パスワードリスト攻撃（クレデンシャルスタッフィング）とは？
パスワードリスト攻撃（クレデンシャルスタッフィング）とは、過去の情報漏洩で流出したID・パスワードのリストを使って、他のサービスへのログインを試みるサイバー攻撃です。多くの人が複数のサービスで同じパスワードを使い回している習慣を悪用し、一つのサービスから漏れた認証情報で、銀行、SNS、通販サイトなど別のサービスへの不正アクセスを狙います。
総当たり（ブルートフォース）とは異なり、すでに正しいと分かっているパスワードを使うため、成功率が高く、お金・アカウントを守るセキュリティ対策を効率的に突破できる特徴があります。
パスワードリスト攻撃（クレデンシャルスタッフィング）を簡単に言うと？
あるお店で盗まれた合鍵を使って、泥棒があなたの自宅や会社、車など、他の場所の鍵穴も試していく状況に似ています。多くの人は面倒なので、家も車も同じ鍵を使っているため、一つの鍵が盗まれると、他の場所も次々と開けられてしまいます。デジタルの世界では、一つのサービスで漏れたパスワードが「合鍵のコピーリスト」として闇市場で出回り、攻撃者はそのリストを使って様々なサービスのドアを自動的に試し続けます。
パスワードリスト攻撃（クレデンシャルスタッフィング）で発生する被害は？
パスワードリスト攻撃（クレデンシャルスタッフィング）による被害は、一つのパスワード漏洩が複数のサービスでの被害に連鎖する点で深刻です。攻撃者は自動化ツールを使って短時間に大量のアカウントへのログインを試みるため、被害が広範囲かつ同時多発的に発生します。お金・アカウントを守るための防御が一箇所でも破られると、デジタル生活全体が危険にさらされます。
パスワードリスト攻撃（クレデンシャルスタッフィング）で発生する直接的被害
- 複数サービスでの同時被害
一つの流出したパスワードで、銀行口座、ECサイト、SNS、メールアカウントなど、複数のサービスに同時に不正アクセスされます。攻撃者は優先順位をつけて金銭価値の高いサービスから侵入するため、被害額が一気に膨らみます。
- 金融資産の不正流出
オンラインバンキングやクレジットカード情報が登録されたサービスに侵入され、預金の引き出し、送金、高額商品の購入などが実行されます。電子マネーやポイントサービスも標的となり、貯めていたポイントが勝手に使用されたり、現金化されたりします。
- 個人情報の大量流出
メールアカウントやクラウドストレージに保存されている個人情報、家族の写真、仕事の機密文書などが盗まれます。流出した情報は他のサイバー攻撃の材料として使われたり、ダークウェブで売買されたりします。企業アカウントの場合は、顧客データベース全体が流出する可能性もあります。
パスワードリスト攻撃（クレデンシャルスタッフィング）で発生する間接的被害
- 連鎖的なアカウント乗っ取り
乗っ取られたメールアカウントを使って、他のサービスのパスワードリセット申請が実行され、さらに多くのアカウントが芋づる式に支配されます。攻撃者はメール内の情報から、被害者が利用している全サービスを特定し、体系的に侵入を試みます。
- 詐欺行為への悪用と社会的信用の喪失
乗っ取られたSNSアカウントやメールアカウントから、友人や取引先に詐欺メッセージが送信され、被害が周囲に拡大します。「あなたのアカウントから怪しいメッセージが来た」と連絡を受けることで、人間関係や取引関係に亀裂が生じます。
- 復旧コストと機会損失
複数のアカウントが同時に乗っ取られると、すべてのパスワード変更、クレジットカードの再発行、各サービスへの問い合わせなど、復旧作業に膨大な時間がかかります。その間、オンラインサービスが利用できず、仕事やプライベートの活動が制限されます。企業の場合はシステム停止による売上機会の損失も発生します。
パスワードリスト攻撃（クレデンシャルスタッフィング）の対策方法
パスワードリスト攻撃（クレデンシャルスタッフィング）の対策で最も重要なのは、サービスごとに異なるパスワードを使用することです。一つのパスワードが漏洩しても、他のサービスへの影響を防げます。しかし、すべて異なる複雑なパスワードを記憶するのは現実的ではないため、パスワード管理ツールの利用が推奨されます。
多要素認証（MFA）の有効化も効果的なセキュリティ対策です。パスワードが漏れていても、スマートフォンへの認証コード送信や生体認証などの追加確認があれば、不正アクセスを阻止できます。特に金融サービスや重要なアカウントでは必ず設定しましょう。
適切なパスワード変更、情報漏洩チェックサービスの利用、不審なログイン通知の確認も重要です。企業側の対策としては、ログイン試行回数の制限、不審なIPアドレスからのアクセスブロック、CAPTCHAの導入などがあります。
パスワードリスト攻撃（クレデンシャルスタッフィング）の対策を簡単に言うと？
家ごとに異なる鍵を用意し、それぞれをキーボックスに安全に保管するイメージです。自宅、車、オフィス、倉庫すべてに別々の鍵を使えば、一つの鍵が盗まれても他は安全です（サービスごとに異なるパスワード）。しかし複数の鍵を持ち歩くのは大変なので、頑丈な鍵保管ボックスを使います（パスワード管理ツール）。さらに各ドアに指紋認証も追加すれば（多要素認証）、鍵を持っているだけでは開けられなくなります。そして定期的に鍵を交換し（パスワード変更）、防犯カメラで不審者をチェックします（ログイン履歴の確認）。
パスワードリスト攻撃（クレデンシャルスタッフィング）に関連した攻撃手法
不正アクセスは、パスワードリスト攻撃（クレデンシャルスタッフィング）が目指す最終的な結果です。流出したパスワードリストを使ってパスワードリスト攻撃（クレデンシャルスタッフィング）を実行し、不正アクセスに成功すると、攻撃者は正規ユーザーと同じ権限でシステムやアカウントを操作できます。パスワードリスト攻撃（クレデンシャルスタッフィング）は不正アクセスを実現するための具体的な手法の一つと言えます。
総当たり（ブルートフォース）は、パスワードリスト攻撃（クレデンシャルスタッフィング）と比較されることが多い攻撃手法です。総当たり（ブルートフォース）があらゆるパスワードの組み合わせを試すのに対し、パスワードリスト攻撃（クレデンシャルスタッフィング）は実際に使われているパスワードだけを試すため、はるかに効率的で成功率も高くなります。両者とも自動化ツールを使ってお金・アカウントを守る認証システムを突破しようとします。
アカウント乗っ取り（ATO）は、パスワードリスト攻撃（クレデンシャルスタッフィング）が成功した後に発生する被害の形態です。パスワードリスト攻撃（クレデンシャルスタッフィング）でログインに成功した攻撃者は、パスワードやメールアドレスを変更してアカウント乗っ取り（ATO）を完成させます。その後、乗っ取ったアカウントを使って詐欺行為を働いたり、さらなるサイバー攻撃の足がかりにしたりします。
パスワードリスト攻撃（クレデンシャルスタッフィング）のよくある質問
「Have I Been Pwned」などの情報漏洩チェックサービスを利用することで、自分のメールアドレスやパスワードが過去の漏洩事件に含まれているか確認できます。これらのサービスは信頼できる情報源から収集したデータベースを基に、無料でチェック機能を提供しています。もし漏洩が確認された場合は、該当するサービスのパスワードをすぐに変更し、同じパスワードを使っている他のサービスも変更することが重要です。
評判の良いパスワード管理ツールは、強力な暗号化技術を使ってパスワードを保護しており、すべてのサービスで異なるパスワードを使うよりもはるかに安全です。マスターパスワード一つを覚えるだけで、他の複雑なパスワードはツールが管理してくれます。ただし、マスターパスワード自体は非常に強力なものにし、多要素認証を必ず有効にしてください。有名なサービスとしては、1Password、Bitwarden、LastPassなどがあります。
多要素認証は非常に効果的なセキュリティ対策ですが、完全ではありません。SMS認証はSIMスワップ攻撃で突破される可能性があり、一部の多要素認証はフィッシング攻撃で迂回されることもあります。より安全な方法として、認証アプリ（Google AuthenticatorやMicrosoft Authenticator）や物理的なセキュリティキー（YubiKeyなど）の使用が推奨されます。それでも多要素認証は、お金・アカウントを守るために必須の対策です。
企業は短時間に大量のログイン試行が発生していないか、異常なIPアドレスからのアクセスパターン、通常と異なる地域や時間帯からのログインなどを監視しています。機械学習を使った異常検知システムや、リアルタイムでの脅威情報データベースとの照合も行われます。ユーザー側でも「新しいデバイスからのログイン通知」などの機能を有効にすることで、不審なアクセスに早期に気付けます。
攻撃者が使うパスワードリストは、主に過去の大規模な情報漏洩事件で流出したデータから作られます。大手企業のデータベースがハッキングされると、数百万から数億件のID・パスワードがダークウェブで売買されます。また、フィッシング詐欺で騙し取られた情報や、マルウェアで盗まれた認証情報も含まれます。これらのリストは「コンボリスト」と呼ばれ、サイバー攻撃の道具として広く流通しています。
以前は定期的な変更が推奨されていましたが、現在の考え方は変わってきています。頻繁な変更を強制すると、ユーザーが簡単なパスワードを選んだり、規則性のある変更（末尾の数字を変えるだけなど）をしたりして、かえって安全性が下がる可能性があります。重要なのは、強力で推測されにくいパスワードを設定し、情報漏洩が疑われる場合や不審なアクセスがあった場合に速やかに変更することです。パスワード管理ツールを使えば、強力なパスワードの管理が容易になります。
更新履歴
- 初稿公開
