ユーザー名列挙.

ユーザー名そのものが存在するかどうかをアプリのレスポンスから判定する、アカウント列挙の一形態。 サイバーセキュリティの ID とアクセス カテゴリに属します。

ユーザー名そのものが存在するかどうかをアプリのレスポンスから判定する、アカウント列挙の一形態。

ユーザー名列挙は、メールアドレスや電話番号ではなく、ユーザー名(ハンドル名)を対象としたアカウント列挙です。ログイン画面で「ユーザーが存在しません」と「パスワードが違います」を出し分けるケース、ハンドルの存在を示すパスワードリセット、未知のユーザーには 404、パスワード不一致には 401 を返す API、登録時に使用済みハンドルを通知するフォームなどが典型例です。有効なユーザー名一覧を得た攻撃者は、低頻度・低速度のパスワードスプレー、的を絞ったソーシャルエンジニアリング、サービスをまたぐアイデンティティの突き合わせなどを行えます。対策には、統一されたエラー文言、汎用的なリセット文言、レート制限、悪用検知時の CAPTCHA、MFA による被害低減があります。

ユーザー名列挙 に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: ユーザー列挙, ログイン列挙。