認証情報の窃取リスクとフィッシング・MFA・DMARCなどの多層防御策をイメージした画像

認証情報の窃取とは？リスクと予防策

認証情報の窃取を防ぐ手口と対策ガイド


著者: Milena Baghdasaryan
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 What Is Credential Harvesting? Risks and Prevention Tips の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. 認証情報の窃取とは、フィッシング、マルウェア、偽のログインページなどを利用して、ユーザ名、パスワード、セキュリティトークンなどを盗み取る攻撃です。
  2. 1つのアカウントが侵害されるだけでも、データ侵害、金銭的損失、長期的なブランドイメージの低下につながる可能性があります。
  3. 組織では、メール認証、多要素認証（MFA）、従業員向けのセキュリティ教育、継続的な監視などを組み合わせた対策が必要です。
  4. 個人は、サービスごとに異なるパスワードを使用し、多要素認証を有効にしたうえで、メールやメッセージの内容を慎重に確認することが重要です。

たった1つのパスワードが盗まれただけでも、組織全体が危険にさらされる可能性があります。
2024年に発生したChange Healthcareの情報漏洩事件は、その危険性を示す事例の1つです。
攻撃者は、権限の低いカスタマーサポート用アカウントを足掛かりとしてシステムへ侵入しました。

その後、被害は米国の医療サービス全体へ広がり、1億9,270万人分の個人情報が漏洩したとされています。
認証情報の窃取が特に危険なのは、攻撃のきっかけが単純であっても、その影響が重要インフラの停止、数十億ドル規模の損失、社会的な信頼の低下へと拡大する可能性があるためです。

認証情報の窃取とは？

認証情報の窃取とは、攻撃者がユーザ名、パスワード、多要素認証（MFA）トークン、セッションクッキーなど、本人確認に使用される情報を盗み取るサイバー攻撃です。
攻撃者は、盗んだ認証情報を使って正規のユーザになりすまし、アカウントやネットワークへ不正にアクセスします。
盗んだ情報を地下マーケットで販売し、別の犯罪者による攻撃に利用させる場合もあります。

パスワードの組み合わせを繰り返し試すブルートフォース攻撃とは異なり、認証情報の窃取では、人の心理や判断ミスが悪用されます。
例えば、攻撃者は正規のサービスを装った偽のログインページへ利用者を誘導し、ユーザ名やパスワードを入力させます。
入力内容を密かに記録するマルウェアを端末へ感染させ、認証情報を盗み取る手口もあります。

盗まれた認証情報は正規のものとして認識されるため、攻撃者が通常のログイン操作を装い、セキュリティ対策をすり抜ける可能性があります。
正規のアカウントが侵害されると、攻撃者は機密データの窃取、金銭詐欺、ランサムウェア攻撃などを行うための足掛かりを得ます。
さらに、侵害したアカウントを使って、取引先や顧客に対するフィッシング攻撃を仕掛ける場合もあります。

主な標的は以下のとおりです。

認証情報窃取攻撃の仕組み

サイバー犯罪者は、認証情報を盗むためにさまざまな手法を使用します。
代表的な攻撃手法を理解することは、効果的な対策を講じるための第一歩です。

フィッシング
攻撃者は、銀行、IT部門、オンラインサービスなど、信頼できる送信元を装った偽メールやメッセージを送信します。
「アカウントが停止されます」「至急確認してください」などの表現で緊急性をあおり、受信者を偽のログインページへ誘導します。

利用者がユーザ名やパスワードを入力すると、その情報が攻撃者へ送信されます。
このようなフィッシング攻撃では、利用者の不安や焦りを利用して冷静な判断を妨げる、ソーシャルエンジニアリングの手法が使われます。
マルウェア
キーロガー、情報窃取型マルウェア、トロイの木馬などの悪意のあるソフトウェアを端末へ感染させ、認証情報を盗む手法です。
マルウェアは、悪意のあるメール添付ファイル、侵害されたWebサイト、改竄されたソフトウェア、修正されていない脆弱性などを通じて端末へ侵入します。
キーロガーは、利用者がキーボードで入力した内容を記録します。

情報窃取型マルウェアは、ブラウザに保存されたパスワード、セッションクッキー、暗号資産ウォレットの情報などを収集し、攻撃者へ送信します。
マルウェアには複数の種類があり、それぞれ異なる方法で認証情報を盗み取ります。
偽のWebサイト
攻撃者は、正規のログインページとほとんど見分けがつかない偽のWebサイトを作成します。
URLは正規サイトと1～2文字しか違わない場合があり、アルファベットの「o」を数字の「0」へ置き換えるなどの手口も使われます。

利用者が違いに気付かず認証情報を入力すると、その内容は攻撃者へ送信・保存されます。
入力後に本物のWebサイトへ転送することで、利用者が被害に気付きにくくする場合もあります。
クレデンシャルスタッフィング
クレデンシャルスタッフィングとは、過去のデータ侵害で流出したユーザ名とパスワードの組み合わせを、別のWebサイトやサービスで試す攻撃です。
攻撃者は自動化されたボットを使い、大量の認証情報を短時間で複数のサービスへ入力します。
多くの利用者が複数のサービスで同じパスワードを使い回しているため、1つのサービスから流出した認証情報によって、ほかのアカウントも侵害される可能性があります。
中間者攻撃（MITM）
中間者攻撃では、攻撃者が利用者とWebサイトやサービスとの通信へ割り込み、送受信されるデータを盗み見たり、改竄したりします。
傍受される情報には、ログイン認証情報やセッショントークンが含まれる場合があります。
特に、通信が適切に暗号化されていない環境や、攻撃者が用意した偽のWi-Fiアクセスポイントを使用した場合は注意が必要です。
公共Wi-Fiの悪用
安全性を確認できない公共Wi-Fiを利用すると、通信の傍受や偽アクセスポイントへの接続などの危険性が高まります。
攻撃者は、正規の施設が提供しているように見える名称で偽のWi-Fiを設置し、利用者の通信を盗み見ることがあります。
暗号化されていない通信では、ログイン情報やセッショントークンなどが盗まれる可能性があります。

認証情報の窃取によるリスク

盗まれた認証情報による被害は、最初に侵害されたアカウントだけにとどまりません。
たった1つのユーザ名とパスワードから始まった攻撃が、大規模なデータ侵害、金銭的損失、ブランドイメージの低下へ発展する可能性があります。

組織によっては、被害からの回復に何年もかかる場合があります。
攻撃者が企業のアカウントへ侵入すると、以下のような被害が発生する可能性があります。

データ侵害
攻撃者が正規のユーザを装ってシステムへアクセスし、顧客情報、知的財産、財務情報、機密性の高いメールなどを持ち出す可能性があります。
金銭的損失
資金の窃取、不正送金、身代金の支払い、インシデント対応費用、訴訟費用、規制当局による制裁金などにより、多額の損失が発生する可能性があります。
業務の中断
被害範囲の調査やシステム復旧のために、サービスやシステムを一時停止しなければならない場合があります。
その結果、業務効率や生産性が大きく低下します。
ブランドイメージの低下
顧客からの信頼喪失、否定的な報道、競争力の低下などが、ブランド価値や顧客との関係へ長期的な影響を及ぼす可能性があります。
コンプライアンス違反
認証情報を適切に保護できなかった場合、GDPR、HIPAA、PCI DSSなどの法令や業界基準に抵触し、制裁金や行政処分を受ける可能性があります。

個人の場合は、以下のような被害が考えられます。

個人情報の盗難
攻撃者が盗んだ情報を使って、被害者名義で口座を開設したり、ローンを申し込んだり、不正な契約を行ったりする可能性があります。
不正な金融取引
銀行口座や決済サービスへ不正にアクセスされ、資金を盗まれる恐れがあります。
アカウントの乗っ取り
攻撃者がパスワードや復旧用情報を変更し、正規の利用者がアカウントへアクセスできない状態にすることがあります。
プライバシーの侵害
個人的なメール、写真、機密文書などを閲覧されたり、外部へ公開されたり、脅迫に利用されたりする可能性があります。
被害の連鎖
同じパスワードを複数のサービスで使用している場合、1つのアカウントから盗まれた認証情報が、ほかのアカウントへの侵入にも使われる可能性があります。

認証情報窃取攻撃の兆候

認証情報の窃取を早期に発見できるかどうかは、被害を小規模に抑えられるか、大規模な情報漏洩へ発展するかを左右します。
攻撃者は、正規のメールや通常のログイン操作に見せかけて攻撃を行います。
そのため、代表的な警告サインを知り、異変へすぐに気付けるようにすることが重要です。

メールやメッセージに見られる警告サイン

不審なメールやSMSは、認証情報を盗むために最も多く使われる手段の1つです。
以下のような特徴に注意してください。

URLやWebサイトに見られる警告サイン

偽のログインページは正規サイトを巧妙に模倣していますが、細部に違いが見られる場合があります。
以下の点を確認してください。

HTTPSが使用されていても、そのWebサイトが正規のものとは限りません。
鍵アイコンの有無だけで判断せず、ドメイン名が正しいか必ず確認してください。

アカウントに見られる異常

認証情報が盗まれた後は、アカウントの異常な動作が最初の兆候となる場合があります。
以下のような事象に注意してください。

これらの兆候に気付いた場合は、すぐに対応してください。
安全な端末からパスワードを変更し、MFAが未設定であれば有効にします。

また、すべてのログインセッションを終了し、IT部門や対象サービスの提供元へ報告してください。
迅速に対応することで、被害の拡大を防ぎやすくなります。

認証情報の窃取を防ぐ方法

認証情報の窃取を防ぐには、技術的な対策、運用ルール、利用者のセキュリティ意識を組み合わせた多層防御が必要です。
組織と個人では実施すべき対策が異なりますが、いずれも重要です。

組織向けの対策

組織を効果的に守るためには、認証情報の保護をセキュリティ担当者やIT部門だけの責任とせず、すべての従業員が取り組むべき課題として捉える必要があります。
以下の対策を組み合わせることで、認証情報を盗まれるリスクを大幅に軽減できます。

セキュリティ教育を実施する
定期的な教育を通じて、従業員がソーシャルエンジニアリングやフィッシング攻撃を見分け、適切に報告できるようにします。
実際の攻撃を想定したフィッシングシミュレーションを行い、従業員の理解度を確認することも有効です。
実際に発生した事例を共有し、最新の攻撃手法について継続的に学べる環境を整えてください。
強力なパスワードポリシーを設定する
十分な長さを持つパスワードまたはパスフレーズを使用し、複数のサービスで使い回さないようにしてください。
パスワードマネージャを導入し、従業員がシステムごとに異なるパスワードを安全に生成・保存できるようにすることも重要です。

漏洩や侵害の疑いがある場合は、対象のパスワードを速やかに変更します。
単に一定期間ごとの変更を義務付けるだけでなく、脆弱なパスワードや使い回しを防ぐ仕組みを整えることが重要です。
多要素認証（MFA）を必須にする
メール、VPN、管理者アカウント、財務システムなど、重要なシステムではMFAを必須にしてください。
認証情報が盗まれた場合でも、追加の認証要素がなければ、攻撃者による不正アクセスを防ぎやすくなります。
可能であれば、SMS認証よりも、認証アプリ、パスキー、ハードウェアセキュリティキーなど、フィッシング耐性の高い認証方法を使用してください。
継続的に監視する
SIEM（Security Information and Event Management）や侵入検知システム（IDS）などを利用して、ネットワークログやユーザの操作を監視してください。
以下のような異常を検知できる仕組みを整えます。
  • 通常とは異なる国や地域からのログイン
  • 営業時間外の不審なアクセス
  • 短時間に繰り返されるログイン失敗
  • 複数のアカウントに対する連続したログイン試行
  • 通常より大量のデータのダウンロード
  • MFA設定や転送ルールの不審な変更
最小権限の原則を適用する
従業員には、業務に必要な範囲に限定してアクセス権限を付与してください。
これにより、1つのアカウントが侵害されても、攻撃者が閲覧・変更できる情報やシステムの範囲を制限できます。
異動、退職、担当業務の変更に合わせて、アクセス権限を定期的に見直すことも重要です。
高度なメールセキュリティ対策を導入する
悪意のあるメール、添付ファイル、リンクなどを、従業員へ届く前に検知・ブロックするメールセキュリティ対策を導入してください。
DMARC、SPF、DKIMなどのメール認証は、攻撃者が組織のドメインになりすましてフィッシングメールを送信するリスクを軽減します。
PowerDMARCのDMARCレコードチェッカーを使用すると、公開されているDMARCレコードを確認し、設定上の問題を把握できます。

ただし、DMARCだけですべての認証情報窃取攻撃を防げるわけではありません。
MFA、メールフィルタ、従業員教育、監視など、ほかの対策と組み合わせることが重要です。

個人向けの対策

個人利用者の判断や日常的な習慣は、認証情報の窃取を防ぐうえで重要な役割を果たします。
以下の対策を実践することで、被害を受けるリスクを大幅に軽減できます。

パスワードを適切に管理する
オンラインサービスごとに異なる、十分な長さのパスワードを使用してください。
これにより、1つのサービスから認証情報が漏洩しても、ほかのアカウントへ被害が広がる可能性を抑えられます。

パスワードマネージャを利用すると、複雑で一意のパスワードを安全に生成・保存できます。
すべてのパスワードを覚える必要がなくなるため、利便性を保ちながらセキュリティを向上できます。
多要素認証（MFA）を有効にする
メール、オンラインバンキング、SNS、クラウドストレージなど、重要なアカウントでは可能な限りMFAを有効にしてください。
MFAでは、パスワードに加えて、認証アプリのコード、生体認証、セキュリティキーなどによる追加確認が必要です。
そのため、パスワードを盗まれた場合でも、不正アクセスを防ぎやすくなります。
メールやメッセージを慎重に確認する
リンクをクリックしたり認証情報を入力したりする前に、送信者が正規の相手であるか確認してください。
リンクへカーソルを合わせて実際のURLを確認し、送信者のメールアドレスにわずかなスペルミスや不自然な文字がないか注意します。

緊急性や不安を過度にあおるメッセージには、特に警戒してください。
少しでも不審に感じた場合は、メール内のリンクを使用せず、ブラウザへ公式サイトのURLを直接入力するか、公式アプリからアクセスしてください。
ソフトウェアを最新の状態に保つ
デバイス、OS、ブラウザ、アプリケーションを定期的に更新してください。
ソフトウェアの更新には、攻撃者がマルウェアを侵入させたり、認証情報を盗んだりするために悪用する脆弱性への修正が含まれています。

可能であれば、自動更新を有効にしてください。
サポートが終了したOSやアプリケーションは、新しい脆弱性が見つかっても修正されないため、使用を避けることが重要です。
公共Wi-Fiで機密情報を扱わない
安全性を確認できない公共Wi-Fiでは、オンラインバンキング、メール、業務システムなど、重要なアカウントへのログインを避けてください。
公共ネットワークを利用する必要がある場合は、正規のアクセスポイントであることを確認し、可能であればモバイルデータ通信を利用します。

信頼できるVPNを利用すると通信の盗聴リスクを軽減できますが、偽サイトやフィッシングそのものを防げるわけではありません。
VPNを使用している場合でも、アクセス先のURLを確認し、不審なサイトへ認証情報を入力しないよう注意してください。

認証情報窃取攻撃から身を守るために

認証情報窃取攻撃は進化し続けていますが、防御の基本は変わりません。
技術的な対策と利用者の意識を組み合わせ、多層的なセキュリティ対策を継続することが重要です。
組織では、DMARC、SPF、DKIMなどのメール認証を導入し、重要なシステムへMFAを適用するとともに、継続的なセキュリティ教育と監視を実施する必要があります。

個人は、サービスごとに異なるパスワードを使用し、MFAを有効にしたうえで、メールやメッセージの内容を慎重に確認してください。
PowerDMARCのメール認証プラットフォームは、組織のドメインを悪用したフィッシングやスプーフィングへの対策を支援します。

認証情報が盗まれてから対処するのではなく、被害が発生する前に防御体制を整えることが重要です。
まずは無料のDMARCレコードチェッカーを使用し、自社ドメインのDMARC設定に問題がないか確認しましょう。

よくある質問

攻撃者はどのようにクレデンシャルスタッフィングを利用してシステムへ侵入するのですか？
攻撃者は自動化されたボットを使い、過去のデータ侵害で流出した大量のユーザ名とパスワードの組み合わせを、複数のWebサイトやサービスで試します。
利用者が複数のサービスで同じパスワードを使い回している場合、1つのサービスから流出した認証情報を使って、別のアカウントへ不正アクセスされる可能性があります。
サービス提供者はどのようにクレデンシャルスタッフィングを防止できますか？
ログイン試行回数の制限、アクセス速度の制御、CAPTCHA、不審なログインの監視、多要素認証などを組み合わせることで、自動化された攻撃を防ぎやすくなります。
流出したパスワードの使用を禁止し、通常とは異なる場所や端末からのログイン時に追加認証を求めることも有効です。
ただし、CAPTCHAやログイン回数の制限だけですべての攻撃を防ぐことはできないため、複数の対策を組み合わせる必要があります。
フィッシングサイトや認証情報の窃取被害はどこへ報告できますか？
フィッシングメールは、Anti-Phishing Working Groupのreportphishing@apwg.orgへ転送して報告できます。
利用しているメールサービスやブラウザのフィッシング報告機能を使うこともできます。

また、なりすまし被害を受けている企業や組織へ直接連絡したり、所属組織のIT部門やセキュリティ担当者へ報告したりしてください。
認証情報や金銭を盗まれた場合は、対象サービスの提供元、金融機関、警察や公的な相談窓口へ速やかに連絡することが重要です。