hse_formerly_vade_horizontal_green_white
hse_formerly_vade_horizontal_green_black
  • 製品・技術
    • 製品
      • Vade for M365
      • Vade Remote Browser Isolation (RBI)
      • Vade MTA Builder
      • Vade Cloud
      • Email Content Filter
      • IsItPhishing
    • ソリューション
      • ユーザー意識の向上トレーニング
      • インシデント・レスポンス
      • マルウェア・ランサムウェア対策
      • スピアフィッシング・詐欺メール対策
      • Threat Intel & Investigation
      • スパム対策
      • フィッシング対策
    • 事業別ソリューション
      • MSP
      • デモをリクエストする
      • 通信事業者、サービスプロバイダー
  • パートナー
    • パートナー情報
      • Vadeパートナーになる理由は?
      • Vade Academy
      • Vade for M365を提供するパートナ
    • パートナーリソース
      • パートナープログラム
      • パートナーポータル
  • リソース
    • リソース
      • リソースセンター
      • ブログ
      • Events
      • 脅威ツール
    • 継続的な学習
      • メールセキュリティ
      • Phishing
      • Spear Phishing
      • サイバーセキュリティ用語集
  • 会社概要
    • 私たちについて
    • キャリア
    • 連絡先
    • ニュース
    • サポート
デモをリクエストする
お問い合わせ
  • 日本

クレデンシャルスタッフィングとは何か?

クレデンシャルスタッフィングとは何か?

クレデンシャルスタッフィングは、盗まれたログイン認証情報を使って、その他の無関係なサービスやアプリケーションにアクセスするサイバー攻撃の一種です。クレデンシャルスタッフィング攻撃を実行するために、サイバー犯罪者は盗んだ認証情報のリストを入手してボットに入力します。その後、ボットはさまざまなWebサイトで自動ログイン試行を開始します。ハッカーは、入手した認証情報を使ってサイトに侵入すると、不正行為を働くために必要な個人データを盗み始めます。

 統計的に言えば、クレデンシャルスタッフィングの成功率はわずか 0.1%の非常に低い確率です。しかし、ハッカーは、数百万件、場合によっては数十億件のログイン認証情報を使って、大量試行を繰り返し、アカウントに侵入する可能性を高めているため、これは最も一般的なサイバー攻撃の1つになっています。

クレデンシャルスタッフィング攻撃は広くまん延しており、現在ではすべてのログイン試行の34%を占めています。ダークWebでは常に豊富なオンライン認証情報が流通しているため、認証情報のスタッフィングは、個人と企業の両方に最も深刻なサイバーセキュリティリスクの1つをもたらします。

盗まれたアカウントに対してハッカーが支払う実勢レートは、アカウントの価値と種類によって異なります。以下は、アカウントあたりの平均費用の内訳です。

  • ピンコード付きMastercardまたはVisaの複製:25ドル
  • ピンコード付きAmerican Expressの複製:35ドル
  • 1,000ドル以下の口座残高:150ドル
  • 5,000ドル以下の口座残高:240ドル
  • 残高2,000ドル以上の銀行口座の窃取された認証情報:120ドル

クレデンシャルスタッフィングの仕組み

クレデンシャルスタッフィングは単純明快なサイバー攻撃です。プロセスの概要は次のとおりです。

  • ハッカーは、ダークWebからの以前のデー
    タ侵害で盗まれたログイン認証情報のリストを入手する。
  • ハッカーは、関連のないさまざまなアプリケーションやWebサイトでのログイン試行を自動化するボットに認証情報を入力する。
  • ログイン試行が成功すると、
    ハッカーはその認証情報を使って
    アカウントの乗っ取りやビジネスメール詐欺(BEC)
    などの悪質な活動を始められる。

また、巧妙なハッカーは、しばしば大規模なボットネット攻撃を使います。この攻撃は、トラフィックの急増を引き起こし、特定のサービスのITインフラストラクチャを処理不可能にします。

クレデンシャルスタッフィングは、いくつかの要因が現れたことで、脅威が高まっています。

オンラインアカウントの拡大:オンラインサービスとアプリケーションの成長により、ハッカーが悪用できるオンライン認証情報の量が急速に増加しています。残念ながら、それらを取得するためのデータ侵害の猛攻撃も同様です。ボットが賢くなるにつれて、これは増加の一途をたどると考えてください。

 ボットの高度化:クレデンシャルスタッフィングボットは時間の経過とともに高度化しており、セキュリティの脅威を増大させ続けています。ボットは、ユーザー名とパスワードの組み合わせごとに1回のログインしか試行しないほど賢くなりました。これにより、パスワード試行の失敗などの追加のセキュリティ機能にフラグが立てられなくなります。

実行の容易さ:クレデンシャルスタッフィングは、最も実行しやすいサイバー攻撃の1つです。必要なスキルセットが少ないため、多くのサイバー犯罪者にとって魅力的です。ハッカーは、侵害された認証情報のリストをダークWebで購入し、攻撃を始めるボットプログラムを実行できればよいのです。 

限られた検出機能:ボットによるログイン試行は巧妙なうえに、正当な認証情報を使用するため、いつ発生したかを検出するのが難しく、阻止するのが困難です。

 

クレデンシャルスタッフィングに使用されるデータ侵害の例

過去10年間で、データ侵害が大幅に増加しました。事実、データ侵害の世界的なコストは、2022年に過去最高レベルに達しました。

これらの攻撃を実行するために使われる人工知能とボットプログラムが巧妙化するにつれて、この数字は増大し続けると予想されます。以下は、これまでで最も悪名高いデータ侵害の一部です。

Marriott International(2018年9月): Marriottの顧客5億人の個人情報が、Starwoodのゲスト予約データベースで侵害されました。侵害された情報にはクレジットカード番号や有効期限などの情報が含まれていたため、Marriottは、2020年に英国の監視機関から1,800万ドルの罰金を科されました。
Facebook(2019年4月): 5億3,300万人のユーザーのログイン認証情報と電話番号がハッキングされました。2年後、それらの情報はダークWebに無料で投稿されました。
LinkedIn(2021年1月): そのユーザーベースの90%以上に相当する7億人のユーザーの認証情報が侵害され、それらの情報がダークWebで売られた可能性があります。
Paypal(2023年1月): 社会保障番号を含む35,000件のアカウントが侵害されました。この攻撃はクレデンシャルスタッフィングを使って実行されました。
Vade - email security best practices

クレデンシャルスタッフィングの被害がもたらす結果

クレデンシャルスタッフィングの結果は深刻です。ハッカーはユーザーの個人情報にアクセスし、次のようなさまざまな目的のためにそれらの情報を使用します。

  • ユーザーのアカウントへのアクセスを売る。
  • 不正なオンライン購入を行う。
  • それに続くフィッシング、スピアフィッシング、
    またはランサムウェア攻撃の実行。

クレデンシャルスタッフィングからの保護

データ侵害やクレデンシャルスタッフィングのまん延の勢いが増しているため、個人や組織はデータを保護するために必要な措置を講じなければなりません。

個人の場合、使用するサービスごとに固有のユーザー名と強力なパスワードを使用することが重要です。パスワードマネージャは、すべてのアカウントの強力なパスワードを生成して保存できる便利なツールです。

組織は、従業員にパスワードを頻繁に更新させ、ファイアウォール、ウイルス対策ソフトウェア、エンドポイント検出などの追加のセキュリティ対策を使用することが重要です。

最後に、個人と組織の両方が、可能な限り多要素認証を使用することを考慮すべきです。

Cadenas email security
  • 事業別ソリューション
    • Vade for MSP
    • Vade for SMB
    • Vade for ISP, ESP, Telcos
  • 製品
    • Vade for M365
    • Vade Remote Browser Isolation (RBI)
    • Vade MTA Builder
    • Vade Cloud
    • Email Content Filter
  • ソリューション
    • Incident Response
    • Anti Malware / Ransomware
    • Anti Spear Phishing BEC
    • Anti Spam
    • Anti Phishing
  • パートナー
    • パートナープログラム
    • Vade Academy
    • Vadeパートナーになる理由は?
    • パートナーポータル
    • サポート
  • リソース
    • リソースセンター
    • ブログ
    • メールセキュリティ
    • Threat Tools
    • サイバーセキュリティ用語集
  • 会社概要
    • 私たちについて
    • キャリア
    • 連絡先
    • ニュース
    • サポート
hse_formerly_vade_horizontal_green_white
  • サイトマップ
  • プライバシー
  • Disclosure Policy
  • 法的通知
  • クッキーポリシー
  • 利用条件
  • © Hornetsecurity 2025