導入：何が起きたのか — 2025年の“急増”を振り返る
2025年は、クレデンシャル（認証情報）窃取とそれを利用したアカウント乗っ取り（ATO）が世界的に急増した年として記録されました。複数の脅威インテリジェンス報告は、2025年前半だけで数十億件規模の認証情報が流通・盗難されたと報告しており、攻撃手法はフィッシング、インフォスティーラー（情報窃取マルウェア）、およびクレデンシャルスタッフィング（いわゆる撞庫攻撃）が中心でした。
報告によっては増加率は指標や母集団により幅があるものの、過去半年〜1年で数百パーセント規模の増加が観測されており、被害は小売、金融、SaaS、ヘルスケアなど幅広い業種に影響を与えました。
本稿は、企業セキュリティ担当者（CISO、SOC、IRチーム、アプリ/ID運用）を対象に、実務で使える検出指標、封じ込め手順、インシデント対応テンプレートを提示します。最新の脅威動向は定期的に変化するため、本ガイドは“2025年の急増”を踏まえた実践的出発点としてご利用ください。
第1部 — 攻撃の主な手口と痕跡（TTP）
よく使われる攻撃チェーン
- フィッシング → 認証情報収集：カスタマイズされたフィッシングでログイン情報が奪われ、リプレイや二次売買に回る。
- インフォスティーラー：端末感染によりブラウザ保存のクッキー／トークンやパスワードが抜かれる。2025年前半はインフォスティーラーが主要因として挙げられました。
- クレデンシャルスタッフィング：外部流出データベースを用い、再利用されたパスワードで大量ログインを試行する。自動化されたボット群が短時間で多数の試行を行うのが特徴です。
ログやテレメトリで見られる代表的な痕跡
- 短時間に同一アカウントへ大量の失敗ログインが発生（秒〜分単位の試行急増）
- 通常アクセス地域と異なる地理的IPやTOR/VPN経由のログイン
- 同一IP/プロキシから複数アカウントへのスパイク（IPベロシティ）
- 新しいデバイス／ブラウザ指紋での成功ログイン、セッション乗っ取りの不整合
- 認証関連イベント（MFA拒否・連続プッシュ通知・OTP入力による成功/失敗の異常比率）
こうした痕跡を早期検出するため、ログイン成功率・失敗率、IPベロシティ、ユーザ行動ベースのリスクスコアをSIEM／UEBA／IAMで継続監視することが重要です。ボット由来の大規模試行や季節的トラフィックのスパイクを狙う傾向も報告されています。
第2部 — 実務的な検出・封じ込め・初動対応フロー
短期（発見後0–24時間）の優先アクション
- 疑わしいログインの即時無効化：該当アカウントのセッションを即時切断し、必要に応じてパスワードリセットを強制する。
- MFAの強制化・プッシュ通知監査：MFAが設定されていないアカウントには速やかにMFAを一時要求し、プッシュ承認の異常履歴を確認する。
- 攻撃ベクトルの切断：悪性IPやプロキシ経路をブロックし、APIキーやサービスアカウントの疑わしい利用を一時停止する。
- スコーピング：被害範囲（影響を受けたアカウント数、アクセスされた資源、横展開の有無）をログと認証履歴から特定する。
中期（24–72時間）：フォレンジックと封じ込め
- EDR／ネットワークログ／プロキシログから感染端末や侵害経路を特定。
- パスワード再利用の影響を評価し、全社的なパスワードリセットや強制パスワード変更を判断。
- 疑わしいトークン・クッキーの無効化と、永続的資格情報のローテーション。
長期（72時間以降）：復旧と学習
- 被害を受けたアカウントの再保護、ログ監査、対策の恒久化（自動化ルール作成）
- ユーザ教育の実施、フィッシング演習、MFA利用率向上施策
- ポスチャ評価とWAF／ボット管理の高信頼化
ボット検知とレート制限、並びに認証フローの強化（パスキー／FIDO2やリスクベース認証の導入）は、継続的対策として要検討です。業界レポートでもボット対策／認証強化が推奨されています。
付録：インシデント対応テンプレート（実務で貼って使える簡易版）
1) 初動チェックリスト（受信時）
| 項目 | 実施者 | 期限 | 備考 |
|---|---|---|---|
| 疑わしいログインの一時ブロック | SOCオペレータ | 即時 | セッション切断・パスワードリセット |
| 影響範囲のスコーピング（アカウント数） | IRリード | 4時間以内 | ログ検索クエリをテンプレ化 |
| 関連IP／プロキシのブロック | ネットワーク担当 | 即時 | WAF・クラウドプロバイダでブロック |
| 法務・広報への初期通知 | CISO/法務 | 8時間以内 | 内部報告テンプレ準備 |
2) 調査時に取得すべき最小ログセット
- 認証サーバ（成功/失敗ログ、MFAイベント、トークン発行/破棄）
- Webアプリ/APIアクセスログ（User-Agent、IP、リファラ、リクエスト頻度）
- EDRのプロセス／ファイル変更ログ（インフォスティーラー痕跡）
- プロキシ／クラウドアクセスログ
3) ユーザー通知テンプレ（簡易）
件名：重要 — アカウントセキュリティに関する注意
本文：平素よりお世話になっております。弊社セキュリティチームは、お客様のアカウントに不審なログイン活動を検知しました。現在、該当アカウントの保護を強化しております。恐れ入りますが、ログイン後にパスワードの変更とMFAの再設定をお願いいたします。詳しい手順はこちら：[内部リンク]。ご不明点はセキュリティ窓口（xxx@company.jp）までご連絡ください。
上記テンプレは状況に応じて法務と連携して調整してください。