アカウント乗っ取り（ATO）とは？発生原因や対策8選、被害例を解説

アカウント乗っ取り（ATO）とは、攻撃者が正規ユーザーになりすましてログインし、不正に情報を盗み取ったり操作を行ったりする攻撃のことです。業務でのクラウド利用が増える中で、不正ログインやアカウント乗っ取りによる被害が増加しており、企業の信頼や顧客情報を守るための対策が急務です。

本記事では、アカウント乗っ取りの概要や原因と被害例、被害を防ぐ対策について詳しく解説します。アカウント乗っ取りについて知りたい方、被害を防止したい方は、ぜひ参考にしてください。

アカウント乗っ取り（ATO）とは

アカウント乗っ取り（ATO）とは、悪意のある第三者が認証情報を盗みユーザーアカウントに不正アクセスするサイバー攻撃のことです。不正アクセス後には、情報を盗んだりデータの改ざん・削除を行ったりするため、万が一アカウントを乗っ取られれば甚大な被害を受けるリスクがあります。

ここからは以下の事項について解説します。

• アカウント乗っ取り攻撃の主な標的
• アカウント乗っ取りの発生ステップ

アカウント乗っ取り攻撃の主な標的

アカウント乗っ取りの攻撃対象は、全ての企業・組織と個人です。具体的に標的となりやすい対象は、以下の通りです。

• インターネットバンキングやECサイトアカウント
• マイルの管理を行う航空会社などのアカウント
• 政府や医療機関など機密情報を保有する組織
• 個人情報を保有している企業

アカウント乗っ取りの発生ステップ

アカウント乗っ取りが発生する基本的なステップは以下の通りです。

1. ID・パスワードなどの認証情報を不正に入手する
2. 入手した認証情報が機能するかテストする
3. 活用して不正アクセスを試みる
4. 上位権限を有するアカウントを乗っ取り、機密データにアクセスする

盗んだ認証情報を自分で活用せずに、販売するケースもあります。

アカウント乗っ取りが発生する5つの原因

続いて、アカウント乗っ取りが発生する以下5つの原因について解説します。

• 認証情報が漏洩している
• 脆弱なパスワードを設定している
• パスワードの使い回し
• 多要素認証（MFA）や二段階認証を設定していない
• アクセスなどを監視していない

認証情報が漏洩している

認証情報が漏洩していれば、容易に不正アクセスされます。近年は、認証情報を狙ったサイバー攻撃が多く存在します。また、漏洩した認証情報が取引されて、複数のサイバー攻撃に遭うケースも少なくありません。

脆弱なパスワードを設定している

脆弱なパスワードの設定も、アカウント乗っ取りの原因です。セキュリティに関するサービスを営むSecurity Hero社が調査した結果によれば、51％のパスワードは1分以内に解析されます。近年は、テクノロジーが進歩しているため脆弱なパスワードは容易に解析されるリスクがあります。

参照：AN AI JUST CRACKED YOUR PASSWORD｜Security Hero

パスワードの使い回し

パスワードを使い回した結果、アカウントを乗っ取られるケースもあります。同じパスワードを用いれば、複数のアカウントに不正アクセスされるリスクが高まり被害が拡大するでしょう。

多要素認証（MFA）や二段階認証を設定していない

多要素認証や二段階認証を設定していない場合にも、アカウントを乗っ取られるリスクが高まります。多要素認証とは知識や所有物、生体など複数の要素を活用して認証を行う方法のことで、二段階認証とは認証回数を増やしてセキュリティを強化する方法のことです。
なお、多要素認証と二段階認証の詳細は以下をご覧ください。
⇒MFA（多要素認証）とは？仕組みやメリット・デメリット、導入方法を解説
⇒二段階認証とは？認証方法やメリット・デメリット、注意点を解説

アクセスなどを監視していない

アクセスなどを監視していないことも、アカウントを乗っ取られる原因になります。アクセスやトラフィックを監視しなければ、サイバー攻撃に気付きにくくなるでしょう。

アカウント乗っ取りを目的とした8つのサイバー攻撃

アカウント乗っ取りを目的とした主なサイバー攻撃は以下の8つです。

• クレデンシャルスタッフィング攻撃
• パスワードスプレー攻撃
• フィッシング詐欺
• マルウェア
• ソーシャルエンジニアリング
• ブルートフォース攻撃
• SIMスワッピング
• 中間者（MITM）攻撃

順に解説します。

クレデンシャルスタッフィング攻撃

クレデンシャルスタッフィング攻撃は、過去に漏洩したIDとパスワードの組み合わせを用いて、他のサービスへ不正アクセスを試みるサイバー攻撃です。パスワードを使い回すユーザーが多いため、クレデンシャルスタッフィング攻撃が増加しています。
⇒クレデンシャルスタッフィング攻撃とは？受けた場合の被害内容や検知・防止方法を解説

パスワードスプレー攻撃

パスワードスプレー攻撃は、良く使われるパスワードを多数のアカウントに試して不正アクセスを試みるサイバー攻撃です。短時間で同じアカウントに大量の試行を行わないため、検知しにくくアカウントロックを避けられやすい特徴があります。

フィッシング詐欺

フィッシング詐欺は、クレジットカードや大手ECショップを偽ったメールを利用して、偽サイトから個人情報などを騙し取るサイバー攻撃です。以前は不特定多数に大量のメールを送るケースが一般的でしたが、近年は攻撃対象をリサーチして成功率を高める工夫を行う攻撃も増えています。
⇒フィッシング詐欺とは？5つの対策や被害にあった場合の対処法を解説

マルウェア

マルウェアは、パソコンやネットワークに不正な動作をさせる悪意あるソフトウェアです。ウイルスやランサムウェア、スパイウェアなどが代表的です。

ソーシャルエンジニアリング

ソーシャルエンジニアリングは、ログイン情報や個人情報などを盗み取る手法です。背後からパソコンやスマートフォンの画面を覗き見るなど、さまざまな手法が用いられています。
⇒ソーシャルエンジニアリングとは？手口や被害の事例、対策について解説

ブルートフォース攻撃

ブルートフォース攻撃（総当たり攻撃）は、Webサービスにログインする際の認証で使うパスワードを、考えられる全てのパターンで試して不正アクセスするサイバー攻撃です。近年はコンピューターの性能が向上したため、1万通りの認証情報でも数秒で試すことができます。
⇒ブルートフォース攻撃とは？被害例や対策をわかりやすく解説

SIMスワッピング

SIMスワッピングは、SIMカードを不正に乗っ取り個人情報や金融情報にアクセスするサイバー攻撃です。SMSや電話の受信も可能になるため、多要素認証を突破される恐れがあります。

⇒SIMスワップ詐欺とは？具体的な手口や効果的なセキュリティ対策とは

中間者（MITM）攻撃

中間者（MITM）攻撃は、通信に入り込みデータを盗み見たり改ざんしたりするサイバー攻撃です。http通信など暗号化されていない通信を利用すると、被害を受けるリスクが高まります。

アカウント乗っ取りの被害例

次に、アカウント乗っ取りの以下被害例を紹介します。

• 顧客情報の不正取得
• クラウドストレージからの情報流出
• 社内システムへの不正アクセス

顧客情報の不正取得

アカウント乗っ取りにより、顧客情報を盗まれるケースが多くあります。近年は、プライバシー保護に関する注目が高まっています。企業が保有する個人情報を盗まれれば、信用やブランドイメージの低下につながるでしょう。

クラウドストレージからの情報流出

アカウント乗っ取りにより、クラウドストレージからの情報流出が発生することもあります。戦略などの機密情報が流出した場合、企業競争力の低下につながります。

社内システムへの不正アクセス

アカウント乗っ取りにより、社内システムへ不正アクセスされるケースもあります。データやシステムが改ざん・削除されれば、業務や顧客へのサービス提供が停止するリスクがあるでしょう。信用の低下や顧客離れの原因になります。

アカウント乗っ取りの兆候

アカウント乗っ取り攻撃を仕掛けられた場合、以下の兆候があります。

• トラフィックが増加する
• 身に覚えのない操作ログがある
• 失敗したログインが増加する

通常とは異なることがあれば、サイバー攻撃を疑いましょう。迅速な行動が、被害の防止・最小化に有効です。

アカウント乗っ取りを防ぐ8つの対策

続いて、アカウント乗っ取りを防ぐ以下8つの対策を紹介します。

• OSのこまめなアップデート
• 複雑なパスワードの設定
• アカウントの監視
• ログイン試行の回数制限
• 多要素認証の利用
• 厳格なアカウント・権限管理
• セキュリティ教育の実施
• ダークウェブの監視

OSのこまめなアップデート

アカウント乗っ取りの防止には、OSのこまめなアップデートが重要です。多くのサイバー攻撃は、セキュリティ上の弱点である脆弱性をついています。アップデートでは、脆弱性をなくすパッチが提供されるケースもあり、セキュリティの向上に有効です。また、新たなセキュリティ機能が実装されることもあります。

なお、OSのアップデート手順は以下をご覧ください。
⇒OSのアップデート手順をデバイス別に紹介！メリットや実施前にすべきことも解説

複雑なパスワードの設定

複雑なパスワードの設定も、アカウント乗っ取り防止に欠かせません。具体的には、以下を踏まえてパスワードを作成することが重要です。

• 12文字以上にする
• 推測されやすい文字列を使わない
• アルファベット・数字・記号を併用する
• パスワードを使い回さない

また、複数かつランダムな単語で構成されたパスワードであるパスフレーズを利用するのも良いでしょう。

なお、安全性の高いパスワードの作り方やパスフレーズの詳細を知りたい方は以下をご覧ください。
⇒安全性の高いパスワードの作り方とは？役立つツール3選や利便性・安全性を高めるポイントも解説
⇒パスフレーズとは？パスワードとの違いやメリット・デメリットや設定のポイントを解説

アカウントの監視

アカウントの監視も乗っ取り防止に効果的です。「アカウント乗っ取りの兆候」の章で解説した通り、アカウント乗っ取りには兆候があります。アカウントを監視することで、素早く兆候に気付き対処できます。

ログイン試行の回数制限

アカウント乗っ取りの防止には、ログイン試行の回数制限も効果的です。本記事で紹介したブルートフォース攻撃では、さまざまなID・パスワードを用いてログインを実施します。ログイン試行の回数を制限することで、不正アクセスされるリスクを軽減できるでしょう。

多要素認証の利用

多要素認証の利用も良いでしょう。多要素認証を設定しておけば、ID・パスワードなどの認証情報を盗まれたとしても、容易にはアクセスされません。不正アクセスまでの時間もかかるため、対処時間を確保できます。

厳格なアカウント・権限管理

厳格なアカウント・権限管理も重要です。退職者などのアカウントを放置した場合、不正アクセスされる可能性が高まります。サイバー攻撃を受けても、気付くのが遅れるでしょう。また、上位権限を有するアカウントを乗っ取られれば、多くの被害を受けるリスクがあります。

権限管理のポイントは以下をご覧ください。
⇒権限管理とは？不適切な場合のリスクや設定手法・ポイントを解説

セキュリティ教育の実施

アカウント乗っ取りの防止には、セキュリティ教育の実施も必要です。高度なセキュリティ対策ツールなどを導入しても、従業員の不用意な行動が原因でサイバー攻撃を受けるリスクがあります。危険な行動やサイバー攻撃のリスク、被害事例を定期的に伝えて、従業員のリテラシーを高めましょう。

なお、具体的なセキュリティ教育のテーマや役立つコンテンツを知りたい方は以下をご覧ください。
⇒情報セキュリティ教育とは？役立つWebサイト・コンテンツ8選や実施ステップを解説

ダークウェブの監視

ダークウェブを監視することにより、被害防止に役立ちます。ダークウェブとは、一般的なブラウザではアクセスできない領域のことです。匿名性が高く、盗んだ認証情報などの取引が行われています。
弊社SMSデータテックが開発・提供している「ダークウェブアイ」は、ダークウェブ上に流出したID・パスワードを定期監視して、アカウント乗っ取りの兆候を早期に発見します。

なお、ダークウェブの詳細は以下をご覧ください。
⇒ダークウェブとは？仕組みや被害事件6選、対策まで徹底解説！

アカウント乗っ取りに遭った場合の対処法

対策を行ったとしても、アカウント乗っ取りを完全に防ぐことは困難です。被害に遭った際には、以下の流れで対処しましょう。

1. 上司やシステム担当者に報告する
2. アカウントを提供している企業に連絡する
3. パスワードを変更する
4. 警察や専門機関に報告する

個人で判断せず、上司やシステム担当者にも相談しながらどのように対処するか決めましょう。

まとめ

アカウント乗っ取り（ATO）とは、悪意のある第三者が認証情報を盗みユーザーアカウントに不正アクセスするサイバー攻撃のことです。パスワードの漏洩や使い回しなどが原因で発生します。アカウントを乗っ取られれば、情報漏洩が発生するリスクがあります。また、データやシステムを改ざん・削除される恐れもあるでしょう。アカウント乗っ取りの防止には、OSのこまめなアップデートやアカウントの監視、多要素認証の利用などが重要です。

ただ、パスワード漏洩を完全に防ぐことは困難なため「情報漏洩に気付く仕組み」の整備が必要です。情報漏洩監視ツール「ダークウェブアイ」を活用して、ダークウェブを監視しましょう。