「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

頑張って一息で説明すると

Aサービスを利用している人のIDとパスワードのリストを盗んで、Bサービスで片っ端から試すことによって、AサービスとBサービスで同じID・パスワードを使っている人のアカウントを盗んでやるぜ！な悪いこと

が「クレデンシャルスタッフィング」です。
「アカウントリスト攻撃」などとも呼ばれます。



例えば、そうですね。

ピヨ太君は動画共有サービス「ぴよぴよ動画」を利用しています。
ぴよぴよ動画は会員様限定サービスです。
認証を通らないと使えません。



ピヨ太君は

ID：piyota
パスワード：piyo2

で会員登録しています。



ピヨ太君は、つぶやきサービス「ぴよったー」も利用しています。
ぴよったーも会員様限定サービスです。
認証を通らないと使えません。



ピヨ太君は

ID：piyota
パスワード：piyo2

で会員登録しています。
IDとパスワードは、ぴよぴよ動画と同じです。



ある日のことです。

悪いアクマ君が、ぴよぴよ動画の利用者リストを盗み出しました。
IDとパスワードの組み合わせが載ったリストをゴソっと持っていったのです。



それを知ったぴよぴよ動画の運営者は、ピヨ太君たち利用者に「ヤバい！パスワードが漏えいしたっぽい！パスワードを変更してよ！」と連絡しました。



ピヨ太君は慌ててパスワードを変更します。
今度は

ID：piyota
パスワード：piyo3

にしました。



ふぅ、これで一安心です。

……と思ったのは、ピヨ太君だけでした。

アクマ君は、ぴよぴよ動画から盗んだリストに載っているIDとパスワードの組み合わせで、ぴよったーの認証を通ろうとしていたのです。
具体的には、ぴよぴよ動画から盗んだリストに載っているIDとパスワードの組み合わせを片っ端からぴよったーで試します。



そうすると、どうなるでしょう。

そうですね。

ピヨ太君のIDとパスワードを試したときに、ぴよったーの認証を通り抜けてしまいます。
ぴよぴよ動画とぴよったーで同じID・パスワードを使っていたからです。



この状況は「アクマ君がピヨ太君のぴよったーアカウントを乗っ取った」と言えます。
パスワードの変更でも何でも、アクマ君の好きにできるからです。
あとは煮るなり、焼くなり、ご自由に、です。

このような攻撃がクレデンシャルスタッフィングです。

まず、とあるサービスから利用者のID・パスワードを盗みます。
一人分なんてケチくさいことは言いません。
盗めるだけ全部、まとめてゴソっと盗みます。



次に、盗んだリストに載っているID・パスワードの組み合わせで他のサービスの認証にチャレンジします。



IDとパスワードを使いまわしている人がいれば認証を通り抜けます。
アカウントが乗っ取れる理屈です。

さらに別のサービスでも試せば、被害は倍増ですね。



よく「パスワードの使い回しは止めましょう」と言われます。
それは、今回説明したクレデンシャルスタッフィングを避けるための措置です。

……と言っても、サービスごとにパスワードを変えるのって面倒くさいですよね。

個人的なオススメ対処法は、パスワードの中にサービスの識別子を埋め込むことです。
例えば、Google関連のサービスで使うパスワードであれば

piyotagoo

のようにします。
Yahoo!関連のサービスで使うパスワードであれば

piyotayah

です。
「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典であれば

piyotawa3

ですかね。

「piyota」の部分は使い回しです。
ルールさえしっかり決めておけば、覚えるのは「piyota」だけで済みます。

もちろん完全に変えた方が良いのは当たり前ですけどね。
少なくとも、そのまま使いまわすよりは安全なはずです。
気が向いた方は、やってみてください。
「セキュリティ意識の高い俺（私）、かっこいー！」な気分になれると思います。