メールセキュリティ
狙われるのはログインの証明
Credential Phishingとは？
Credential phishing は、パスワード、MFAコード、承認、復旧コードなど認証に使う情報そのものを盗むことを目的としたフィッシングです。
読了目安 9分
Credential phishing は一般的なフィッシングより目的が明確です。攻撃者が欲しいのは、あなたとしてログインできる材料です。偽ログインページが代表例ですが、ワンタイムコード、push承認、復旧コードなども標的になります。
偽ログインが実際の侵害につながるまで
- 1
ログインする理由を作る
共有文書、メール警告、招待などをきっかけにします。
- 2
攻撃者のページへ誘導する
本物そっくりの画面でドメイン確認を怠らせます。
- 3
認証情報を入力させる
パスワード、コード、承認などを取得します。
- 4
再利用できる情報を本物のサービスで使う
リアルタイムで入力される場合もあります。
盗まれ得る認証要素
| 要素 | リスク | 重要な点 |
|---|---|---|
| パスワード | 直接ログイン・他サービスへの再利用 | 固有パスワードなら横展開を減らせる |
| MFAコード | 進行中ログインの完了 | 短時間でもリアルタイム利用され得る |
| Push承認 | 不正セッションの許可 | 身に覚えのない承認を拒否できる |
| 復旧コード | 通常の二要素を迂回 | 高価値な認証情報として扱う |
| Passkey | 秘密鍵をページへ渡さない | 正しいoriginに結び付くため従来型フィッシングに強い |
Passkeyがこの攻撃を変える理由
パスワードは偽サイトにも入力できますが、passkey は正しいサービスのoriginに結び付いており、偽ページへ再利用可能な秘密を渡しません。
ただし、復旧経路や端末侵害など別の攻撃面まで消えるわけではありません。
対策
- 利用できるならpasskeyを使う
- それ以外では固有パスワードと2FAを使う
- 予期しないメールリンクから認証しない
- 復旧コードをサポート相手に渡さない
- 誤ったサイトへ入力した疑いがあればセッションを確認する
Credential phishing は、あなたであることを証明する材料を狙います。再利用可能な秘密を減らすほど、この攻撃の価値も下がります。
この脅威を文脈で理解する
出典と参考資料
短期利用のために別の受信箱が必要ですか？
将来の復旧が不要なら、一時メールは恒久アドレスの露出を減らせます。これはプライバシーの一層であり、アカウント保護の代替ではありません。
一時メールを作成