アカウント乗っ取りとクレデンシャルスタッフィング：IP インテリジェンスで検知・阻止する方法（2026年版）

ログインページは、あなたが持つ中で最も攻撃を受ける面であり、その攻撃の大半はパスワードを推測しようとしているわけではありません。攻撃者はすでにパスワードを持っているのです。過去の漏洩で流出した何十億件ものクレデンシャルは「コンボリスト」としてまとめられ、インターネット上のあらゆるサイトに対して再試行されます。狙いは、パスワードを使い回しているごく一部のユーザーです。それが一つでも通れば、アカウント乗っ取りの成立です。

このガイドでは、2026年のクレデンシャルスタッフィングと ATO が実際にどう機能しているのか、なぜ分かりやすい防御策（悪い IP をブロックする）だけでは失敗するのか、そして IP インテリジェンスを正しく使う方法を説明します。つまり、多層的でリスクベースの防御の中の一つのシグナルとして使うことであり、通常は判定としてではなく帯域で読む IP 不正スコアとして扱います。ここでの内容はすべて一次情報に基づいています。OWASP、NIST、Verizon DBIR、そして2026年の脅威に関する測定値です。

クレデンシャルスタッフィングとアカウント乗っ取り：定義

この二つの用語は同じ意味で使われがちですが、別物です。

• クレデンシャルスタッフィングは攻撃手法です。OWASP はこれを OAT-008 に分類しています。つまり「盗まれたユーザー名／パスワードの組み合わせの有効性を確認するために行われる大量のログイン試行」です。重要なのは、これが「ブルートフォースや推測を一切伴わない」点です。クレデンシャルは他の漏洩から収集された既知のものであり、単に使い回されているかどうかが試されるだけです。
• アカウント乗っ取り（ATO）は結果です。攻撃者が実在ユーザーのアカウントを掌握することを指します。クレデンシャルスタッフィングは ATO に至る最も一般的な道筋ですが、フィッシング、マルウェア、セッションハイジャックもそこにつながります。

この二つを、近縁の攻撃とも区別しておく価値があります。パスワードスプレー（よくあるパスワード一つを多数のアカウントに試す）とブルートフォース（一つのアカウントに多数のパスワードを推測で試す）です。クレデンシャルスタッフィングがどちらよりも危険なのは、弱いパスワードではなく、人間の本質（人はパスワードを使い回す）を突くからです。

攻撃の実際の仕組み

現代のクレデンシャルスタッフィングの流れは産業化されています。

1. クレデンシャルを入手する。 攻撃者は漏洩データのダンプや犯罪マーケットプレイスからコンボリストを購入またはダウンロードします。一度に何十億件もの組み合わせです。
2. 大規模に自動化する。 既製のツールキット（古くは Sentry MBA、現在は OpenBullet2 や SilverBullet）が、それらの組み合わせをログインエンドポイントに対して毎分数千回再試行します。
3. IP をローテーションして姿を隠す。 ここが要となる手口です。OWASP が記録しているとおり、これらのツールキットは「プロキシネットワークの組み込み利用を提供し、大量の固有 IP アドレスにリクエストを分散させる。大量の攻撃であっても IP あたりのリクエスト量は比較的低く保たれるため、IP ブロックリストとレート制限の両方を無効化し得る」のです。
4. 成功を収益化する。 ログインに成功すると、資金の窃取、保存された決済手段の悪用、ロイヤルティポイントの抜き取り、あるいは単に検証済みアカウントとして次の犯罪者への転売につながります。

試行あたりの成功率はごくわずか（1% 未満）ですが、数百万回の試行になれば、そのわずかな割合が数千件の侵害アカウントになります。

2026年の規模

信頼できる測定値が示す数字は深刻です。

（後半の数値はベンダーのネットワークテレメトリーによる推定値です。方向性を示す強い証拠として出典を明記していますが、インターネット全体の全数調査ではありません。）HUMAN はまた、ATO を試みるログイントラフィックの割合がここ数年で最大の伸びを示し、EMEA では 13% を超えた一方、世界全体では 3.5% 未満だったことも報告しています。ログインページは、数字のうえでも戦場なのです。

2026年に阻止が難しい理由：住宅用プロキシ

従来の防御が通用しない理由は住宅用プロキシネットワークにあります。攻撃者は分かりやすいデータセンターの IP から攻撃する代わりに、数百万台の実在する消費者デバイス（家庭用ルーター、スマートフォン、スマートテレビ）を経由してクレデンシャルスタッフィングのトラフィックを流すため、各リクエストは正当に見える ISP のアドレスから届きます。

これは理論上の話ではありません。2026年1月、Google の Threat Intelligence Group が Cloudflare などと協力して IPIDEA ネットワークを無力化しました。これは「世界最大級の住宅用プロキシネットワークの一つ」であり、運営者のデバイスプールを数百万台規模で削減しました。GTIG の言葉を借りれば、「世界中の消費者デバイス群を経由してトラフィックを流すことで、攻撃者はこれらの IP アドレスを乗っ取り、悪意ある活動を覆い隠すことができる」のであり、それが「ネットワーク防御者にとって重大な課題」を生んでいます。米国 FBI も2026年3月、住宅用プロキシネットワークへの対策に関する公共サービス警告を発表しました。

実務上の帰結として、IP ブロックリストは構造的に遅すぎ、大雑把すぎます。攻撃者の IP あたりの量は少なく、IP は実在する家庭のもので、絶えずローテーションされます。ブロックだけで乗り切ることはできません。

IP インテリジェンスが実際に役立つ場面

だからといって IP データが無用になるわけではありません。IP データは判定ではなくシグナルになるということです。しかも、標準のお墨付きがあるシグナルです。NIST SP 800-63B-4（2025年7月に最終版）は、「請求者の IP アドレス、ジオロケーション、リクエストのタイミングパターン、またはブラウザーのメタデータ」を使うリスクベース認証を明確に推奨しており、「想定外のジオロケーションや IP アドレスブロック（例：クラウドサービス）からの認証は、追加のリスクベース制御の使用を促す可能性がある」と記しています。

ログインやパスワードリセットのエンドポイントで価値の高い IP シグナルは次のとおりです。

• 接続タイプ。 データセンターやクラウドの範囲からのログインは、住宅用 ISP からのログインよりはるかに疑わしいものです。実ユーザーの大半は AWS からログインしません。
• VPN とプロキシの検知。 ログインエンドポイントでの匿名化トラフィックは、リスクを強く引き上げる要因です。住宅用プロキシはクレデンシャルスタッフィングを行う者が好んで使う道具であり、普通の ISP トラフィックのように見えます。だからこそ、後述するデバイスと行動のレイヤーが重要になります。
• ASN のレピュテーション。 悪用の集中は特定のネットワークに対応しています。IP の背後にある自律システムは持続的なシグナルです。
• impossible travel のためのジオロケーション。 ある国からのログインの数分後に別の国からログインがあれば、侵害の可能性が高いと判断できます。
• 複合リスクスコア。 上記を一つの数値にまとめるため、フラグを一つずつ手作業で検討する代わりに、しきい値を設定できます。

誤検知の罠（多くのガイドが触れない部分）

ここに正直な落とし穴があります。そしてこれこそが、IP インテリジェンスをハードブロックではなくリスク判断の材料にしなければならない理由です。IP だけに頼る防御は、実際の顧客を系統的に罰してしまいます。

一つの CGNAT（キャリアグレード NAT）アドレスの背後には数百人から数千人の実ユーザーがいることがあり、モバイルゲートウェイやプライバシーリレーも同様です。Cloudflare の2025年のテレメトリーは衝撃的です。CGNAT の IP のボット率は非 CGNAT の IP と実質的に同じ（中央値 4.8% 対 4.7%）で、平均値はむしろ低い（7% 対 13.1%）にもかかわらず、レート制限を受ける頻度は3 倍に上ります。つまり、大雑把な IP 制御は、その中に紛れた一人の攻撃者を止めるために、正当なユーザーの群れをブロックしているのです。同じ過剰ブロックはモバイルネットワークや Apple iCloud Private Relay にも及びます。これはまさに、実際の顧客をブロックせずに匿名化トラフィックを検知する方法で取り上げた正当なトラフィックです。

したがってルールはこうです。リスクの高い IP シグナルは摩擦を高める（ステップアップのチャレンジ）べきであり、門前払いするべきではありません。無害だが共有されている接続タイプは、罰するのではなく免責すべきです。

多層的なプレイブック（OWASP + NIST 準拠）

クレデンシャルスタッフィングを単独で止められる制御はありません。標準から直接導かれる、実際に効果のある防御は次のとおりです。

• 漏洩済みパスワードをブロックする。 NIST SP 800-63B-4 は、検証者が新しいパスワードを既知の侵害済みクレデンシャルのブロックリストと照合することを義務付けています。使い回されたパスワードを設定できなければ、後でそれを使ったスタッフィングは失敗します。
• 失敗した試行をスロットリングする。 NIST は、連続した失敗試行を制限すること（アカウントあたり 100 回以下）と段階的な遅延を義務付けており、実ユーザーをロックアウトせずに自動化を減速させます。
• リスクベースのステップアップ MFA を追加する。 リスクシグナル（IP、デバイス、地理情報、速度）が示したときだけ追加の要素を求めます。通常のログインの摩擦を最小限にしながら強力に保護できます。
• デバイスをフィンガープリントし、行動を監視する。 ボットは環境を再利用し、人間離れした速度で動きます。デバイスと行動のシグナルは、ボットについて IP レイヤーが見逃すものを捉えます。
• IP インテリジェンスをスコアに重み付けして組み込む。 接続タイプ、匿名化フラグ、ASN のレピュテーションはリスク判断への入力として使い、決して唯一の関門にはしません。ログイン、サインアップ、チェックアウトでそれぞれ別のしきい値を設けます。
• 重要なエンドポイントをすべて保護する。 ログイン、パスワードリセット、チェックアウトはいずれも同じ精査が必要です。攻撃者は最も弱いところへ矛先を変えます。

ログイン時の IP ルックアップが返すもの

GeoIPHub は、このスタックのうち IP インテリジェンスのレイヤーを提供しており、大雑把ではなく重み付けして使えるように設計されています。ログインやパスワードリセットのエンドポイントで一度ルックアップするだけで、接続タイプ、匿名化フラグ、ASN、そして推奨アクション付きの説明可能なリスクスコアが返されます。これにより、本当にリスクの高いものにはチャレンジし、実際の顧客は通すことができます。以下は VPN サーバーのアドレスである 102.129.235.17 の実際のルックアップで、ログインチェックが読むフィールドに絞っています。

この例のように OpenVPN と IPsec のハンドシェイクに応答するデータセンターの VPN サーバーからのログインは、ブロック帯（75 超）に入ります。中間帯のスコアには代わりにステップアップのチャレンジが課され、通常の場所からのクリーンな住宅用接続はそのまま通過します。これが NIST の説明するとおりのリスクベース認証です。無料の IP 不正スコアチェッカーや VPN・プロキシ検知テストで任意のアドレスを試すことも、API で組み込むことも、スコアの算出方法を方法論で確認することもできます。

群衆ではなく、群衆の中の攻撃者を捕まえる

クレデンシャルスタッフィングはアカウント乗っ取りを産業化・自動化されたビジネスに変え、住宅用プロキシは従来の反射的な対応（悪い IP をブロックする）を効果がないばかりか実ユーザーに害をなすものにしました。2026年に実際に通用する防御は、多層的でリスクベースのものです。漏洩済みパスワードを発生源で止め、賢くスロットリングしてチャレンジし、IP インテリジェンスをアダプティブな判断に供給する価値の高いシグナルとして扱います。群衆の中に隠れた攻撃者を捕まえ、群衆を罰しないことです。

よくある質問

クレデンシャルスタッフィングとアカウント乗っ取りの違いは何ですか？

クレデンシャルスタッフィングは攻撃手法です。過去の漏洩で盗まれたユーザー名とパスワードの組み合わせをボットが大量に試し、ユーザーがあなたのサイトで使い回しているものを見つけ出します（OWASP はこれを OAT-008 に分類しています）。アカウント乗っ取り（ATO）はその結果であり、有効な組み合わせが見つかって攻撃者がアカウントを掌握した状態を指します。クレデンシャルスタッフィングは ATO に至る最も一般的な経路ですが、ATO はフィッシング、マルウェア、セッションハイジャックによっても起こり得ます。

クレデンシャルスタッフィングの背後にある IP アドレスをブロックするだけで十分ですか？

いいえ。OWASP は、IP ブロックを「唯一の、または主要な防御として使うべきではない」と明確に警告しています。最新のツールキットはリクエストごとに異なる住宅用プロキシの IP を経由させるため、IP あたりの量はブロックリストやレート制限をすり抜けられる程度に低く抑えられます。さらに悪いことに、一律の IP ブロックは数千人の実ユーザーが共有する CGNAT やモバイルのアドレスにも当たってしまいます。IP インテリジェンスはハードブロックではなく、リスクスコアに組み込むべきものです。

2026年のアカウント乗っ取りの問題はどれほど大きいのですか？

大きく、そして拡大しています。2025年の Verizon DBIR では、侵害されたクレデンシャルが漏洩の 22% で初期侵入経路となっており、クレデンシャルスタッフィングは日々の認証試行の中央値で 19% を占めていました。HUMAN Security は、2025年に組織あたり 400,000 件を超えるログイン後のアカウント侵害試行を記録しており（2024年の 4 倍以上）、自動化トラフィックは全 Web トラフィックの 53% を超えました（Imperva/Thales）。

IP インテリジェンスはアカウント乗っ取りの検知にどう役立ちますか？

NIST がアダプティブ認証向けに推奨するリスクシグナルを提供します。接続タイプ（データセンター／クラウドか住宅用か）、VPN／プロキシの検知、ASN のレピュテーション、そして移動不可能な距離のログイン（impossible travel）の確認に使うジオロケーションです。クラウドのデータセンター、既知の匿名化サービス、あるいはあり得ない場所からのログイン試行はリスクが高く、ステップアップ MFA でチャレンジする理由にはなりますが、必ずしもブロックする理由にはなりません。

実際の顧客をブロックせずにクレデンシャルスタッフィングを止めるにはどうすればよいですか？

多層的でリスクベースのアプローチを取ります。漏洩済みとして知られるパスワードをブロックし（NIST の SHALL 要件）、失敗した試行をスロットリングし、リスクの高いログインにはステップアップ MFA を追加し、デバイスをフィンガープリントし、IP シグナルはハードブロックではなくリスクスコアに重み付けして組み込みます。完全なブロックは確度の高いケースに限り、共有／モバイル／プライバシーリレーの IP は免責して、正当なユーザーが通れるようにします。