Written by WizLANSCOPE編集部
目 次
クレデンシャルスタッフィングとは、他のサービスから流出したID・メールアドレス・パスワードなどの認証情報を悪用し、別のサービスへのログインを大量に試みる不正アクセス手法です。
運営するWebサイトやアプリケーションにクレデンシャルスタッフィング攻撃の対象になると、顧客アカウントへの不正ログインを許し、個人情報の閲覧や登録情報の改ざん、不正購入、ポイントの不正利用などの被害につながる恐れがあります。
近年はクラウドサービスやWebアプリケーションの利用拡大に伴い、流出した認証情報を悪用してアカウントの乗っ取りを狙う攻撃が増加しています。
そのため、サービスを提供する企業・組織はクレデンシャルスタッフィングの仕組みを理解し、適切な対策を講じることが重要です。
本記事では、クレデンシャルスタッフィングの仕組みや注意すべき兆候、具体的な対策などを解説します。
▼本記事でわかること
- クレデンシャルスタッフィングの概要と仕組み
- 攻撃を受けている可能性を示す兆候
- クレデンシャルスタッフィングの被害事例
- クレデンシャルスタッフィングへの対策
- クレデンシャルスタッフィング攻撃を受けた場合の対処法
「クレデンシャルスタッフィングとはどのような攻撃か」「どのような対策が有効なのか」などを知りたい方はぜひご一読ください。
クレデンシャルスタッフィングとは
クレデンシャルスタッフィングとは、他のサービスから流出した認証情報を悪用し、別のサービスへのログインを大量に試みる不正アクセスの手法です。
「クレデンシャル（Credential）」は、ID・メールアドレス・パスワードなどの認証情報を意味します。「スタッフィング（Stuffing）」は、「詰め込む」「大量に入力する」という意味です。
クレデンシャルスタッフィングでは、流出した認証情報を利用して、ボットなどの自動化ツールが複数のWebサイトやアプリケーションへのログインを繰り返し試みます。
このとき、利用者が複数のサービスで同じID・パスワードを使い回している場合、不正ログインに成功する可能性が高まります。
また、クレデンシャルスタッフィングでは正規の認証情報が悪用されるため、サービスを提供する企業・組織は通常のログインとの判別が難しく、不正アクセスとして検知しにくい点が特徴です。
提供するサービスがクレデンシャルスタッフィング攻撃の対象になると、利用者アカウントが乗っ取られ、個人情報の漏洩、登録情報の改ざん、不正購入、ポイントの不正利用などの被害につながる恐れがあります。
クレデンシャルスタッフィングによる被害を防ぐには、利用者がサービスごとに異なるパスワードを設定し、使い回しを避けることが重要です。
一方で、サービスを提供する企業・組織には、利用者の対策だけに依存せず、多要素認証への対応や不正ログインの検知・制御
クレデンシャルスタッフィングの仕組み
クレデンシャルスタッフィングは、一般的に以下の流れで実行されます。
- 手順（1）：認証情報を入手する
- 手順（2）：ボットなどの自動化ツールでログインを大量に試行する
- 手順（3）：不正ログインに成功したアカウントの情報を収集・悪用する
まず攻撃者は、他のサービスから流出した認証情報を入手します。
主な入手方法は以下の通りです。
| 手法 | 概要 |
|---|---|
| フィッシング | ・フィッシングメールなどで偽サイトへ誘導し、利用者に認証情報を入力させて盗み取る |
| ソーシャルエンジニアリング | ・PC画面の覗き見やなりすましなど、人の心理や行動を悪用して認証情報を盗み取る |
| ダークウェブ | ・他のサービスから流出した認証情報のリストをダークウェブ上で入手・購入する |
攻撃者は入手した認証情報をボットなどの自動化ツールに読み込ませ、複数のWebサイトやアプリケーションに対して短時間で大量のログインを試みます。
このとき、利用者が複数のサービスで同じ認証情報を使い回している場合、不正ログインに成功する可能性が高まります。
不正ログインに成功すると、攻撃者は個人情報や機密情報を閲覧・窃取するほか、不正購入やポイントの不正利用など、さまざまな不正行為を行う可能性があります。
クレデンシャルスタッフィングとブルートフォース攻撃の違い
クレデンシャルスタッフィングと混同されやすい攻撃手法に、「ブルートフォース攻撃」があります。
どちらも不正な方法で認証を突破し、アカウントへのログインを試みるサイバー攻撃ですが、認証情報を入手する方法やログインの手法が異なります。
| 攻撃手法 | 特徴 |
|---|---|
| クレデンシャルスタッフィング | ・他のサービスから流出した認証情報を悪用し、自動化ツールで複数のサービスへのログインを大量に試みる攻撃 |
| ブルートフォース攻撃 | ・ IDやユーザー名を固定し、パスワードを総当たりで試すことで認証突破を試みる攻撃 |
クレデンシャルスタッフィングでは、流出したID・パスワードの組み合わせをそのまま利用するため、利用者が複数のサービスで認証情報を使い回している場合に、不正ログインが成功しやすくなります。
一方、ブルートフォース攻撃では、想定されるパスワードをひとつずつ入力して認証を突破しようとするため、流出した認証情報がなくても攻撃を実行できます。
なぜクレデンシャルスタッフィングはなくならないのか
クレデンシャルスタッフィングは、不正ログインの成功率だけを見ると、決して高い攻撃ではありません。
それにもかかわらず、攻撃者がクレデンシャルスタッフィングを繰り返す主な理由として、以下が挙げられます。
- 攻撃コストが低い
- 認証情報を使い回している利用者が一定数存在する
- 価値の高いアカウントを乗っ取れる可能性がある
攻撃者は、ダークウェブなどで入手した認証情報のリストとボットなどの自動化ツールを利用することで、比較的少ない手間で大量のログインを試行できます。
例えば、100万回ログインを試行し、成功率が0.5％だった場合でも、約5,000件のアカウントへの不正ログインに成功する計算になります。
また、利用者が複数のサービスで同じ認証情報を使い回していると、不正ログインに成功する可能性が高まります。
さらに、100万件の試行のうち1件でも管理者アカウントや金融サービスのアカウントなど価値の高いアカウントを乗っ取ることができれば、攻撃者は大きな利益を得られる可能性があります。
このように、1回あたりの成功率は高くなくても、攻撃を大量に繰り返すことで大きな被害につながる可能性があります。
そのため、サービスを提供する企業・組織には、不正ログインを前提とした対策を講じることが重要です。
クレデンシャルスタッフィングの兆候
クレデンシャルスタッフィングを受けている可能性を示す主な兆候は、以下の通りです。
- ログイン失敗数が急激に増加している
- 特定のIPアドレスやセッションから多数のアカウントへログインが試行されている
- 無効化済みのアカウントに対するログイン試行が発生している
- 通常はアクセスのない国・地域から大量のログイン試行が発生している
- ログイン試行回数に対して成功率が極端に低い
クレデンシャルスタッフィングでは、攻撃者は流出した認証情報のリストをもとに、ボットなどの自動化ツールを利用して大量のログインを試みます。
そのため、短時間にログイン試行数やログイン失敗数が急増する傾向があります。
他にも、特定のIPアドレスやセッションから多数のアカウントへログインが試行されている場合や、すでに無効化されたアカウントに対してログインが繰り返し試行されている場合も、クレデンシャルスタッフィングが疑われます。
さらに、通常はアクセスのない国・地域から大量のログイン試行が発生している場合も、自動化ツールを利用した攻撃である可能性があります。
また正規ユーザーは、1～2回程度の入力ミスを除けばログインに成功するケースがほとんどです。
一方、クレデンシャルスタッフィングでは、無効な認証情報やアカウントロック、CAPTCHAなどによってログインが失敗するケースが多く、ログイン試行回数に対する成功率が極端に低くなる傾向があります。
そのため、ログイン試行回数が急増しているにもかかわらず成功率が著しく低い場合は、クレデンシャルスタッフィングを受けている可能性を疑い、ログやアクセス状況を速やかに確認することが重要です。
クレデンシャルスタッフィングの被害事例
ここでは、実際にクレデンシャルスタッフィングによって発生した被害事例を2件紹介します。
国内の事例
2025年9月、ゲーム・アプリ事業やカードゲーム事業を展開する国内の大手企業が、自社が運営するオンラインサイトにおいて、クレデンシャルスタッフィングによる不正ログインが発生し、ユーザーの個人情報が漏洩した可能性があると発表しました。
攻撃者は、他社サービスから不正に入手したID・パスワードを使ってログイン試行し、一部のユーザーのアカウントへの不正ログインに成功しました。
さらに一部アカウントにおいては、不正にパスワードの再設定が行われ、会員情報が変更されたことも確認されています。
これを受け、当該企業は不正ログインが確認されたアカウントを停止するとともに、二要素認証を導入するなど、不正なパスワード変更を防止するための対策を実施しました。
海外の事例
2025年1月、韓国の大手小売企業では、クレデンシャルスタッフィングによる不正アクセスが発生し、約9万人分の個人情報が漏洩する事案が発生しました。
攻撃者は、さまざまな経路から入手したID・パスワードを利用してログインを試行し、認証情報を使い回していたユーザーアカウントへの不正ログインに成功したとみられています。
さらに約1か月後には、同様の攻撃により、同社が運営するホームショッピングサイトでも約158万件の顧客情報が追加で流出したことが明らかになりました。
当該企業は、攻撃元のIPアドレスを遮断するとともに、対象アカウントをロックするなどの対策を実施したと説明しています。
クレデンシャルスタッフィングへの対策
クレデンシャルスタッフィングを防ぐために、サービスを提供する企業・組織が実施すべき主な対策は以下の通りです。
- 多要素認証の導入
- 条件付きアクセスの導入
- ログイン試行回数の制限
- ボット対策の実施
- 従業員への情報セキュリティ教育の実施
それぞれの対策について詳しく確認していきましょう。
多要素認証の導入
多要素認証（MFA）を導入することで、仮にID・メールアドレス・パスワードが流出した場合でも、不正ログインのリスクを大幅に低減できます。
多要素認証とは、「知識情報」「所持情報」「生体情報」のうち、2つ以上の要素を組み合わせて本人確認を行う認証方式です。
| 知識情報 | ・パスワードなどの特定のユーザーのみが知っている情報 |
|---|---|
| 所持情報 | ・スマートフォンやICカードなど利用者本人が所持している情報 |
| 生体情報 | ・指紋や静脈、顔、虹彩など、本人固有の身体情報 |
クレデンシャルスタッフィングでは、攻撃者は流出した認証情報を悪用してログインを試みます。
しかし、多要素認証を導入していれば、パスワードが漏洩していても、所持情報や生体情報による追加認証を突破できなければログインできません。
そのため、多要素認証はクレデンシャルスタッフィング対策として特に有効な手段の一つです。
クラウドサービスやリモートアクセス環境を提供する企業・組織では、優先的に導入を検討することが推奨されます。
条件付きアクセスの導入
条件付きアクセスとは、ユーザーやデバイス、アクセス元の場所など、あらかじめ設定した条件に応じてシステムへのアクセスを許可または制限する仕組みです。
例えば、業務で利用するクラウドサービスに対して、企業・組織が管理するデバイスからのアクセスのみを許可し、それ以外のデバイスからのアクセスをブロックするといった運用が可能です。
前述の通り、クレデンシャルスタッフィングでは、攻撃者が正しいID・パスワードを悪用するケースもあるため、ID・パスワードだけでは不正アクセスを見分けることが困難です。
しかし、条件付きアクセスを導入していれば、認証情報が正しくても、未登録のデバイスや通常とは異なる国・地域からのアクセスであれば、アクセスを拒否できます。
このように、ID・パスワードだけで認証を判断しない仕組みを構築することで、クレデンシャルスタッフィングによる不正ログインの防止につながります。
ログイン試行回数の制限
クレデンシャルスタッフィングは、流出したID・パスワードの組み合わせを利用し、短時間に大量のログインを試みる攻撃です。
そのため、「5回連続でログインに失敗した場合は、一定時間アカウントをロックする」など、ログイン試行回数を制限することで、不正ログインのリスクを大幅に低減できます。
また、不審なログインが一定回数以上発生した際に、セキュリティチームへ通知する仕組みを導入しておくことで、不正アクセスを早期に検知し、迅速に対応することも可能です。
ボット対策の実施
クレデンシャルスタッフィングでは、ボットなどの自動化ツールを利用して大量のログインが試みられます。
そのため、CAPTCHAを導入し、ボットによる機械的なログインを防ぐことは有効な対策の一つです。
「CAPTCHA」とは、アクセスしているのが人間かボットかを判別するためのセキュリティ技術です。
例えば、「私はロボットではありません」というチェックボックスへのチェックや、画像・文字の認識など、人間には比較的簡単でもボットには難しい課題を提示することで、自動化されたアクセスを判別します。
CAPTCHAを導入すると、利用者に一定の操作を求めるため利便性が低下する場合があります。
しかし、自動化ツールによる大量のログインを抑制できるため、クレデンシャルスタッフィング対策として有効です。他の認証・アクセス制御と組み合わせて導入することで、より高い効果が期待できるでしょう。
従業員への情報セキュリティ教育の実施
サービスを提供する企業・組織において、従業員の情報セキュリティに対する理解が不十分な場合、認証情報の漏洩につながるような行動を取ってしまう可能性があります。
- 同じパスワードを複数のサービスで使い回す
- 不審なメールやリンク、添付ファイルを開く
- 多要素認証（MFA）を有効化しない
どれだけ高性能なセキュリティソリューションを導入していても、従業員の不適切な行動によって認証情報が漏洩すれば、攻撃者に悪用され、クレデンシャルスタッフィングによる不正ログインにつながる可能性があります。
そのため、企業・組織は従業員に対して情報セキュリティ教育を実施し、クレデンシャルスタッフィングの仕組みや危険性に加え、認証情報の適切な管理方法やフィッシングメールへの対処方法、実際の被害事例などを継続的に周知することが重要です。
情報システム担当者 1,000人に聞いた！
“IT資産管理ツールのクラウド移行”実態調査
8割以上のユーザーが「クラウドIT資産管理ツール」の導入を検討していると回答しています。
クレデンシャルスタッフィングを受けた場合の対処法
クレデンシャルスタッフィングが疑われる場合は、被害の拡大を防ぐために、速やかに以下の対処を実施しましょう。
- 影響範囲の特定
- パスワードの変更
- 多要素認証（MFA）の有効化
- セッションの失効
まずは、「どのアカウントが侵害されたのか」「どの情報へアクセスされたのか」などを調査し、影響範囲を特定します。
次に、侵害されたアカウントだけでなく、同じ認証基盤を利用するアカウントや管理者アカウントなど、高い権限を持つアカウントのパスワードも変更しましょう。
多要素認証（MFA）が未設定の場合は、攻撃者による再ログインを防ぐため、速やかに有効化することが重要です。
また、攻撃者がログイン状態を維持している可能性もあるため、対象アカウントのセッションを失効させ、必要に応じて全ユーザーのセッションも無効化しましょう。
さらに、侵害されたアカウントのユーザーに対しては、アカウント情報が変更されていないか、他のサービスでも同じID・パスワードを使い回していないかなどを確認し、必要に応じて他サービスの認証情報も変更するよう案内することが重要です。
クレデンシャルスタッフィング対策に「LANSCOPE プロフェッショナルサービス」の脆弱性診断
クレデンシャルスタッフィングをはじめとする認証情報を狙った不正アクセスへの対策には、定期的な脆弱性診断の実施も有効です。
クレデンシャルスタッフィングを防ぐには、本記事で紹介したように、多要素認証やログイン試行回数の制限など、さまざまな対策を講じることが重要です。
しかし、これらの対策が適切に実装・設定・運用されていなければ、十分な効果は期待できません。
そのため、自社の認証機能やアクセス制御に脆弱性や設定不備がないかを第三者の視点で確認し、改善点を把握するために、専門家による診断を活用することも有効です。
LANSCOPE プロフェッショナルサービスでは、お客様の環境に応じた脆弱性診断を実施し、認証周りの脆弱性やクラウドサービスの設定不備を可視化します。
セキュリティ診断（脆弱性診断）サービスでは、サーバーやネットワーク、Webアプリケーションを対象に、認証機能の脆弱性を診断します。
主な診断項目は以下の通りです。
- アカウントロック機能が適切に設定されているか
- 多要素認証（MFA）が導入されているか
- エラーメッセージから認証情報を推測できないか
- パスワードポリシーが適切か
診断結果をもとに改善すべき課題を洗い出すことで、クレデンシャルスタッフィングへの耐性強化につなげられます。
また、Microsoft 365やAWSなどのクラウドサービスを利用している企業・組織向けに、「クラウドセキュリティ診断サービス」も提供しています。
多要素認証やアクセス制御、セッション管理などの設定を確認し、不正アクセスやクレデンシャルスタッフィングにつながるリスクの低減を支援します。
具体的な診断内容について詳しく知りたい方は、以下のページ・資料をご確認ください。
認証情報を一元管理するなら「LANSCOPE IDアクセスマネージャー」
クレデンシャルスタッフィングを防ぐには、多要素認証や条件付きアクセスなど、認証機能を適切に運用することが重要です。
しかし、クラウドサービス一つひとつに認証設定を管理していると、設定漏れや運用ミスが発生し、不正アクセスのリスクにつながる可能性があります。
そこで有効なのが、ID・認証を一元管理できるIDaaSです。
「LANSCOPE IDアクセスマネージャー」は、シングルサインオン（SSO）や多要素認証（MFA）、条件付きアクセスなどを一元的に提供するクラウド型の認証基盤です。
例えば、サービスごとに認証ルールを設定したり、利用するユーザーやアクセス元に応じて認証方式を適用したりできるため、認証情報が漏洩した場合でも、不正ログインのリスク低減につながります。
また、管理対象デバイスからのアクセスのみを許可したり、アクセス元のIPアドレスや国・地域、利用状況に応じて追加認証を要求したりすることも可能です。
認証ポリシーを一元管理できるため、複数のクラウドサービスに対して統一した認証ルールを適用でき、設定漏れの防止や運用負荷の軽減にも役立ちます。
認証情報を狙った不正アクセス対策を強化したい企業・組織は、ぜひ導入をご検討ください。詳しい機能や導入イメージについては、下記の資料をご確認ください。
3分でわかる！
LANSCOPE ID アクセスマネージャー
複雑なID・認証の運用をシンプルにする「LANSCOPE ID アクセスマネージャー」について、特長や活用方法を解説します。
まとめ
本記事では「クレデンシャルスタッフィング」をテーマに、攻撃の仕組みや兆候、有効な対策などを解説しました。
本記事のまとめ
- クレデンシャルスタッフィングとは、他のサービスから流出した認証情報を悪用し、複数のWebサイトやアプリケーションへのログインを試みる攻撃手法
- 攻撃者がクレデンシャルスタッフィングを行う主な理由として、「攻撃コストが低い」「認証情報を使い回している利用者が一定数存在する」「価値の高いアカウントを狙える」ことなどが挙げられる
- ログイン失敗数の急増や、通常とは異なる国・地域からの大量のログイン試行などは、クレデンシャルスタッフィングが疑われる兆候の一つ
- クレデンシャルスタッフィング対策として、多要素認証や条件付きアクセスによる認証強化に加え、ログイン試行回数の制限やボット対策、従業員への情報セキュリティ教育などを実施することが重要
クレデンシャルスタッフィングは、1回あたりの成功率は決して高くありません。
しかし、認証情報を大量に試行することで不正ログインに成功する可能性があり、顧客情報の漏洩やアカウントの乗っ取り、不正購入などの被害につながる恐れがあります。
企業・組織が提供するサービスで不正ログインを許してしまうと、利用者への被害だけでなく、企業の信用低下や事業への影響にもつながりかねません。
そのため、多要素認証や条件付きアクセスなどの認証強化に加え、定期的な診断による設定不備の確認や継続的な見直しを行い、クレデンシャルスタッフィングへの対策を徹底しましょう。
おすすめ記事
