攻撃手法・初期侵入
認証情報の悪用
認証情報の悪用（別名 リスト型攻撃、パスワードスプレー、クレデンシャルスタッフィング、パスワードの使い回し悪用）は、他のサービスから漏れたIDとパスワードの組み合わせや、単純で推測されやすいパスワードを使って、別のサービスへのログインを試みる攻撃です。
- 初期侵入
- 実行
- 横展開
- 窃取
- 影響
要点
- 段階 攻撃が進む段階のうち「初期侵入」で使われます。MITRE ATT&CK の手口番号は T1110、T1110.003、T1110.004、T1078 です。
- 記録 このサイトの記録では、事例 4 件とハッカーグループ 3 組に出てきます。
- 最初の対策 全てのログインで多要素認証を例外なく適用する。
多くの利用者が複数のサービスで同じパスワードを使い回しているため、一つのサービスからの漏えいが連鎖的な侵入を招きやすい。
攻撃の流れ
- 1漏えいしたデータベースから得たIDとパスワードの組み合わせを、別のログイン画面に自動で入力し続ける(クレデンシャルスタッフィング)
- 2少数のよく使われるパスワードを多数のIDへ順番に試すことで、アカウントロックを避けながら正解を探す(パスワードスプレー)
- 3ログインに成功したアカウントを足がかりに、同じ利用者が管理する他のサービスや社内システムへ侵入範囲を広げる
気づくための兆候
- 短時間に同一IPまたは分散した多数のIPから大量のログイン失敗が記録される
- 普段と異なる国や時間帯、デバイスからのログイン成功が見られる
- 一つのアカウントで通常ありえない頻度のパスワード変更や多重ログインが起きる
対策
全てのログインで多要素認証を例外なく適用する
パスワードの使い回しを禁止し、パスワードマネージャーの利用を促す
一定回数の失敗でアカウントをロックまたは遅延させる仕組みを入れる
外部で漏えいしたパスワード一覧と照合し、利用中のパスワードを定期的に点検する
日本での数字
17,668件
証券口座への不正アクセス件数（2025年）
出典 警察庁「令和７年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
出典
- 令和７年におけるサイバー空間をめぐる脅威の情勢等について 警察庁・2026-03
- MITRE ATT&CK Technique — Brute Force (T1110) MITRE ATT&CK・2026-05-12
- MITRE ATT&CK Sub-technique — Password Spraying (T1110.003) MITRE ATT&CK・2025-10-24
- MITRE ATT&CK Sub-technique — Credential Stuffing (T1110.004) MITRE ATT&CK・2026-05-12
- MITRE ATT&CK Technique — Valid Accounts (T1078) MITRE ATT&CK・2026-05-12
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）