クレデンシャルスタッフィング

ある漏えいから得たユーザー名・パスワードの組合せを他サービスで自動再生し、パスワード使い回しを悪用してアカウントを乗っ取る攻撃。

クレデンシャルスタッフィングは、過去の漏えいで得た膨大な「コンボリスト」を活用します。攻撃者は Sentry MBA、OpenBullet、Snipr などのフレームワークや独自スクリプトを使い、レジデンシャルプロキシを切り替え、CAPTCHA を回避し、レート制限を逃れる速度で試行します。多くの利用者がパスワードを使い回しているため、成功率が 0.1–2 % であっても大量のアカウントが乗っ取られ、不正利用、ギフトカード換金、再販売で収益化されます。対策は、フィッシング耐性のある MFA(FIDO2/パスキー)、漏えいパスワードのスクリーニング、デバイスフィンガープリント、ボット管理、ログイン異常検知、段階的なスロットリングです。