【情報セキュリティ】パスワードの使い回しを狙う！「クレデンシャル・スタッフィング」｜情報処理問題1000本ノック
「パスワードを使い回さないでください」とどのサービスでも口酸っぱく言われるのは、この攻撃が恐ろしく強力だからです。どこか1箇所から漏洩したログイン情報を使い、別の有名サービスへ「当てずっぽうではなく、本物のリスト」でログインを試みるサイバー攻撃「クレデンシャル・スタッフィング」を攻略しましょう。
1. 【 問題 】：情報セキュリティ（サイバー攻撃手法）
【 問題 】 別のWebサイトや企業から流出したユーザーのID（メールアドレス）とパスワードのリストを入手し、自動化ツールなどを用いて他の無関係なWebサイト（ECサイトやSNSなど）に次々と入力することで、不正ログインを試みる攻撃手法を何と呼ぶでしょうか？
① ブルートフォース攻撃（総当たり攻撃）
② リバースブルートフォース攻撃（逆総当たり攻撃）
③ クレデンシャル・スタッフィング（アカウントリスト攻撃）
④ パスワードスプレー攻撃
2. 正解：
正解： ③ クレデンシャル・スタッフィング（アカウントリスト攻撃）
3. 解説：本物の「漏洩リスト」で攻めるため、防御が難しい
クレデンシャル・スタッフィングは、日本語で「アカウントリスト攻撃」とも呼ばれます。文字通り、すでにどこかで漏れている本物の「アカウントリスト（認証情報）」をシステムに詰め込む（スタッフィングする）攻撃です。攻撃者はユーザーが複数のサイトで同じIDとパスワードを使い回している確率が高いことを知っているため、あらかじめツールを使って数万〜数百万件のリストを高速で自動入力し、不正ログインを成功させます。
| 攻撃名 | アプローチの特徴 | 対策（防御側） |
|---|---|---|
| ① ブルートフォース攻撃 | 1つのIDに対し、パスワードを「aaaa」「aaab」と総当たりする | アカウントロック（回数制限） |
| ② リバースブルートフォース | 「Password123」などの定番パスワードを固定し、IDを総当たりする | 同上 / 推測されにくいパスワード |
| ③ クレデンシャル・スタッフィング | 他所で「流出した本物のIDとパスワードのペア」を試す | パスワード使い回し防止 / 多要素認証 |
| ④ パスワードスプレー | 多数のIDに対し、1〜2個の定番パスワードを時間を空けて試す | アカウントロックの回避を狙う攻撃 |
1. 理解のコツ: 空き巣の犯行を想像してください。
・ブルートフォース攻撃は、1つの家の鍵穴に、手当たり次第に作った1万本の合鍵をガチャガチャと試し続ける泥棒です。怪しすぎてすぐに警察（アカウントロック）に通報されます。
・これに対してクレデンシャル・スタッフィングは、「A町で盗んだ本物の鍵の束」を持って、別のB町にある家々の鍵穴に次々と差し込んでいく泥棒です。本物の鍵を使っているため、一発でガチャリと開いてしまいます。防犯カメラ（システム）から見ても、「一発で正しい鍵を開けて入ってきた、ただの住人」に見えるため、不正な攻撃だと見破るのが非常に難しいという凶悪な特徴があります。
2. 試験対策の視点: 午前試験では、「別のWebサイトから流出した〜」「リストを用いて〜」という文言があれば、迷わずクレデンシャル・スタッフィング（またはアカウントリスト攻撃）を選んでください。他の総当たり攻撃（ブルートフォース）との最大の違いは、「すでに流出した実在の組み合わせリストを使っている点」です。
また、対策についてもよく問われます。システム側での「同一IPからの連続ログイン試行の遮断」や「WAFによる機械的アクセスの検知」はもちろんですが、根本的な解決策はユーザー側に「パスワードの使い回しをやめさせること」、およびシステム側で「多要素認証（MFA）を必須にすること」です。仮にパスワードが合致しても、スマホへのワンタイムパスワード通知などで最後の砦を守ることができます。
4. まとめ
「他のサイトから流出した実際のIDとパスワードのリストを使って、別のサイトへのログインを自動で試みる攻撃」。これがクレデンシャル・スタッフィング（アカウントリスト攻撃）です。防御側からは正規のログインに見えやすいため、多要素認証（MFA）の導入やパスワード使い回し防止といった根本対策がセットで狙われる重要キーワードです。