クレデンシャルスタッフィング攻撃とは
クレデンシャルスタッフィングとは、漏えいした認証情報を使用して、保護されたアカウントへの不正アクセスを試みるサイバー攻撃の一種です。
クレデンシャルスタッフィングとは
クレデンシャルスタッフィングは、ログインフォームなどのデジタルインターフェースやワークフローを悪用し、顧客アカウントへの不正アクセスを試みる攻撃です。通常は自動化ツールと漏えいした認証情報を利用しますが、人間の行動を模倣したり、実在する顧客になりすましたりする手法へと進化することも少なくありません。
CAPTCHAや多要素認証（MFA）など、クレデンシャルスタッフィング対策として一般的に使用される緩和策は、高度な攻撃者に容易に回避されるうえ、正規の顧客に不便を強いる可能性があり、取引の中断や収益の損失につながります。さらに、クレデンシャルスタッフィングは、アカウント乗っ取り（ATO）や不正行為の前兆となることも少なくありません。
クレデンシャルスタッフィングが重要な理由
クレデンシャルスタッフィングは、世界的に重大なサイバーセキュリティ問題の1つとなっています。2018年と2019年には、米国で公表された侵害事例全体の約半数を、フィッシングとクレデンシャルスタッフィングによる脅威が占めました。1
この攻撃が広く行われているのは、ROIが高いためです。成功率は通常0.2～2%程度です。2
認証情報の侵害が検知されるまでの期間の中央値は120日であり、情報が開示される前に、侵害された認証情報がダークウェブに出回っていることも少なくありません。
データ侵害が頻発し、フィッシングが成功しやすいうえ、自動化によって認証情報が短期間で収益化されるため、攻撃は絶えません。その結果、組織は認証情報を狙った侵入と、利益を目的とするクレデンシャルスタッフィングの被害を受けるという悪循環に陥っています。
クレデンシャルスタッフィング攻撃の仕組み
クレデンシャルスタッフィングは、自動化と漏えいした認証情報を起点とし、最終的にアカウントの乗っ取り、不正行為、顧客体験の悪化を招きます。
容易に入手できるツールやインフラ、数十億件もの侵害された認証情報により、攻撃に必要な投資が少なくて済み、攻撃者にとって高い経済的メリットが生じます。
高度なツールは、人間の行動を模倣してセキュリティ制御を回避し、人間によるクリックファームを利用して自動化対策アルゴリズムをすり抜けることができます。さらに、こうしたツールは進化を続け、AIモデルを使用してリスクベース認証を回避するようになっています。
従来の緩和策では、高度なクレデンシャルスタッフィングを効果的に阻止できず、デジタル体験に余計な手間を生じさせる可能性があります。その結果、顧客の不満を招き、売上拡大の可能性を制約します。
F5はクレデンシャルスタッフィングにどう対処するのか
F5のソリューションは、攻撃の投資対効果を損ない、成功を現実的に困難または不可能にすることで、クレデンシャルスタッフィング攻撃を抑止します。
F5ソリューションは、データセンター、クラウド、各種アーキテクチャ全体からネットワーク、デバイス、環境のテレメトリ信号を収集・分析することで、異常な挙動や、侵害された認証情報を使用する自動攻撃を独自に検知できます。
さらに、F5ソリューションはリアルタイムで難読化を行い、強い動機を持つ攻撃者による偵察やプロファイリングを無力化します。また、攻撃者がセキュリティ対策を回避するために手法を変更した場合でも、レジリエンスと有効性を維持します。
F5ソリューションは、類似する攻撃プロファイルとリスクサーフェスにわたる脅威インテリジェンスをモデル化し、教師ありおよび教師なしのディープラーニング手法を活用して攻撃者の手法を検出することで、最大限の効果を発揮する適切な対策を自律的に展開します。
これにより、リスクベース認証の回避を試みる攻撃者のAIモデルに対して将来にわたり有効な防御を実現し、アカウント乗っ取りや不正行為がビジネス全体に及ぼす連鎖的な影響を防ぎます。こうした影響には、損失や収益機会の逸失に加え、業務を機能不全に陥らせ、競争上の不利を招きかねない信頼の毀損も含まれます。
1 2021年クレデンシャルスタッフィングレポート, F5 Labs
