クレデンシャルスタッフィング対策｜漏えいしたID・パスワードの再利用に備える

クレデンシャルスタッフィングは、他で漏えいしたIDとパスワードの組を別のサービスで試す攻撃です。新しいパスワードを推測することより、利用者の使い回しを狙います。個々の認証が正しい組み合わせで成功するため、失敗の多さだけに注目した監視では足りない場合があります。

利用者には使い回しを避けることが重要ですが、サービス側もMFA、試行の制御、異常な利用の確認を組み合わせます。接続元、端末、アクセスの速度だけで一律に拒否すると正規利用を妨げる場合があります。弱いパスワードの検査に必要以上の秘密情報を集めたり、漏えいした認証情報を実サービスで試したりしてはいけません。

漏えいした組を再利用する攻撃と、一つの候補を多数へ試すスプレーは異なります。対策に共通点はありますが、成功した認証の後を見る必要性も考えます。

認証前だけでなく重要な変更や決済などの操作にも注意を向けます。問い合わせや復旧を利用者が使えるようにし、アカウントが疑われる場合の失効を整えます。

検知した異常と確認された被害を分けます。利用者の認証情報はログへそのまま保存せず、調査に必要な識別情報で追跡します。

漏えいを知った利用者が自分で取れる行動と、サービス側が取る保護を分担します。通知には秘密の値を載せず、正規の入口から確認できる案内にします。被害が疑われる状況で、通知メールのリンクだけを信頼させる設計は避けてください。

復旧では、本人確認を済ませてからセッションや認証の見直しへ進めます。攻撃者が問い合わせ窓口を使う場合も考え、購入履歴など一つの情報だけで本人と決めない手順が必要です。復旧を容易にすることと無条件の解除を区別します。

サイバーセキュリティの学習ガイドで、このテーマを認証・端末とアクセス管理の中に位置付けてください。関連する前提はパスワードスプレー攻撃とは、フィッシング耐性のあるMFAとはで確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。