メールセキュリティ
漏れた認証情報を別の入口へ
Credential Stuffing とメールアカウント：1件の漏えいが他サービスへ広がる仕組み
Credential stuffing は流出済みのIDとパスワードを別サービスで自動試行する攻撃です。パスワード使い回しが被害を横展開させます。
読了目安 9分
2つ目のサービス自体が侵害されていなくても、同じメールアドレスとパスワードを再利用していれば、別の漏えいで盗まれた組み合わせがそのまま通る可能性があります。
攻撃の流れ
- 1
認証情報が漏れる
侵害やフィッシングでメールアドレスとパスワードが取得されます。
- 2
大量のリストにまとめられる
自動化によって多数の組み合わせを試せます。
- 3
別サービスで試される
使い回しがあると無関係なアカウントでも成功します。
- 4
成功したアカウントが悪用される
データ窃取、購入、回復設定変更などにつながります。
似た攻撃との違い
| 攻撃 | 攻撃者が持つもの | 試すもの |
|---|---|---|
| Credential stuffing | 盗まれた実在の組み合わせ | 同じ組み合わせを別サービスへ |
| Password spraying | よく使われる少数のパスワード | 多くのアカウントへ少数試行 |
| Brute force | 確定したパスワードなし | 多数の候補 |
| Phishing | 連絡先や文脈 | 利用者を騙して認証情報を得る |
使い回しの連鎖を断つ
- 重要アカウントごとに固有パスワードを使う。
- 必要ならパスワードマネージャーを使う。
- 漏えい後は使い回したパスワードをすぐ交換する。
- MFAやpasskeyを有効にする。
- 予期しないログイン通知を見逃さない。
Credential stuffing は、漏れた認証情報が別サービスでも有効だから成功します。固有パスワードなら1件の漏えいをそのサービス内に閉じ込めやすくなります。
この脅威を文脈で理解する
出典と参考資料
短期利用のために別の受信箱が必要ですか？
将来の復旧が不要なら、一時メールは恒久アドレスの露出を減らせます。これはプライバシーの一層であり、アカウント保護の代替ではありません。
一時メールを作成