セキュリティ用語集

三和コムテック

リスト型アカウントハッキング

リスト型アカウントハッキング（Credential Stuffing）は、攻撃者がリスト型攻撃（credential list）やリスト型パスワード攻撃（password list）などとも呼ばれる手法で、盗まれたユーザー名とパスワードの組み合わせ（クレデンシャル）を使用してオンラインアカウントに不正にアクセスする攻撃です。この攻撃手法は、他のサイトやサービスでのデータ漏洩から得られたクレデンシャルを再利用してアカウントにアクセスしようとするものです。

【リスト型アカウントハッキングの手順】

クレデンシャルの入手
以前のデータ漏洩やハッキングから得られたクレデンシャルリストを入手します。これには、ユーザー名とパスワードの組み合わせが含まれることがあります。
自動化された攻撃
攻撃者は、自動化されたツールやスクリプトを使用して、クレデンシャルリストを対象のオンラインサービスやアプリケーションに順番に試し、アカウントへのアクセスを試みます。
ログインの試行
攻撃者は、リスト内のクレデンシャルを使用して、オンラインアカウントにログインを試みます。有効なクレデンシャルが見つかると、アカウントへの不正アクセスが成功します。
アクセスの悪用
アカウントへの不正アクセスが成功すると、攻撃者はそのアカウントを悪用して、個人情報や資金、他のサービスへのアクセス権などを不正に入手する可能性があります。

【リスト型アカウントハッキングの防止策】

強力なパスワードポリシー
ユーザーに対して、強力なパスワードの使用を奨励し、パスワードの定期的な変更を促します。
二段階認証
二段階認証（2FA）や多要素認証（MFA）を使用して、ログイン時に追加の認証要素を要求します。
監視と検知
不審なアクティビティを監視し、異常なログイン試行を検知して適切に対処します。
パスワード管理ツールの利用
パスワード管理ツールを使用して、強力なランダムなパスワードを生成し、管理します。
データ漏洩の監視
オンラインサービスやアプリケーションの運営者は、データ漏洩が発生した場合に迅速に対処し、影響を最小限に抑えるための対策を講じる必要があります。