ハッカーの手口が高度化する中、認証情報流出インシデントが倍増

Dan Woods（F5のShape Security Intelligence Center担当VP）とSander Vinberg（F5 Labsの脅威エバンジェリスト）が、DevCentralのJohn Wagnon、Jason Rahmとともに、F5 Labsの最新のクレデンシャルスタッフィングレポートを詳しく解説します。

詳細については、 完全版の「2021年クレデンシャルスタッフィングレポート」をご覧いただき、DevCentral Connectsのディスカッションの拡大版も こちらからご視聴ください。以下では、レポートの主な調査結果の概要もご紹介します。

F5 Labsの最新のCredential Stuffing Reportによると、年間の認証情報流出インシデント件数は、2016年から2020年にかけてほぼ倍増しました。

この種の調査として最も包括的な取り組みによると、同期間に流出した認証情報の件数は46%減少しました。1件の流出インシデント当たりの平均件数も、2016年の6,300万件から昨年の1,700万件へと減少しました。一方、2020年の中央値は200万件で、2019年比234%増となり、2016年の275万件以来の高水準となりました。

クレデンシャルスタッフィングは、侵害されたユーザー名またはメールアドレスとパスワードの組み合わせを大量に悪用する攻撃であり、世界的に深刻化している問題です。その傾向を示す一例として、FBIが昨年発行した民間業界向け通知では、2017年から2020年に米国の金融セクターで発生したセキュリティインシデントのうち、この脅威が最も大きな割合（41%）を占めていたと警告しています。

「攻撃者は何年にもわたり、数十億件もの認証情報を収集してきました」と、F5 Communities（F5 LabsおよびDevCentral）担当シニアディレクターのSara Boddyは述べています。「認証情報の流出は原油流出事故に似ています。ひとたび流出すると、事情を知らない消費者が認証情報を変更しないうえ、企業でもクレデンシャルスタッフィング対策ソリューションがまだ広く導入されていないため、事態の収拾は非常に困難です。今回の調査期間中、最も多い攻撃タイプがHTTP攻撃からクレデンシャルスタッフィングへと移行したのも不思議ではありません。この攻撃タイプはアプリケーションのセキュリティに長期的な影響を及ぼし、近い将来に状況が変わることもないでしょう。ハッキング被害を懸念しているのであれば、最も可能性が高いのはクレデンシャルスタッフィング攻撃です」

この調査結果を踏まえ、F5 Labsの脅威リサーチエバンジェリストであり、本レポートの共同執筆者でもあるSander Vinbergは、組織に対して引き続き警戒を怠らないよう呼びかけました。

「2020年に流出した認証情報の総量と規模が減少したことは興味深いものの、まだ決して喜べる状況ではありません」と同氏は警告しました。「クレデンシャルスタッフィングやフィッシングなどのアクセス攻撃は、今や侵害の根本原因として最多となっています。セキュリティチームがデータ流出や不正行為との戦いで優勢に立っているとは到底考えにくいため、これまで混沌としていた市場が成熟度を増すにつれて安定しつつあるように見えます」

不適切なパスワード保管と高度化する攻撃者の手口

業界のベストプラクティスに関する共通認識が広がっているにもかかわらず、不適切なパスワード保管が依然として根深い問題であることが、本レポートの主な調査結果の1つです。

ほとんどの組織はパスワードのハッシュアルゴリズムを開示していませんが、F5は90件の具体的なインシデントを調査し、認証情報流出の原因として最も可能性が高いものを把握することができました。

過去3年間に発生した認証情報流出のうち、42.6%は保護されておらず、パスワードが平文で保存されていました。次いで、パスワードハッシュアルゴリズムSHA-1を使用した認証情報のうち、ソルトなし（パスワードの末尾に追加して異なるハッシュ値を生成するための一意の値がないもの）が20%を占めました。ソルト付きのbcryptアルゴリズムは16.7%で3番目でした。意外にも、信頼性が広く否定されているハッシュアルゴリズムMD5は、ハッシュにソルトが付加されていた場合でも、流出した認証情報に占める割合はわずか0.4%でした。MD5は、ソルトの有無にかかわらず、数十年前から脆弱で不適切な手法と見なされています。

このレポートでは、攻撃者が認証情報を悪用する際の成功率を高めるために、「ファジング」手法を使用するケースが増えていることも注目すべき点です。ファジングとは、変更を加えた入力を使ってパーサーを繰り返しテストし、入力解析コードのセキュリティ脆弱性を見つけるプロセスです。F5の調査では、ファジング攻撃の大半が、侵害された認証情報の一般公開前に発生していました。このことから、こうした手法は高度な攻撃者の間でより広く用いられていると考えられます。

漏えい検知

In the 2018年クレデンシャルスタッフィングレポートで、F5は、認証情報の流出が公になるまでに平均15か月かかったと報告しました。この状況は過去3年間で改善しています。インシデントの発生日と発見日の両方が判明している場合、検知までの平均期間は現在約11か月です。ただし、検知までに3年以上かかった少数のインシデントにより、この数値には偏りがあります。検知までの期間の中央値は120日です。組織が侵害を公表する前に、ダークウェブ上で流出が検知されることが多い点には注意が必要です。

ダークウェブに注目

漏えいの発表は通常、認証情報がダークウェブのフォーラムに出現する時期と重なります。F5は「2020 Credentials Stuffing Report」の作成にあたり、認証情報が盗まれてからダークウェブに投稿されるまでの重要な期間を重点的に分析しました。

研究者は、「Collection X」と呼ばれる、数千件の個別のデータ侵害から流出した約90億件の認証情報をサンプルとして、過去にさかのぼる分析を実施しました。これらの認証情報は、2019年1月上旬にダークウェブのフォーラムに投稿されました。

F5は、認証情報の流出が初めて公になった発表日を基準に、その前後6か月間に一部のお客さまを標的としたクレデンシャルスタッフィング攻撃で使用されたユーザー名と、Collection Xの認証情報を比較しました。調査対象はFortune 500企業4社（銀行2行、小売企業1社、食品・飲料企業1社）で、21か月間に行われた720億件のログイントランザクションを分析しました。研究者はShape Securityのテクノロジーを使用し、盗まれた認証情報が窃取され、販売され、使用されるまでを「追跡」できました。

12か月間に、4つのWebサイトにおける正規のトランザクションと攻撃の両方で、29億件の異なる認証情報が使用されました。そのうち約3分の1（9億件）が侵害されていました。盗まれた認証情報が正規のユーザートランザクションで最も多く確認されたのは銀行で、それぞれ35%と25%でした。攻撃の10%は小売業を標的とし、約5%は食品・飲料事業を狙ったものでした。

認証情報の不正使用における5つの段階

この調査に基づき、Credential Stuffingレポートでは、認証情報の不正利用を5つの明確な段階に分類しています。

低速かつ静か：侵害された認証情報は、公表の1か月前まで密かに使用されていました。4つのWebサイトに対する攻撃では、認証情報1件あたり平均して1日に15～20回使用されていました。
急増：公開発表前の30日間に、F5は認証情報がダークウェブ上で流通していることを確認しました。より多くの攻撃者がその認証情報を入手したため、1日あたりの攻撃件数は着実に増加しました。
攻撃の急増：認証情報が公知になると、「スクリプトキディ」などの未熟な攻撃者が、大手Webサイト全体でその情報を使い始めました。特に最初の1週間は攻撃が活発で、各アカウントは1日平均130回を超える攻撃を受けました。
減少／新たな均衡：最初の1か月が経過した後、F5は、ユーザー名1件あたり1日約28回の攻撃という新たな均衡状態を確認しました。興味深いことに、この新たな均衡は、「緩やかで静かな」段階における当初の水準である15回を上回っています。これは、一部の初心者攻撃者が依然として「古くなった」認証情報を使い、価値の高い企業を標的にしているためです。
再生： さまざまなWebプロパティに対してクレデンシャルスタッフィング攻撃を実行した後、一部の犯罪者は、有効な認証情報を悪用できる期間を延ばすため、その再パッケージ化に着手しました。

脅威の最小化

「オンラインアカウントへのログインをユーザーに求める限り、クレデンシャルスタッフィングは脅威であり続けます」とBoddy氏は付け加えました。「攻撃者は不正防止技術に対抗して攻撃手法を変え続けるため、クレデンシャルスタッフィングや不正行為に対応する、適応型のAIを活用した制御への強いニーズと機会が生まれています。すべての攻撃を即座に検知することは不可能です。一方で、可能なのは、攻撃にかかるコストを引き上げ、不正行為者に断念させることです。サイバー犯罪者とビジネスパーソンの世界に共通する真理があるとすれば、それは『時は金なり』ということです」

脅威インテリジェンスとサイバーセキュリティに関するその他の見解については、https://www.f5.com/labsをご覧ください。