TOPセキュリティ > クレデンシャルスタッフィング攻撃、犯人が隠蔽に使う4つの方法...

セキュリティ

クレデンシャルスタッフィング攻撃、犯人が隠蔽に使う4つの方法(前)

2022/02/07

Michael Hill CSO

 クレデンシャルスタッフィング攻撃とは、流出したユーザーアカウント情報のリストを使ったサイバー攻撃のこと。流出元のサービスで実際に使われていた膨大な数のユーザー名とパスワードを使って、別のサービスへのログイン要求を機械的に行い、不正アクセスを試みる。

Credit: Petr Bonek / Getty Images
Credit: Petr Bonek / Getty Images

 この攻撃手法が成立している背景としては、今や誰もが膨大な数のアカウントを使っている点、パスワードを再利用する人が多い点、流出したアカウント情報がダークウエブで大量に手に入る点が挙げられ、攻撃者にとっては好条件がそろっている。正規のログイン要求に見せかけて攻撃が行われることから、検知や防御は簡単ではない。

 情報流出チェックサービス「Have I Been Pwned」を運営しているセキュリティー研究者のTroy Hunt氏は言う。「クレデンシャルスタッフィング攻撃は、正規のユーザーが行うログイン要求になりすます。犯人は、正規のリクエストの特徴を研究して、模倣の方法を考え出しており、防御側との間で興味深い攻防が見られる」

↑ページ先頭へ