データプライバシーにはクレデンシャルスタッフィング対策が不可欠

Jim Downey

2022年6月27日、130を超えるデータ保護・プライバシー規制当局および執行機関で構成される団体であるGlobal Privacy Assembly（GPA）は、初のクレデンシャルスタッフィングに関する政府間ガイドラインを公表しました。このガイドラインでは、クレデンシャルスタッフィングが世界規模で個人データにリスクをもたらすこと、またデータ保護法により、組織にはクレデンシャルスタッフィングへの対策が求められることが示されています。

F5は、このガイドラインの策定に参加できたことを誇りに思うとともに、GPAから評価を受けたことに感謝しています。F5は以前から、クレデンシャルスタッフィングの脅威を認識してきました。「クレデンシャルスタッフィング」という用語を考案したのは、当時、米国防総省で国防次官補代理を務めていたF5のSumit Agarwalです。この知見をきっかけに、2011年、ボット管理の主要ベンダーとしてShape Security（現在はF5の一部）が設立されました。現在もF5は、世界最大規模の銀行、eコマース小売業者、航空会社、ホスピタリティ事業者、ソーシャルメディア企業を、クレデンシャルスタッフィングとそれに関連する脅威から保護し続けています。

GPAの常設作業部会である国際執行協力作業部会（IEWG）が公表した新しいガイドラインでは、クレデンシャルスタッフィングの実行方法や、その蔓延を促す攻撃者側の経済的要因について説明しています。また、クレデンシャルスタッフィングが世界的な懸念事項であり、データプライバシー法に組み込む必要がある理由を示すとともに、その被害を軽減するための複数の方法を概説しています。

GPAのガイドラインは、政府機関が最近発した複数の警告を踏まえたものです。2022年1月5日、ニューヨーク州司法長官室は、企業向けガイドを発行し、クレデンシャルスタッフィングの急増と、企業が予防措置を講じる必要性について説明しました。2020年9月15日、米国証券取引委員会は、SEC登録の投資顧問業者およびブローカー・ディーラーを狙ったクレデンシャルスタッフィングの急増に関するリスクアラートを発行しました。2020年9月10日、米国連邦捜査局は、米国の金融機関を狙ったクレデンシャルスタッフィング攻撃が相次ぎ、50,000件を超えるアカウントに影響を及ぼし、通知と修復の費用だけで企業に年間平均600万ドルの損失をもたらしていると警告する民間業界向け通知を発行しました。こうしたインシデントは、最高プライバシー責任者にも引き続き影響を及ぼしています。その一例として、General Motorsを狙った大規模なクレデンシャルスタッフィング攻撃を取り上げた最近のCPO記事が挙げられます。

クレデンシャルスタッフィングとは、犯罪者が盗んだ認証情報をWebサイトで試し、アカウントを乗っ取るサイバー犯罪です。犯罪者は、ボットと呼ばれる自動化ツールを使用して、こうした攻撃を大規模に実行します。これは、次の理由から投資収益率（ROI）が高く、極めて効果的なサイバー犯罪です。1）盗まれた認証情報を容易に入手できる、2）最大60%の人が複数のアカウントでパスワードを使い回している（FBIによると）、3）多くの組織がCAPTCHAやIP拒否リストなど、効果の低い緩和策に依存している。

盗まれた認証情報の数は驚異的です。F5 Labs 2021 Credential Stuffing Reportによると、2020年だけで18億6,000万件の認証情報が盗まれました。GPAガイドラインでは、2013年のYahooの情報漏えいのような大規模な情報漏えいにより、数十億件の認証情報が流出したと指摘しています。攻撃者は、情報漏えいが公表されるまでの数年間、盗まれた認証情報を悪用できる可能性があります。

「……民間部門の調査では、2017年11月から2019年3月までの間に、ゲーム業界で550億件のクレデンシャルスタッフィング攻撃が確認されました。これは、月間30億件超、1日当たり1億700万件超に相当します。さらに別の調査では、2020年に世界全体で1,930億件のクレデンシャルスタッフィング攻撃が確認されました。これは、月間160億件超、1日当たり5億件超に相当します。」

GPAのガイドラインでは、こうしたプライバシー侵害の被害者は、金銭的損失にとどまらず、侵害されたアカウントを使って偽情報を流されたり、本人について虚偽の発言をされたりすることで、評判を損なうなどの被害を受ける可能性があるとも指摘しています。このようなプライバシー侵害が人生を台無しにしかねないことは、容易に想像できます。

最も重要な点として、このガイドラインは、EUのGDPRおよび米国連邦取引委員会のSafeguards Ruleの具体的な規定を引用し、組織はクレデンシャルスタッフィングへの対策を、データプライバシー法で義務付けられる「適切な」セキュリティ対策の1つとして検討すべきだと結論付けています。

「クレデンシャルスタッフィング攻撃が個人データにもたらす明白な脅威（特に、オンラインでアクセス可能なユーザーアカウントを持つ組織に対する脅威）と、その結果として生じ得る不正な処理やアクセスを踏まえると、クレデンシャルスタッフィング攻撃から個人データを保護するための対策の実施は、少なくとも暗黙の要件として、データ保護法およびプライバシー法に基づき一般に求められます」

GPAのガイドラインでは、クレデンシャルスタッフィングから保護するため、複数の緩和策を検討するよう組織に推奨しています。

• 認証情報を一切使用しないゲスト購入
• パスワードの再利用リスクを最小限に抑える強力なパスワードポリシー
• シングルサインオン（SSO）など、パスワードに代わる認証方式
• 多要素認証（MFA）
• セカンダリパスワードとPIN
• デバイスフィンガープリンティング
• 推測困難なユーザー名
• 漏えいしたパスワードの特定
• レート制限
• ログインページとプロセス（多段階ログイン）
• アカウントの監視／検知
• 匿名ネットワーク（TORなど）に対する追加チェック
• CAPTCHA
• WAF
• IPブロックリストと許可リスト
• インシデント対応計画とユーザーへの通知

これらは確かに有効な手法であり、クレデンシャルスタッフィング攻撃の緩和に貢献してきました。組織に最適なアプローチを検討する際には、この分野で長年にわたりイノベーションを推進してきたF5は、ユーザーエクスペリエンスを損なわず、アプリケーションの再設計も必要とせずに、ボットをリアルタイムで効果的に緩和できる手法を検討することを推奨します。

セカンダリパスワードやPIN、推測されにくいユーザー名、複数ステップのログインページは保護の強化に役立つ一方で、ユーザーの負担が増えるという代償を伴います。顧客のコンバージョン率を高め、カート放棄を減らしたい企業は、顧客が購入に至るまでの障壁を設けないことが重要です。ゲスト購入も有効な場合がありますが、組織はパーソナライズされたターゲット型の体験を提供できなくなります。MFAも効果的ではあるものの、ユーザーの負担が増えるうえ、犯罪者から執拗に狙われています。

CAPTCHAも同様にユーザーの負担を増やすうえ、多くの人が考えているほど効果的な防御策ではありません。機械学習やクリックファームを利用するCAPTCHA解読サービスにより、ボットは低コストでCAPTCHAを回避できます。（Dan Woodsの体験談については「人間CAPTCHA解読者の物語」をご覧ください。）

F5と連携した組織は、IPブロックリストや静的なWAFルールの維持が極めて困難であることに気付いています。プロキシサービスを利用すれば、ボットは数百万もの有効な住宅用IPアドレスを使用できます。一方、ボットはブロックされるたびに数時間以内に手法を変えます。このようなアプローチでは、セキュリティチームは勝ち目のない「もぐらたたき」を強いられます。

同様に、アカウントの監視と検知、インシデント対応計画、ユーザーへの通知はいずれも重要であり、ボット管理プログラムに組み込む必要があります。しかし、これらは事後的な対策です。幸い、犯罪者によるアカウントの乗っ取りを未然に防ぐ手法があります。

F5は、自社とそのお客さまを守ることに尽力する組織と連携し、クレデンシャルスタッフィングに起因する不正行為からの保護を支援すると同時に、お客さまに満足いただける優れたデジタルエクスペリエンスを提供し、今日の競争の激しい市場での成功を後押しします。F5は、お客さまからの信頼を獲得してきました。ユーザーに負担をかけることなく、現在利用可能な最高水準の有効性でボットから保護することによって実現したものです。このテクノロジーは、デバイス環境とボットの行動特性を網羅するJavaScriptおよびモバイルネイティブシグナルに関する長年の研究開発を基盤としています。これらのシグナルに基づくリアルタイム検知に加え、F5 Distributed Cloud Bot Defenseには、ボットの手法変更を迅速に検知して対応する機械学習分析サービスが含まれています。長期的な有効性を確保するため、シグナル収集コードには高度な難読化技術が適用され、リバースエンジニアリングやシグナルの改ざんを防止します。

F5は、サイバーセキュリティを一人ひとりに関わる問題として捉えています。組織を欺き、個人に深刻な被害をもたらすクレデンシャルスタッフィング攻撃は、まさにF5が解決に取り組むべき問題です。F5のGlobal Head of IntelligenceであるDan Woodsが「Fast Company」で指摘しているように、これまでこうした攻撃には十分な注意が払われてきませんでした。幸いにも、GPAや複数のプライバシー保護機関が、個人のプライバシーに及ぼすリスクに注目を集めています。

「Colonialへの攻撃は、サイバーセキュリティに対する一般の認識とメディアの論調との間に明らかな隔たりがあることを浮き彫りにしました。何百万人もの人々に多少の不便を強いれば、国際的な見出しになります。一方、個別の詐欺で何千もの家族から生涯の蓄えを奪い、生活を破綻させても、何の反応もありません。」

生活の多くがオンライン上のデータとして保存されるデジタル時代において、私たちは組織がデータプライバシーを極めて真剣に扱うことを期待しています。その重要性は、世界各国の政府が制定するプライバシー法がますます厳格化していることからも明らかです。GDPRなどのデータプライバシー法は、プライバシーを保護するために、組織があらゆる適切な措置を講じることを求めています。クレデンシャルスタッフィングについて現在明らかになっている事実を踏まえ、これらのGPAガイドラインでは、クレデンシャルスタッフィング対策を、あらゆる組織が講じるべき適切な措置に含める必要があることを明確に示しています。

ボット対策のROIについて詳しくは、Forrester Total Economic Impact Reportをご覧ください。詳細の確認やF5のボット専門家への相談予約は、f5.com/bot-defenseから行えます。

著者について

Jim Downey

Jim Downeyのその他のブログ記事