- クレデンシャルスタッフィング攻撃はすべてのログイン試行の34%を占め、オンラインセキュリティに重大な脅威をもたらしています。
- クレデンシャルスタッフィングの被害者は、データ窃盗、金銭的損害、そして潜在的ななりすまし被害に直面します。
- クレデンシャルスタッフィングに対する対策には、多要素認証、より良いパスワード運用、ダークウェブ監視などがあります。
Microsoft Office 365は、世界中の企業で使用され続けているため、サイバー犯罪者にとって魅力的な標的であり続けています。AIツールの洗練された進化により、悪意のある行為者は資格情報スタッフィング攻撃の歴史を繰り返すことに意欲を示しています。2019年、Microsoftは、顧客の数千の侵害されたOffice 365アカウントから150万件以上の悪意のあるスパムメールが送信されたことを明らかにしました。
2022年12月、Nortonユーザーは資格情報スタッフィング攻撃により警戒を強めました。セキュリティアプリケーションが侵害され、約92万5000のアカウントがロックダウンされました。Nortonパスワードマネージャーユーザーからの不審なログイン試行の急増がロックダウンを引き起こしました。調査の結果、サイバー犯罪者が「数千のアカウント」に成功して侵入し、多数のユーザーの個人情報を危険にさらしていたことが判明しました。では、2023年にこの種のサイバー犯罪からアカウントを保護するために何に備える必要があるのでしょうか？
資格情報スタッフィング攻撃の仕組み
資格情報スタッフィング攻撃は、すべてのログイン試行の34%を占め、悪意のある行為者がユーザーアカウントを乗っ取ろうとします。しかし、このプロセスはどのように機能し、これらのキャンペーンに対抗するための措置は何でしょうか？
資格情報スタッフィングは、脅威行為者が盗まれたログイン資格情報をさまざまなオンラインアカウントで迅速にテストするために自動化されたソフトウェアを採用する一般的なサイバー攻撃方法です。プロセスには以下が含まれます：
1. データ侵害の後に通常利用可能になるダークウェブから、ユーザー名とパスワードのリストを購入またはダウンロードする。
2. 複数のユーザーアカウントでログインを試みる自動化されたボットを設定し、IPアドレスをマスクすることで検出を回避することが多い。
3. ボットが一致するものを見つけるとアカウントにアクセスできるようになり、攻撃者はクレジットカード番号や社会保障番号などの個人情報を盗むことができる。
4. 成功したパスワードの組み合わせを他のアカウントで試みるボットを監視する。65%の人々が複数のアカウントで同じパスワードを使用しているため、同じパスワードペアで複数のアカウントに侵入する可能性が高い。
資格情報スタッフィング攻撃とブルートフォース攻撃の違い
資格情報スタッフィング攻撃とブルートフォース攻撃は、サイバー攻撃の2つの異なる方法です。資格情報スタッフィングでは、攻撃者は実際のアカウントから漏洩または盗まれたパスワードデータを使用してログインを試みます。一方、ブルートフォース攻撃では、一般的に使用されるパスワードや一般的なパスフレーズの辞書を推測します。
資格情報スタッフィングの脅威行為者は、本物の資格情報を保有しており、一致するアカウントを見つける必要があるだけであることを認識しています。対照的に、ブルートフォース攻撃を試みる者は、標的の正しい資格情報に関するコンテキストを持たないため、これらの攻撃は盲目的な運や推測しやすいパスワードに依存しています。それでも、数がものを言うゲームであるため、自動化により資格情報スタッフィングは非常に収益性が高い可能性があります。
資格情報スタッフィングの影響
資格情報スタッフィング攻撃の被害者は、機密データの盗難、財務的評判の損傷、および潜在的ななりすまし被害のリスクに直面します。このような攻撃の結果は以下の通りです：
1. 侵害されたアカウント：脅威行為者はスパイウェアをインストールしたり、データを盗んだり破壊したり、アカウント所有者になりすまして他の標的にスパムやフィッシング攻撃を送信したりする可能性があります。
2. データ漏洩：攻撃者はしばしば金融機関や高価値の政府の標的への侵入を目指し、盗まれたデータを違法なオンラインマーケットプレイスで身代金目的の犯罪者や政治的に動機づけられたギャングに販売します。
3. アカウントのロックアウト：過度に失敗したログイン試行により、アカウントのセキュリティシステムがロックアウトを引き起こし、ビジネスを妨害したり、メールや銀行など重要なアカウントへのアクセスを制限したりする可能性があります。
4. ランサムウェアの要求：国家支援のハッキンググループは、重要なインフラ施設や大企業を乗っ取り、身代金の支払いを要求する可能性があります。
5. 増加するサイバーセキュリティリスク：盗まれたユーザー資格情報は将来の攻撃に使用され、最初の侵害後に被害者や密接に関連する当事者をより大きなリスクにさらす可能性があります。
6. ビジネス評判への悪影響：企業の侵害は消費者の信頼を大幅に損なう可能性があります。数千または数百万人のユーザーがプライベートデータの脅威を感じるとき、それは企業の株式市場でのコストにつながります。2022年のデータ侵害の平均コストは435万ドルでした。
資格情報スタッフィングの最近の例
- 大手アウトドアアパレル会社、2022年7月：サイバー犯罪者は資格情報スタッフィングを使用してこのアウトドアレジャーアパレル会社を標的とし、ほぼ20万件の顧客アカウントを侵害し、氏名、電話番号、性別、購入履歴、請求先住所、およびロイヤルティポイントなどの詳細を暴露しました。
- 大手決済処理会社、2022年12月：この攻撃はほぼ3万5000のユーザーアカウントに影響を与え、氏名、社会保障番号、および税務識別番号を暴露しましたが、不正な取引は報告されていませんでした。
- 有名なファストフードチェーン、2023年1月：**ファストフードチェーンは、7万1000件以上の顧客アカウントにアクセスした侵害を確認しました。脅威行為者は数ヶ月にわたり資格情報スタッフィング攻撃を実行し、顧客の報酬残高、潜在的な物理的な住所、および顧客のクレジットカードの最後の4桁にアクセスしました。
資格情報スタッフィング攻撃に対する対策
金融部門では、資格情報スタッフィング攻撃が大幅に増加しており、2022年には前年比45%の成長が報告されました。企業が拡大し、より多くのユーザーベースを引き付けるにつれて、サイバー犯罪者にとってますます魅力的な標的となっています。このエスカレートする脅威に対抗するため、セキュリティチームは複数の対策を実装できます。
マルチファクター認証（MFA）を実装することで、追加のセキュリティレイヤーを提供し、脅威行為者がアカウントへの不正アクセスを取得することをより困難にします。一部の人気のあるパスワードマネージャーで最近の侵害を経験したにもかかわらず、これらのツールは現代のデジタルセキュリティの根幹であり、利用されるべきです。
より良いパスワード慣行を促進することは重要です。セキュリティチームは、パスワードの再利用を排除し、コードの共有を discouraged し、ログイン情報を紙に書き込むことを避けるよう助言することで、積極的な立場を取るべきです。これらの措置は、内部攻撃の可能性を大幅に減らすことができます。
悪意のある行為者は自動化されたボットの軍隊を構築できる
Microsoftのセキュリティ研究者は、HTTPSプロキシング技術を使用してOffice 365アカウントを乗っ取る大規模なフィッシングキャンペーンを発見しました。この攻撃はマルチファクター認証（MFA）を回避する能力を持ち、2021年9月以来1万以上の組織を標的としてきました。
ログイン試行の一貫した監視は、不正行為を特定し阻止するのに役立ちます。突然のログイン試行の急増や異常なパターンが検出された場合、セキュリティチームは関連するIPアドレスをブロックし、正規のユーザーに試みられたハッキングについて警告できます。
もう一つの効果的な防御メカニズムはレートリミティングです。この戦略は、悪意のあるボットが過度なログイン試行を迅速に行うのを防ぎ、自動化された攻撃の進行を効果的に遅らせます。
ダークウェブの監視は、セキュリティチームが新興のサイバー脅威の一歩先を行くことを可能にします。ダークウェブで利用可能なユーザー名とパスワードのコレクションに注意を向けることで、攻撃が発生する前に脆弱性を強化できます。
セキュリティチームは、ユーザーを保護し教育する責任があります。悪意のある行為者は、毎日数千または数百万の不正なログインリクエストを実行する自動化されたボットの軍隊を構築できます。この growing 脅威に対抗するため、ユーザーは良いパスワード慣行を採用し、信頼性の高いパスワードマネージャーを使用するよう奨励されなければなりません。しかし、データ保護の主要な責任は、ウェブサイトセキュリティチームとアプリプロバイダーにあります。多面的なアプローチは、堅牢なアクセス制御、脅威監視、およびレートリミティングの保護を組み合わせて、攻撃サイクルを妨害し、脅威行為者を遠ざけます。究極的に、最も強力な防御は、教育とセキュリティ文化の醸成に基づいています。
Microsoftは、組織が不審な目的を持つ可能性のある受信トレイルールを監視するためのポリシーを設定するか、信頼できないIPアドレスやデバイスからの異常なメールアクセスイベントに対してアラートをトリガーするポリシーを設定することを推奨しています。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項： ここに提供される情報は取引助言ではありません。Cryptopolitan.comは、このページに記載された情報に基づいて行われた投資について一切の責任を負いません。投資判断を下す前に、独立した調査および/または資格のある専門家への相談を強く推奨します。
ジョン・パーマー
John Murangiri氏は、市場分析のスキルを身につけてCryptopolitanに参加しました。John（通称JP）はナイロビ大学でマスコミュニケーションおよびメディア研究の学士号を取得し、これまでにInsideBitcoins.comやMetacoingraphで暗号資産市場の洞察を提供してきました。
