クレデンシャルスタッフィング

📖 もうちょい詳しく

何が新しいの？

クレデンシャルスタッフィングは、どこかの会社から流出したIDとパスワードの一覧を使い、別のサイトでそのままログインを試す攻撃です。クレデンシャルとは「ログインに使う認証情報」、つまりIDとパスワードの組のことです。多くの人が同じパスワードを複数のサイトで使い回すため、ひとつの流出が他のサービスにも飛び火する点が、この攻撃のこわさです。

どうやって動いてるの？

攻撃者は、流出した何万件もの組をリストにして、自動化ツール（プログラムで何度もログインを試す道具）にかけます。1件ずつ手で入れるのではなく、機械が高速で大量に試すのが特徴です。使い回しのアカウントに当たると、そのまま正規の利用者になりすましてログインできてしまいます。

何ができるの？（攻撃者側の話）

ログインが通ると、登録された個人情報をのぞいたり、ポイントや残高を盗んだり、そのアカウントをさらに別の攻撃に使ったりします。利用者から見ると「正しいパスワードで入られている」ため、見破りにくいのも厄介な点です。

🌱 身近なたとえ

落とした鍵束で例えると分かりやすいです。あなたが自宅の鍵を落とし、誰かが拾ったとします。その人が「同じ鍵で会社のロッカーも開くかも」と考え、片っぱしから試して回るのがこの攻撃です。鍵（パスワード）を場所ごとに変えていれば、ひとつ落としても他は開きません。

✅ まず覚えるポイント

• 流出ずみのIDとパスワードを「別のサイトで」試す攻撃です
• パスワードの使い回しが、被害が広がる一番の原因です
• 自動化ツールで大量・高速に試されます
• 正しいパスワードで入られるため、見つけにくいです
• サイトごとに違うパスワードを使うのが基本の対策です

🧭 よくある勘違い

パスワードが複雑なら防げる？

複雑さだけでは防ぎきれません。この攻撃で使われるのは「すでに正解だと分かっているパスワード」です。どんなに長く複雑でも、それが他のサイトと同じなら、流出した時点でそのまま通ってしまいます。大事なのは複雑さよりも「使い回さないこと」です。

自分のサイトが破られたわけではないのに、なぜ被害が？

このサイト自体は無事でも、あなたが「別の場所で」使っていた同じパスワードが流出すると、その情報を使ってこのサイトでログインされてしまいます。原因は手元のサービスではなく、過去にどこかで起きた流出にあることが多いです。

🧩 関連して覚えると楽な言葉

• authentication（認証）: 本人かどうかを確かめる仕組み。この攻撃はそこを正規の手順ですり抜けます
• password-manager（パスワードマネージャー）: サイトごとに違うパスワードを作って覚えてくれる道具。使い回しを防ぐ近道です
• mfa（多要素認証）: パスワードに加えてもう一段の確認を足す方法。パスワードが破られても止めやすくなります
• phishing（フィッシング）: 偽サイトでIDとパスワードを盗む手口。盗まれた情報がこの攻撃の燃料になります

🏁 ひとことでまとめ

使い回しのパスワードが、よそでの流出をきっかけに別のサイトでも破られてしまう攻撃です。サイトごとにパスワードを変え、もう一段の確認を足すのが効きます。