撃も同様です。ボットが賢くなるにつれて、これは増加の一途をたどると考えてください。
ボットの高度化：クレデンシャルスタッフィングボットは時間の経過とともに高度化しており、セキュリティの脅威を増大させ続けています。ボットは、ユーザー名とパスワードの組み合わせごとに1回のログインしか試行しないほど賢くなりました。これにより、パスワード試行の失敗などの追加のセキュリティ機能にフラグが立てられなくなります。
実行の容易さ：クレデンシャルスタッフィングは、最も実行しやすいサイバー攻撃の1つです。必要なスキルセットが少ないため、多くのサイバー犯罪者にとって魅力的です。ハッカーは、侵害された認証情報のリストをダークWebで購入し、攻撃を始めるボットプログラムを実行できればよいのです。
限られた検出機能：ボットによるログイン試行は巧妙なうえに、正当な認証情報を使用するため、いつ発生したかを検出するのが難しく、阻止するのが困難です。
クレデンシャルスタッフィングに使用されるデータ侵害の例
過去10年間で、データ侵害が大幅に増加しました。事実、データ侵害の世界的なコストは、2022年に過去最高レベルに達しました。
これらの攻撃を実行するために使われる人工知能とボットプログラムが巧妙化するにつれて、この数字は増大し続けると予想されます。以下は、これまでで最も悪名高いデータ侵害の一部です。
クレデンシャルスタッフィングからの保護
データ侵害やクレデンシャルスタッフィングのまん延の勢いが増しているため、個人や組織はデータを保護するために必要な措置を講じなければなりません。
個人の場合、使用するサービスごとに固有のユーザー名と強力なパスワードを使用することが重要です。パスワードマネージャは、すべてのアカウントの強力なパスワードを生成して保存できる便利なツールです。
組織は、従業員にパスワードを頻繁に更新させ、ファイアウォール、ウイルス対策ソフトウェア、エンドポイント検出などの追加のセキュリティ対策を使用することが重要です。
最後に、個人と組織の両方が、可能な限り多要素認証を使用することを考慮すべきです。
