1分で分かるかも？「Credential Stuffing攻撃」

Credential Stuffing（クリデンシャル・スタッフィング）攻撃とはいわゆるパスワードリスト攻撃のことです。

ユーザーがよく使いがちなパスワードのリストを使った攻撃とは違い、実際に何かのクラウドサービスでユーザーが使っていたIDとパスワードの情報を使って不正にクラウドサービスにログインしようとするのがこのCredential Stuffing攻撃の特徴です。

悪意のある攻撃者はさまざまなクラウドサービスに攻撃を仕掛けており、ID/パスワード情報をそのクラウドサービスから窃取できるとそれをダークウェブで販売します。そして、別の悪意のある攻撃者はダークウェブ上で販売されているID/パスワード情報を仮想通貨などで購入して、得たID/パスワードを使って興味のあるクラウドサービスのアカウントの乗っ取りを試みます。

なぜ、この攻撃が成立するのかというとそれは、ユーザーはさまざまなクラウドサービスで同じIDとパスワードを使いまわしするからです。現在は仕事で活用するクラウドサービスの数もかなりの数になっています。数十ものアカウントを管理するのは普通ですし、人によっては百を超えるアカウントを管理している人もいます。

このような状況ではユーザーとしては効率を考えてパスワードを使いまわすほかなくなってしまいます。そこで重要となってくるのはSSOや多要素認証となってきます。SSO（シングルサインオン）を活用することによりIDの管理が一つでよくなりますし、更に重要な情報を扱うクラウドサービスについては多要素認証を使うことで仮にパスワードが漏れてしまった場合にもアカウントを守ることができます。