クレデンシャルスタッフィングの問題と解説 | 情報セキュリティマネジメント

正解：エ

各選択肢の解説

アログインの失敗でロックするまでの回数を、5回から3回に減らす。
誤り。アカウントロックは、失敗を重ねて正解を探す総当たり攻撃への対策です。流出した組が正しければ1回目で通るので、回数を減らしても止められません。正解を探す攻撃か、手に入れた正解を使う攻撃かで区別します。
イ新規登録時に求めるパスワードの最低文字数を、8文字から12文字に増やす。
誤り。長いパスワードは、総当たりで当てられるまでの手間を増やす対策です。この攻撃は推測をせず、他社で漏れたパスワードをそのまま使います。どれほど長くても、使い回されていれば同じように通ってしまいます。
ウログイン画面との通信をHTTPSで暗号化し、経路上で盗み見られないようにする。
誤り。通信の暗号化は、経路上の盗聴やそれを使うリプレイ攻撃への備えです。今回の組は自社の通信からではなく他社の流出から得られているので、自社の経路を守っても攻撃者の手元のリストは無効になりません。
エパスワードに加え、会員の端末に届く確認コードの入力もログインで求める。
正解。多要素認証にすれば、流出したIDとパスワードが正しくても、会員の端末を持たない攻撃者はログインを完了できません。

クレデンシャルスタッフィングは、ある会社から漏れたIDとパスワードの組（クレデンシャル）を、別のサービスのログイン画面に流し込む攻撃です。日本語の資料では「リスト型攻撃」「リスト型アカウントハッキング」とも呼ばれます。よその家の合鍵の束を持ち歩き、同じ鍵を使っている家を探すようなものです。

この攻撃が成り立つ前提は、利用者が同じパスワードを複数のサービスで使い回していることです。攻撃者は推測をしていないので、パスワードを当てにくくする対策は空振りします。

効くのは、「パスワードを知っているだけではログインできない」状態にすることです。端末に届く確認コードのような別の要素を求めれば、リストを持つだけの攻撃者は先に進めません。あわせて、会員にパスワードの使い回しをやめるよう呼びかけることも、根本の前提を崩す対策になります。

対策を選ぶときは、攻撃者がパスワードを「探している」のか「すでに持っている」のかを見ます。持っている相手には、パスワード以外の確認を足すのが基本です。