アカウント列挙.

対象システムに存在するアカウントやメールアドレス、電話番号を、アプリのレスポンスの差から特定する攻撃。 サイバーセキュリティの ID とアクセス カテゴリに属します。

対象システムに存在するアカウントやメールアドレス、電話番号を、アプリのレスポンスの差から特定する攻撃。

アカウント列挙は、対象アカウントが存在する場合と存在しない場合とで、アプリのレスポンスに差(ログイン・登録・パスワードリセット時のエラー文言の違い、応答時間の差、HTTP ステータスコードの違いなど)があることを突きます。攻撃者は多数の候補識別子を試して、有効なアカウントの一覧を作り、その後フィッシング、クレデンシャルスタッフィング、パスワードスプレーなどに利用します。「ユーザーが存在しません」対「パスワードが違います」、リセット時の「メールを送りました」対「アカウントが見つかりません」、登録時の「このメールは既に使われています」など、多くのフローで生じやすい脆弱性です。対策は、統一されたエラー文言、応答時間の均一化、汎用的な通知、IP とアカウント単位のレート制限、悪用検知時の CAPTCHA、MFA による後続攻撃の緩和などです。

アカウント列挙 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: ユーザー列挙, 識別子列挙。