アカウント乗っ取り (ATO).

アカウント乗っ取りは、攻撃者が被害者のアカウントの有効な認証情報、セッショントークン、または復旧手段を入手し、本人になりすましてログインすることで発生します。主な侵入経路として、フィッシング、情報窃取マルウェア、漏洩パスワードを用いた認証スタッフィング、SMS コード傍受のための SIM スワップ、OAuth 同意の悪用、アカウント復旧フローの欠陥などが挙げられます。侵入後、攻撃者は情報を持ち出したり、ウォレットを空にしたり、給与振込先を変更したり、信頼されたアドレスからフィッシングを送ったり、別システムへ横移動したりします。

認証スタッフィングは最も産業化された経路です。2023 年の 23andMe 侵害では、攻撃者が無関係なサイトから漏洩したユーザー名とパスワードの組をログインページに対して、2023 年 4 月から約 5 か月にわたり繰り返し試行しました。直接破られたアカウントは約 14,000 件に過ぎませんでしたが、23andMe が MFA を強制しておらず、DNA Relatives 機能が接続されたプロフィールを露出させていたため、侵入者は約 690 万人分の遺伝・血縁情報をスクレイピングしました。この事例は、パスワードの使い回しと MFA の欠如が、わずかな数の侵害されたログインをいかにして大規模なデータ露出に変えてしまうか、そして持続的かつ分散したログイン試行の検知がなぜ重要かを示しています。

緩和策としては、フィッシング耐性のある MFA(FIDO2/パスキー)、デバイス紐づけ、異常ベースのログイン分析、リスクの高い操作に対する追加認証(ステップアップ認証)、漏洩パスワードのスクリーニング(NIST SP 800-63B に準拠)、ログインに対するレート制限とボット検知、そして悪用検知時の迅速なセッションおよびトークンの失効などがあります。

flowchart LR
  L[漏洩した認証情報 /<br/>フィッシング / 情報窃取] --> A[攻撃者]
  A --> B{ログイン試行}
  B -->|MFA なし| C[アカウント侵害]
  B -->|フィッシング耐性 MFA<br/>+ 異常検知| D[ブロック / ステップアップ]
  C --> E[データ窃取、詐欺、<br/>接続プロフィールのスクレイピング]
  C --> F[横移動 /<br/>信頼されたアカウントからフィッシング送信]
  D -.->|リスクスコア| G[セッションとトークンの失効]