クレデンシャルスタッフィング

Credential Stuffing

security beginner

どこかで漏れたIDとパスワードの組を、別のサービスへそのまま自動で試す攻撃。

概要（サマリー）

クレデンシャルスタッフィングとは、どこかで漏れた ID とパスワードの組を、別のサービスへそのまま自動で試す攻撃である。
合鍵の束を、何軒ものドアに順番に差し込むようなものだ。
鍵を新しく削るのではなく、すでにどこかで手に入った組を使う。
パスワード認証を、同じパスワードの使い回しがある前提で破ろうとする。
日本では「パスワードリスト攻撃」とも呼ばれる。IPA の「情報セキュリティ10大脅威 2026」でも、個人向けに「インターネット上のサービスへの不正ログイン」が11年連続で選ばれている。

詳細解説

漏れた組を、別の店で試す

あるサービスのデータベースから、メールアドレスとパスワードの組が流出することがある。
利用者の多くは、別の店でも同じメールアドレスと同じパスワードを使う。
攻撃者はその組を、SNS、通販、メール、会社のクラウドなどへ自動でログイン試行する。

OWASP は、この手口をブルートフォースの一種に含めつつ、狙いを分けて説明している。
ブルートフォース攻撃は、1つのアカウントに多くのパスワード候補を試す。
クレデンシャルスタッフィングは、すでに漏れた「ID とパスワードの組」を、他のサイトへ試す。

パスワードスプレー攻撃とも違う。
スプレーは、よくある少数のパスワードを多数のアカウントへ試す。
スタッフィングは、被害者本人がその組をどこかで実際に使っていた、という点が出発点である。

組の入手元は、一つの漏えいだけではない

大規模な漏えい事件の一覧が、この攻撃の材料になる。
それに加え、パソコンに入り込んでブラウザの保存パスワードやログイン情報を盗むインフォスティーラーの情報も、同じ用途で使われる。

自分は有名サイトに登録していない、と思っても、メールアドレスを ID にしているサービスが一つ漏れると、他のサービスへの試行材料になる。
漏えいのニュースを見ていないサービスでも、ログインが試されることがある。

成功したあとに起きること

ログインできたアカウントでは、保存されたカード、個人のメッセージ、社内のファイルが読まれる。
そのアカウントから、取引先へ偽の案内を送ることもある。
通販やポイントのように、残高があるサービスでは、勝手な購入や換金の被害になる。

会社のメールに入れると、後から二要素認証の設定を変えられ、本人が入れなくなることもある。
一つの成功が、別のサービスへの足がかりになる。

使い回しをやめ、通知を見る

サービスごとに違うパスワードにする。
覚えきれない場合は、パスワード管理の仕組みを使い、人が同じ文字列を使い回さないようにする。
たとえば、Apple の「パスワード」アプリ、Google パスワードマネージャー、1Password、Bitwarden などがある。
これらはサービスごとに長いパスワードを作って保存し、使い回しや漏えいの警告を出せるものが多い。

漏えいしたパスワードの一覧と照合し、該当するものは使わせない、という対策をサービス側が行うこともある。
利用者側でも、Have I Been Pwned のようなサービスで、自分のメールアドレスが過去の漏えいに含まれていないかを調べられる。
見つかった場合は、そのメールアドレスで使っていたパスワードを、サービスごとに別のものへ変える。

パスキーや、フィッシングに強い多要素認証は、漏れたパスワードだけではログインを完了させにくくする。
OWASP も、多要素認証を主要な対策として挙げている。
ログインの通知が来たら、自分の操作か確認する。身に覚えがなければ、そのサービスでパスワードを変える。

作る側が見るポイント

ログイン画面に、失敗回数の制限や、自動操作らしいアクセスの検知を入れる。
ただし制限だけでは、組が最初の一回で当たる場合を止められない。
パスワードの使い回しを利用者に頼らず、多要素認証を用意する。

利用者向けには、新しい端末からのログインを通知する。
通知文に、パスワードそのものや、リセット用の秘密を書かない。

通知が来たら、メールのリンクから入らない

「新しいログインがありました」という連絡が、本物のサービスから届くことがある。
その文面のリンクを開くと、確認のつもりが別の偽サイトになる場合もある。
通知を見たら、文面のリンクではなく、公式アプリや自分で登録したブックマークからログインする。

そこで身に覚えのない端末や国からのログインがあれば、パスワードを変える。
セッションを他の端末から切れるサービスなら、それも行う。
変更したパスワードは、他のサービスへコピーしない。コピーした瞬間に、次の使い回しが始まる。

AIコーディングとの関係

AI にログイン機能を作らせると、メールとパスワードだけの画面が提案されやすい。
AI には「パスワードの使い回しを想定し、多要素認証と、身に覚えのないログインの通知を含めた設計にしてください」と頼む。

漏えいパスワードのサンプルや、本物の利用者一覧を AI に貼って検査させない。
検査が必要なら、件数や形式だけを伝え、値はローカルの道具で扱う。
AI が生成したログイン処理のコードは、失敗時のメッセージが「このメールアドレスは登録されていません」のように、登録の有無を教えていないかも確認する。
「メールアドレスまたはパスワードが違います」とまとめて返すと、攻撃者は有効な ID を絞り込みにくくなる。

よくある勘違い

強いパスワードなら、使い回しても大丈夫？

長さや複雑さは、推測への強さである。
一度どこかから漏れた組は、強さに関係なく、別のサービスでそのまま試される。
強さと、使い回さないことは両方必要である。

自分は被害に遭ったサイトを使っていない？

メールアドレスを共通の ID にしていると、別のサービスの漏えいが、こちらのログイン試行に使われる。
使っていないサービス名のニュースでも、同じメールアドレスなら確認する価値がある。

二要素認証があれば、試行そのものが来ない？

二要素認証は、パスワードが当たったあとのログイン完了を難しくする。
試行がゼロになるわけではない。承認の求めや、見慣れないログイン通知は、確認の対象になる。

まとめ

クレデンシャルスタッフィングは、漏れた ID とパスワードの組を、別のサービスへ試す攻撃である。
一つのアカウントを総当たりするブルートフォースや、よくあるパスワードを広く試すスプレーとは出発点が違う。
サービスごとにパスワードを変え、パスキーや多要素認証を使う。
身に覚えのないログイン通知が来たら、そのサービスでパスワードを変える。

情報ソース

より詳しくAIに聞いてみよう

クレデンシャルスタッフィングを、合鍵の束を何軒ものドアに試す例で説明してください。
ブルートフォース、パスワードスプレー、クレデンシャルスタッフィングの違いを表に整理してください。
パスワードをサービスごとに変える方法を、初心者向けに比較してください。
AI にログイン機能を作らせるとき、使い回しを想定した指示文を書いてください。
本物のパスワードを AI に貼らずに、認証の設計だけを相談する聞き方を教えてください。