認証情報の漏洩とは、ログイン情報が不正な第三者によって盗まれたり、アクセスされたりした状態を指します。通常、漏洩した認証情報には、ユーザー名、パスワード、セキュリティ質問、およびユーザーの身元確認やアカウント・システムへのアクセスに使用されるその他の機密情報が含まれます。
認証情報が漏洩した場合のリスクは深刻です。ログイン認証情報は、正当なユーザーになりすますために悪用され、機密データやアカウントへの不正アクセス、 横移動 攻撃、マルウェアのインストール、資金の窃盗など、さまざまな被害が発生する可能性があります。侵害された認証情報は、データ侵害における最も一般的な攻撃経路の一つです。
認証情報が漏洩する一般的な原因
認証情報が漏洩する一般的な方法はいくつかあります。
- フィッシング攻撃：悪意のあるリンクや添付ファイルを含むフィッシングメールは、ユーザーを騙して偽サイトにログイン情報を入力させ、個人情報を盗み取るために使用されます。
- キーロギングマルウェア：ユーザーのデバイスにインストールされたマルウェアは、押されたキーを追跡および記録し、ユーザー名、パスワード、その他の機密データをキャプチャします。
- データ侵害：サービスが侵害されると、ユーザーの認証情報やその他の個人情報が漏洩したり盗まれたりすることがよくあります。攻撃者は盗んだ認証情報を使って、他のアカウントやシステムにアクセスします。
- パスワードの使い回し: ユーザーが複数のアカウントで同じパスワードを使用している場合、そのユーザーの認証情報が漏洩すると、そのパスワードを使用している他のすべてのアカウントも漏洩する可能性があります。
- ソーシャルエンジニアリング：熟練したソーシャルエンジニアは、人間の心理を巧みに操り、標的となる人物に機密性の高いログイン情報を対面、電話、またはオンラインで共有させるように仕向けます。
要約すると、認証情報が漏洩すると深刻な脅威となるため、個人と組織の両方が、盗まれたログイン情報に関連するリスクを防止および軽減するための積極的な対策を講じる必要があります。認証情報が漏洩した場合、不正アクセスはログインするだけで容易に発生する可能性があります。
認証情報がどのように侵害されるか
認証情報は、いくつかの一般的な方法で盗まれたり、侵害されたりします。
- フィッシング攻撃フィッシングメールは、ユーザーを騙して偽のウェブサイトにログイン情報を入力させる手口です。入力された情報は盗まれます。フィッシングは、認証情報が漏洩する主な原因の一つです。
- データ侵害企業が顧客データの漏洩に見舞われると、ログイン認証情報が盗まれることがよくあります。盗まれた認証情報はダークウェブで売買され、他のアカウントへのアクセスに悪用される可能性があります。
- 弱いパスワード推測しやすいパスワードや使い回しのパスワードは、アカウントを攻撃の標的にしやすくします。一度あるサイトでパスワードが漏洩すると、攻撃者は同じパスワードを他の人気ウェブサイトでも試そうとします。
- キーロギングマルウェアキーロガーなどのマルウェアは、キー入力を盗み、ログイン認証情報をキャプチャするために使用される可能性があります。盗まれたデータはその後、攻撃者に送信されます。
- ソーシャルエンジニアリング熟練したソーシャルエンジニアは、人間の心理を巧みに操り、標的となる人物に機密性の高いログイン認証情報を対面、電話、またはデジタルで共有させるように仕向けます。
認証情報が漏洩した有名な例としては、以下のようなものがあります。
- RockYou2024の情報漏洩：この事件では、驚異的な10億件もの認証情報が流出し、史上最大規模のパスワード流出事件の一つとなりました。データ量の多さは確かに衝撃的ですが、専門家は、古い情報や無関係な情報が含まれているため、攻撃者にとってすぐに役立つ情報ではない可能性が高いと指摘しています。しかし、この情報漏洩事件は、パスワードの使い回しの危険性と、強力なパスワードの必要性を改めて痛感させる出来事となりました。 認証 多要素認証を含む対策（毎日のセキュリティレビュー）。
- マイクロソフト幹部アカウント侵害：2024年初頭、ロシアと連携する攻撃者が、マイクロソフトの経営幹部やサイバーセキュリティチームのアカウントを含む、同社の企業メールアカウントへの侵入に成功しました。この侵害は、多要素認証が設定されていない旧アカウントを悪用することで実現しました。攻撃者は、マイクロソフトと米連邦政府機関（CRN）間の機密性の高いメール通信を抜き出すことに成功しました。
- データ侵害：2023年10月、大手IDサービスプロバイダーであるOktaは、攻撃者が盗まれた認証情報を使用して同社のカスタマーサポートシステムにアクセスしたことを明らかにしました。この攻撃により、カスタマーサポート案件への不正アクセスが可能となり、ユーザーIDの管理とセキュリティ確保を目的としたシステムであっても、認証情報が漏洩した場合のリスクが浮き彫りになりました。
- 2019年、DNA検査会社23andMeは、セキュリティ侵害により、ログイン情報を含む一部の顧客データが不正アクセスされたことを発表した。
- 2018年、任天堂のニンテンドーネットワークは情報漏洩の被害に遭い、300,000万件以上のアカウントが侵害された。ログイン情報が盗まれ、不正購入に悪用された。
- 2016年、PayPalで発生したデータ侵害により、ログイン情報、氏名、メールアドレスなどを含む1.6万件以上の顧客記録が流出した。
認証情報の漏洩は深刻な脅威であり、アカウントを保護するにはフィッシングに対する警戒、強力で固有のパスワード、 マルチファクタ認証 また、不正行為の兆候がないか定期的に口座を監視することも重要です。注意深く意識を高めることで、リスクを軽減できます。
認証情報が漏洩した場合の危険性
認証情報が漏洩すると、組織や個人にとって深刻なリスクとなります。ログイン認証情報が盗まれると、攻撃者は機密データやシステムにアクセスし、さまざまな悪意のある活動を行うことが可能になります。
Hubspot Verizonの2020年のデータ侵害調査レポートハッキング関連の侵害の80%以上は、盗まれたパスワードや脆弱なパスワードを悪用したものでした。これらの認証情報に基づく攻撃の影響には、以下のようなものがあります。
- データ侵害: アカウントやシステムにアクセスすることで、攻撃者は顧客情報、従業員記録、知的財産などの機密データを盗み出すことができます。 クレデンシャルスタッフィング 攻撃。
- 金融 損失：悪意のある行為者が、盗んだアカウントアクセスを利用して資金を送金したり、不正な購入を行ったり、決済詐欺を働いたりする可能性があります。
- 評判への損害：データ漏洩やアカウント乗っ取りは、顧客の信頼やブランドの評判を損なう可能性があります。
- アカウント乗っ取り：攻撃者はオンラインアカウントを乗っ取り、スパム、詐欺、その他の悪質な活動を行う可能性があります。侵害されたソーシャルメディアアカウントは、マルウェアや誤情報の拡散に悪用されることがよくあります。
個人は固有の複雑なパスワードを使用し、可能な限り多要素認証を有効にすべきですが、組織も強力なアクセスポリシーとセキュリティ管理を導入する必要があります。パスワードの頻繁な変更、アカウントの監視、従業員教育は、認証情報の漏洩に伴うリスクを軽減するのに役立ちます。
侵害された認証情報の検出
認証情報の漏洩を検出するために、組織はユーザー活動や行動を監視して異常を特定するユーザーエンティティおよび行動分析（UEBA）システムを採用しています。
UEBAソリューションは、ネットワーク機器、オペレーティングシステム、アプリケーションなど、複数のソースからのログデータを分析し、通常のユーザーアクティビティのベースラインを作成します。確立されたパターンからの逸脱は、認証情報やアカウントが侵害された可能性を示唆します。
セキュリティ情報およびイベント管理（SIEM）プラットフォームは、 侵害された認証情報を検出する SIEMツールは、組織内の様々なシステムからセキュリティログを集約・分析することで、ログの相関分析と解析を行い、不審なログイン試行、場所の変更、権限昇格などを特定し、アカウント侵害の可能性を探ります。
継続的な監視 ユーザーアカウント また、認証イベントは、侵害された認証情報を早期に検出するために非常に重要です。
適応性と リスクベース認証 これらの方法は、不正アクセスを特定するのに役立つ追加のセキュリティ層を提供します。特に、 特権アカウントこれにより、攻撃者が漏洩したパスワードを悪用することがより困難になります。過剰なログイン失敗、ブルートフォース攻撃の兆候、その他の認証情報窃盗キャンペーンを監視することも、アカウントが悪用される前に侵害を検出するのに役立ちます。
認証情報漏洩攻撃の防止
認証情報漏洩による攻撃を防ぐため、組織は厳格なセキュリティポリシーと管理策を実施すべきである。
多要素認証（MFA）は、ユーザーアカウント、非人間型ID、およびシステムに対する保護をさらに強化します。パスワードに加えて、ワンタイムパスワード、セキュリティキー、生体認証などの要素を要求することで、アカウントの不正アクセスをより困難にします。
過去に漏洩したパスワードの使用を禁止することで、攻撃者に既に知られているパスワードをユーザーが選択することを防ぐことができます。組織は、漏洩したパスワードのブラックリストを使用することで、従業員が推測されやすいパスワードや使い回しのパスワードを選択することを阻止できます。
ダークウェブ上での認証情報の漏洩やパスワードクラッキングを継続的に監視することで、迅速な対応が可能になります。パスワードダンプや侵害データの監視により、セキュリティチームは侵害されたアカウントを特定し、パスワードのリセットを強制し、多要素認証（MFA）を有効にすることができます。
定期的なフィッシングシミュレーションとセキュリティ意識向上トレーニングを実施することで、従業員はログイン認証情報を盗み出すことを目的としたフィッシングメールや悪質なウェブサイトを認識し、回避する方法を学ぶことができます。ソーシャルメディアでの過剰な情報共有や、複数のアカウントでパスワードを使い回すことのリスクを説明することで、優れたセキュリティ習慣と警戒心のある文化を醸成できます。
CAPTCHA（人間は通過できるがコンピュータは通過できない自動テスト）を使用することで、ログインやアカウントアクセス時の認証に一層のセキュリティ層を追加できます。CAPTCHAは、データ漏洩によって盗まれた認証情報を使ってシステムにアクセスしようとする自動ボットやスクリプトを防止します。
長くて複雑なパスワードを頻繁に変更することを義務付ける強力なパスワードポリシーを制定し、それを徹底することは、漏洩した認証情報を入手して使用することをより困難にする最良の方法の1つです。
認証情報が漏洩した場合の対策戦略
侵害された認証情報が特定されたら、リスクを軽減するためにいくつかの対策を講じることができます。
パスワードのリセット
認証情報が漏洩した場合の最も効果的な対策は、ユーザーパスワードを直ちにリセットすることです。影響を受けたアカウントのパスワードをリセットすることで、攻撃者が盗まれたログイン情報を使ってシステムやデータにアクセスするのを防ぐことができます。
多要素認証を有効にする
多要素認証（MFA）を有効にすると、ユーザーアカウントのセキュリティがさらに強化されます。MFAでは、パスワードだけでなく、ユーザーの携帯端末に送信されるセキュリティコードなどの別の認証方法も必要となります。攻撃者がユーザーのパスワードを入手したとしても、ログインするにはユーザーの携帯電話で本人確認を行う必要があります。
不審なアクティビティがないかアカウントを監視する
侵害されたアカウントを綿密に監視し、不審なログインやアクティビティの兆候がないかを確認することで、不正アクセスを検知できます。セキュリティチームは、アカウントのログイン時間、場所、IPアドレスをチェックし、攻撃者が盗まれた認証情報を使用してアカウントにアクセスしている可能性を示す異常がないか確認する必要があります。不正アクセスを迅速に検知することで、認証情報の漏洩による被害を最小限に抑えることができます。
追加トレーニングを提供する
認証情報の漏洩は、脆弱なパスワードや使い回しのパスワード、フィッシング、その他のソーシャルエンジニアリング攻撃が原因であることが多い。定期的なセキュリティ意識向上と教育トレーニングを実施することで、パスワードのベストプラクティス、フィッシングの識別方法などについてユーザーを教育し、情報漏洩のリスクを軽減することができる。追加のトレーニングや模擬フィッシングキャンペーンは、長期的にセキュリティ体制を大幅に向上させることが実証されている。