アイデンティティ脅威を数値で検証：認証リクエストの5件に1件が悪意あるもの

F5 Labsの調査によると、認証リクエストの19.4%は、クレデンシャルスタッフィング攻撃によるものである可能性があります。

緩和策により攻撃の発生率は3分の2以上低下するものの、その後の攻撃はより巧妙化します。

盗まれた認証情報の75%は、出所が不明です。

シアトル発 — F5 Labsの最新調査により、認証リクエストの5分の1が悪意のある自動化システムから送信されており、デジタルアイデンティティがサイバーセキュリティの攻防の場となっていることが明らかになりました。

The 2023年アイデンティティ脅威レポート：パッチを適用できないものでは、2022年3月から2023年4月までに159組織のシステムで発生した3,200億件のデータトランザクションを分析しました。

緩和策を講じていない場合、クレデンシャルスタッフィングを強く示唆する自動化率は平均19.4%でした。悪意のあるトラフィックをプロアクティブに緩和した場合、この割合は3分の2以上減少し、6%となりました。

クレデンシャルスタッフィング攻撃では、悪意のある攻撃者が、あるシステムから盗んだユーザー名とパスワードを利用して、別のシステムへの侵入を試みます。その中核となるのが自動化ツールであり、攻撃者は試行回数を最大限に増やすことができます。

「デジタルアイデンティティは以前から攻撃者の主要な標的であり、非人間アイデンティティの普及に伴って脅威が拡大しています」と、F5 LabsのThreat Research EvangelistであるSander Vinbergは述べています。「今回の調査から、デジタルアイデンティティがどの程度攻撃にさらされているか、また効果的な緩和策がいかに重要かが明らかになりました。特に、保護対策を導入すると悪意のある自動化の利用が直ちに低い水準まで減少し、攻撃者はより容易な標的を求めて攻撃を断念する傾向があるという一貫したパターンが確認されました」

緩和策の導入前後

この調査では、緩和策がクレデンシャルスタッフィング攻撃に及ぼす影響を重点的に検証しました。緩和策によって攻撃者の行動が変化し、悪意のある自動化の利用が減少する傾向が見られました。

F5 Labsの調査では、緩和策を講じていない場合、Webエンドポイントよりもモバイルエンドポイントに対する攻撃が多いことが判明しました。緩和策の導入後は、モバイルへの攻撃がより大きく減少し、その後の攻撃はWebエンドポイント経由の割合が増加しました。

緩和策は、攻撃の高度さにも影響を及ぼしました。

保護されていない認証エンドポイントを標的とする悪意のあるトラフィックのうち、64.5%は「基本的」に分類される攻撃でした。これは、人間の行動を模倣したり、ボット対策を回避したりする試みがない攻撃を意味します。緩和策の導入後、こうした攻撃の割合は44%まで大幅に低下しました。

一方、ボット対策ソリューションをある程度かいくぐろうとする「中級」攻撃は、緩和策の導入後に12%から27%へ増加しました。マウスの動き、キーストローク、画面サイズなど、人間のユーザーによるブラウジングを忠実に模倣できるツールを使用する高度な攻撃も、20%から23%へ増加しました。

「当社の分析から、保護対策が導入されると、多くの攻撃者は単に別の標的へ移ることが分かっています」とVinberg氏は述べています。「緩和策が講じられたシステムを引き続き標的とする攻撃者は、明らかに執拗で高度です。人間の行動を忠実に再現できるツールを駆使したり、自らの活動を隠すために一層の労力を費やしたりしています。

「例えば、ある攻撃では、516,000件のリクエストで513,000件の固有のユーザー操作が模倣され、識別可能な特徴が再利用されたケースは1%未満でした。特に高度な攻撃では、悪意のある挙動を特定して新しいシグネチャを作成するために、手作業による観察が必要になる場合があります」

防御側に増大する課題

F5 Labsは、侵害された認証情報のサプライチェーンについても調査しました。懸念すべきことに、防御側が把握できている範囲は、想定よりもはるかに限られているとみられます。攻撃時に送信された認証情報のうち、実に75%は、それまで侵害されたことが知られていませんでした。

さらに、防御側は、緩和策を回避するよう設計されたアイデンティティ脅威への対応も迫られています。たとえば、組織は認証リクエストの成功率が異常に低いことを手掛かりに、クレデンシャルスタッフィング攻撃を監視しようとする場合があります。調査では、攻撃者が「カナリア」アカウントを使ってこれに適応していることが判明しました。このアカウントに継続的にアクセスすることで、全体の成功率を人為的に引き上げることができます。ある事例では、クレデンシャルスタッフィング攻撃キャンペーンがこの目的で、同じ週に同一のカナリアアカウントへ3,700万回ログインしていました。

F5 Labsの分析で重点分野の1つとなったフィッシング攻撃でも、対策をかいくぐるための取り組みが激化していることを示す明確な証拠が再び確認されました。特に、多要素認証の利用拡大に伴い、リバースプロキシ型フィッシングが増加しています。これは、攻撃者が偽のログインページを設置し、ユーザーに認証情報を入力するよう促す手法です。

さらに、攻撃者はAntiRedなどの検知回避機能を利用するケースが増えています。これは、Google Safe Browsingのようなブラウザベースのフィッシング分析（安全でない可能性のあるサイトにアクセスした際に、ユーザーに赤色の警告メッセージを表示する機能）を回避するために設計されたJavaScriptツールです。

迫り来る新たな脅威

環境が絶えず進化する中、F5 Labsは新世代の脅威が出現しつつある状況も確認しました。

その一例として、2022年8月、人工知能を利用してフィッシング電話を自動化する音声フィッシングシステムの広告がダークウェブ上で確認されました。AIの高度化と低コスト化が進むにつれ、このような手法は今後さらに普及し、効果を増していくと見込まれます。

「今後、アイデンティティプロバイダーは、クレデンシャルスタッフィングなどの悪意ある自動化を緩和するために、ボット対策ソリューションを導入すべきです。シンプルなボット対策ソリューションでも、巧妙ではないクレデンシャルスタッフィングの大半を緩和できます」とVinberg氏は付け加えました。

「組織は、WebAuthnやFIDO2プロトコルに基づくものなど、暗号技術を利用したMFAソリューションを導入することで、防御をさらに強化できます。しかし、アイデンティティを狙う攻撃への対策に万能な解決策はありません。防御側は、攻撃を監視・検知し、検知のエラー率を定量化したうえで、それに応じて対策を適応させる必要があります。こうした攻撃と、絶えず変化するその性質について理解を深めるほど、ユーザーが本人であることを証明しなければアクセスできないあらゆるシステムに内在する脆弱性のリスクを、より適切に管理できるようになります。」

F5について

F5は、より良いデジタル世界の実現に取り組む、マルチクラウドアプリケーションサービスおよびセキュリティ企業です。世界最大規模の先進的な組織と連携し、オンプレミス、クラウド、エッジを問わず、あらゆる場所のすべてのアプリとAPIのセキュリティ確保と最適化を支援しています。F5は、組織が顧客に卓越した安全なデジタル体験を提供し、絶えず変化する脅威に先手を打ち続けられるよう支援します。詳細については、f5.comをご覧ください。（NASDAQ：FFIV）

F5、そのパートナー、テクノロジーの詳細については、Twitterで「@F5」をフォローするか、LinkedInまたはFacebookをご覧ください。F5は、米国およびその他の国におけるF5, Inc.の商標、サービスマーク、または商号です。その他、本文に記載されている製品名および会社名は、それぞれの所有者の商標である場合があります。

###

本プレスリリースには、将来の事象または将来の財務実績に関する、リスクおよび不確実性を伴う将来予想に関する記述が含まれる場合があります。このような記述は、「may（可能性がある）」、「will（予定である）」、「should（見込まれる）」、「expects（予想する）」、「plans（計画する）」、「anticipates（見込む）」、「believes（考える）」、「estimates（推定する）」、「predicts（予測する）」、「potential（可能性）」もしくは「continue（継続する）」などの用語、これらの否定形、またはこれらに類する用語によって識別できます。これらの記述は予測にすぎず、実際の結果は、当社がSECに提出した書類に記載されている要因を含むさまざまな要因により、これらの記述で予想された結果と大きく異なる可能性があります。