クレデンシャルスタッフィング とは？

この攻撃は、すでに漏れたIDとパスワードの組を使うんだ。同じ組を別のサービスでも使っていると、そこへのログインにも成功する可能性がある。認証情報を使い回すことが、被害の広がる理由になるよ。

総当たりは、パスワードの候補を次々に試す攻撃。パスワードスプレーは、よく使われる少数のパスワードを、多くのアカウントに試す攻撃だよ。クレデンシャルスタッフィングは、漏えいしたIDとパスワードの組を持ち込む点が特徴なんだ。

サービスごとに異なるパスワードを使おう。パスワードマネージャーを利用すると、長く異なるものを管理しやすい。多要素認証も有効にすると、パスワードだけを入手した攻撃への備えを増やせるよ。ただし、それだけであらゆる攻撃を防ぐという意味ではないんだ。

それも対策の一部だよ。ただし攻撃元のIPアドレスを多数に分散させる場合もあるので、単一のIP制限だけに頼らないことが大切。アクセスの状況やアカウント単位の異常検知、多要素認証などを組み合わせる。CAPTCHAも単独で完全な対策にはならないよ。

Have I Been Pwnedでは、登録された漏えい情報にメールアドレスなどが含まれるかを確認できるよ。ただし、その結果だけで今使うパスワードが漏れたとは断定できず、見つからなくても安全の証明にはならない。パスワードの使い回しをやめ、該当サービスの案内に沿って対処しよう。