無料会員登録
「IDとパスワードが漏洩した」「クレデンシャルスタッフィング攻撃を受けた」——IT・セキュリティの現場でよく耳にする「クレデンシャル」という言葉。意味を正確に理解している人は意外に少ないかもしれません。
クレデンシャル（Credential）とは、システムやサービスにアクセスするために使用する「本人確認情報」の総称です。IDとパスワードの組み合わせが代表例ですが、デジタル証明書・APIキー・トークン・SSHキー・生体認証に関連する情報など、多様な形式があります。
本記事では、クレデンシャルの意味・種類・クレデンシャルを狙った攻撃手口・漏洩した場合のリスク・適切な管理方法・企業向けの対策・被害事例・FAQまで、初心者にもわかりやすく解説します。
クレデンシャルとは？
クレデンシャル（Credential）とは、コンピューターシステム・Webサービス・ネットワークなどにアクセスする際に「あなたが本人である」ことを証明するための情報の総称です。日本語では「資格情報」「認証情報」「証明情報」と訳されます。
クレデンシャルの語源
クレデンシャルは英語の「credential」から来ており、もともとは「信任状」「資格証明書」「身分を証明するもの」といった意味で使われます。ITの文脈では、認証やアクセス制御に使う情報全般を指します。
認証・認可との関係
| 概念 | 意味 | クレデンシャルとの関係 |
|---|---|---|
| クレデンシャル | 本人確認のための情報 | ID・パスワード・証明書・トークンなど、認証に使われる情報そのもの |
| 認証（Authentication） | 本人であることを確認するプロセス | クレデンシャルを提示して本人かどうかを確認する |
| 認可（Authorization） | 何ができるかを決めるプロセス | 認証後に、アクセスできる範囲や操作権限を決める |
たとえば、ログイン画面でIDとパスワードを入力する行為は「認証」です。その後、管理画面に入れるのか、閲覧だけできるのか、編集もできるのかを決めるのが「認可」です。クレデンシャルは、認証のために使われる重要な情報です。
クレデンシャルの種類
クレデンシャルには、さまざまな形式があります。IDとパスワードだけでなく、証明書、APIキー、トークン、秘密鍵などもクレデンシャルに含まれます。
パスワード・パスフレーズ
最もよく使われるクレデンシャルです。ユーザーIDとパスワードの組み合わせで本人を確認します。
パスフレーズは、複数の単語や文章に近い文字列を組み合わせた長いパスワードです。短く複雑な文字列よりも、長く推測されにくいパスフレーズの方が実用的な場合があります。
デジタル証明書・PKI
公開鍵暗号基盤（PKI）を使ったクレデンシャルです。認証局（CA）が発行する電子証明書を使い、Webサイトの信頼性確認、SSL/TLS通信、電子署名、クライアント認証などに利用されます。
APIキー・トークン
アプリケーション間の通信（API）で使われるクレデンシャルです。OAuthトークン、JWTトークン、APIキー、アクセストークンなどが含まれます。
APIキーやトークンは「このアプリにこのサービスへのアクセスを許可する」ための鍵として機能します。漏洩すると、攻撃者が正規アプリになりすましてAPIを悪用する可能性があります。
生体認証に関連する情報（バイオメトリクス）
指紋・顔・虹彩・静脈など、身体的特徴を使った認証要素です。スマートフォンのロック解除やパスキー認証などで広く利用されています。
ただし、多くの端末では、生体情報そのものを外部サーバーへ送信するのではなく、端末内で保護されたテンプレートや認証結果を使って本人確認を行います。生体認証は便利ですが、パスワードのように簡単に変更できるものではないため、保護の仕組みを理解して使うことが重要です。
ワンタイムパスワード（OTP）
一定時間のみ有効な使い捨てのパスワードです。SMS、認証アプリ、ハードウェアトークンなどで生成されます。多要素認証（MFA）の追加要素としてよく使われます。
SMS認証は導入しやすい一方で、SIMスワップ攻撃やSMSの盗み見などのリスクがあります。可能であれば、認証アプリ、パスキー、セキュリティキーなど、より安全性の高い方式も検討するとよいでしょう。
SSHキー・秘密鍵
サーバーへのリモートアクセスで使われる公開鍵認証のクレデンシャルです。開発者やシステム管理者がLinuxサーバーなどに安全に接続するために使います。
SSH秘密鍵が漏洩すると、攻撃者がサーバーへ不正アクセスできる可能性があります。秘密鍵は暗号化し、不要になった鍵は削除し、利用者や用途ごとに適切に管理する必要があります。
Kerberosチケット・セッションクッキー
一度認証に成功した後、セッション中の再認証を省略するために使われる一時的なクレデンシャルです。
Kerberosチケットは企業ネットワークの認証で利用され、セッションクッキーはWebサービスへのログイン状態を維持するために利用されます。これらが盗まれると、パスワードを知らなくても本人になりすましてアクセスされる可能性があります。
書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！
セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！
クレデンシャルを狙った攻撃手口4種類
クレデンシャルは、サイバー攻撃者にとって価値の高いターゲットです。クレデンシャルを盗めば、マルウェアを使わなくても正規ユーザーになりすましてシステムに侵入できるためです。
①クレデンシャルスタッフィング（Credential Stuffing）
他のサービスから流出したIDとパスワードのリストを使い、別のサービスへのログインを自動で試みる攻撃です。「パスワードの使い回し」を悪用します。
たとえば、あるECサイトで流出したメールアドレスとパスワードの組み合わせが、SNS、メール、クラウドサービス、ネットバンキングなどへの不正ログインに使われることがあります。
②フィッシング（Phishing）
偽のWebサイトやメールでユーザーをだまして、クレデンシャルを入力させる攻撃です。「銀行からの緊急連絡」「Amazonのアカウント確認」「Microsoft 365のパスワード期限切れ」などを装い、本物そっくりの偽サイトに誘導します。
入力されたID・パスワード・認証コードは攻撃者に送信され、不正ログインやアカウント乗っ取りに悪用されます。
③パスワードスプレー攻撃（Password Spraying）
「password」「123456」「会社名＋年号」など、よく使われるパスワードを多数のアカウントに対して試す攻撃です。
1つのアカウントに対して大量のパスワードを試すブルートフォース攻撃とは異なり、複数のアカウントに対して少数のよく使われるパスワードを試すため、アカウントロックを回避しやすいという特徴があります。
④マルウェア・キーロガーによる窃取
感染したPCに常駐するキーロガーやインフォスティーラーが、入力されたID・パスワード、ブラウザに保存された認証情報、Cookie、トークン、暗号資産ウォレット情報などを盗む攻撃です。
近年は、ブラウザやアプリに保存されたクレデンシャルを狙う情報窃取型マルウェアも多く、個人・企業のどちらにとっても大きな脅威です。
クレデンシャルが漏洩した場合のリスク
| リスクの種類 | 内容 | 具体例 |
|---|---|---|
| 不正ログイン・アカウント乗っ取り | サービスに不正アクセスされ、アカウントが乗っ取られる | SNS・メール・クラウドサービス・銀行口座への不正アクセス |
| 金銭的被害 | ネットバンキング・ECサイト・決済サービスで不正利用される | クレジットカードの不正利用・ポイントの不正利用・不正送金 |
| 個人情報・機密情報の漏洩 | アカウント内の情報が閲覧・窃取される | 顧客情報・社内文書・メール内容・添付ファイルの流出 |
| ラテラルムーブメント（横展開） | 1つのクレデンシャル漏洩から社内システム全体に侵入が広がる | 1台のPC侵害からファイルサーバー・管理画面・クラウド環境へ被害拡大 |
| ビジネスメール詐欺（BEC） | メールアカウントを乗っ取り、取引先に偽の振込依頼を送る | 経営者や取引先を装った不正送金指示 |
クレデンシャルの適切な管理方法（個人向け）
パスワードの使い回しをやめる
クレデンシャルスタッフィング攻撃への重要な対策です。サービスごとに異なるパスワードを設定してください。
複数のサービスで同じパスワードを使い回していると、1つのサービスで漏洩したクレデンシャルが、別のサービスへの不正ログインに悪用される可能性があります。
長く推測されにくいパスワードを設定する
短い複雑な文字列よりも、長く推測されにくいパスフレーズが有効な場合があります。サービスごとに異なるパスワードを設定し、辞書に載っている単語や個人情報だけで構成しないようにしましょう。
たとえば、名前、生年月日、電話番号、会社名、サービス名などを含むパスワードは推測されやすいため避けてください。
多要素認証（MFA）を有効にする
パスワードが漏洩しても、MFAを設定していれば不正ログインのリスクを大きく下げられます。
SMS認証、認証アプリ、ハードウェアトークン、セキュリティキー、パスキーなど、サービスが対応している方式を確認しましょう。可能であれば、SMSよりも認証アプリやパスキー、セキュリティキーなど、より安全性の高い方式を検討してください。
パスワードマネージャーを使う
パスワードマネージャーを使うことで、各サービスに強力でユニークなパスワードを設定しつつ、マスターパスワード1つで管理できます。
利用する場合は、信頼できる製品を選び、マスターパスワードを強固にし、パスワードマネージャー自体にも多要素認証を必ず有効化してください。
定期的な漏洩チェック
「Have I Been Pwned（haveibeenpwned.com）」などの漏洩確認サービスで、メールアドレスや電話番号が過去のデータ漏洩に含まれていないか確認できます。
漏洩が確認された場合は、該当サービスのパスワードをすぐに変更し、同じパスワードを使い回している他のサービスも変更してください。
企業向けのクレデンシャル管理・保護対策
特権アクセス管理（PAM）の導入
管理者アカウント・特権IDのクレデンシャルを一元管理するPAM（Privileged Access Management）ソリューションを導入します。
特権クレデンシャルの利用者・利用時間・操作内容を記録し、不審な使用を検知できるようにすることで、内部不正や外部攻撃による被害を抑えやすくなります。
シングルサインオン（SSO）とIDaaS
Okta、Microsoft Entra ID、Google WorkspaceなどのIDaaS（Identity as a Service）を活用し、認証基盤を一元管理します。
SSOにより、ユーザーは1つの認証基盤を通じて複数のサービスへアクセスできます。管理者側も、退職者アカウントの無効化、MFAの強制、条件付きアクセス、ログ監視などを行いやすくなります。
クレデンシャルのハードコード禁止
ソースコードやスクリプトにAPIキー・パスワード・トークン・秘密鍵を直接書き込むことは避けてください。
環境変数、シークレット管理サービス、クラウドのSecrets Manager、HashiCorp Vaultなどを使って安全に管理します。GitHubなどに誤って公開されると、第三者に悪用される可能性があります。
ゼロトラスト・最小権限の原則
すべてのアクセスを検証し、業務に必要な最小限の権限だけを付与します。クレデンシャルが漏洩した場合でも、権限を限定していれば被害範囲を抑えやすくなります。
管理者権限を常時付与せず、必要なときだけ一時的に昇格する運用も有効です。
クレデンシャルのローテーション
サービスアカウントのパスワード、APIキー、証明書、トークンなどは、必要に応じて定期的に更新（ローテーション）します。
使わなくなったクレデンシャルはすみやかに無効化し、退職者・外部委託先・終了したプロジェクトのアカウントが残り続けないように管理してください。
UEBA（ユーザー行動分析）によるクレデンシャル悪用の検知
正規のクレデンシャルを使った不審なアクセスは、通常のウイルス対策だけでは検知が難しい場合があります。
UEBA（User and Entity Behavior Analytics）を活用すると、深夜の大量ダウンロード、普段と異なる国からのアクセス、通常使わないシステムへのログインなど、行動パターンの異常からクレデンシャル悪用を検知しやすくなります。
クレデンシャルに関連する被害・注意事例2選
事例1：パスワードリスト攻撃による不正ログイン
クレデンシャルが漏洩すると、他サービスへの不正ログインに悪用される可能性があります。サイバーセキュリティ.comの記事でも、チャットワークが顧客アカウントに対するパスワードリスト攻撃を確認し、注意喚起を行った事例が紹介されています。
パスワードリスト攻撃は、別のサービスから流出したID・パスワードの組み合わせを使い、別のWebサービスへのログインを試みる攻撃です。ユーザーが複数のサービスで同じパスワードを使い回している場合、1つのサービスから漏洩したクレデンシャルが、ECサイト、SNS、メール、業務ツールなどへの不正アクセスに使われる可能性があります。
対策としては、サービスごとに異なるパスワードを使うこと、多要素認証を有効化すること、不審なログイン通知を見逃さないことが重要です。企業側では、ログイン試行の監視、リスクベース認証、アカウントロック、MFAの導入が有効です。
事例2：ソースコード流出によるAPIキー・トークン漏洩
クレデンシャルはID・パスワードだけではありません。APIキー、アクセストークン、SSH秘密鍵、クラウドサービスの認証情報なども重要なクレデンシャルです。サイバーセキュリティ.comの記事でも、ソースコード流出が疑われる場合、APIキーやトークンなどの認証情報が含まれていれば、速やかに無効化し、不審な利用履歴を確認する必要があると説明されています。
開発現場では、APIキーやトークンをソースコードに直接書き込んだまま、GitHubやGitLabなどに誤って公開してしまうケースがあります。第三者に認証情報を取得されると、クラウドリソースの不正利用、外部APIの不正実行、データベースへのアクセス、追加課金などの被害につながる可能性があります。
対策としては、クレデンシャルをコードにハードコードしないこと、環境変数やシークレット管理サービスを利用すること、リポジトリ公開前にシークレットスキャンを実施することが重要です。万が一漏洩した場合は、該当キーを即時無効化し、新しいクレデンシャルを再発行してください。
参考：ソースコード流出が疑われる場合の対処法｜確認すべき経路と初動対応｜サイバーセキュリティ.com
よくある質問（FAQ）
Q. クレデンシャルとパスワードは同じ意味ですか？
パスワードはクレデンシャルの一種ですが、同じ意味ではありません。クレデンシャルは、パスワード、デジタル証明書、APIキー、トークン、SSHキー、生体認証に関連する情報など「本人確認に使う情報」を指す広い概念です。パスワードは、その中でも最も一般的なクレデンシャルの形式です。
Q. クレデンシャルスタッフィングとブルートフォース攻撃の違いは何ですか？
ブルートフォース攻撃は、1つのアカウントに対して多数のパスワード候補を総当たりで試す攻撃です。クレデンシャルスタッフィングは、他のサービスから漏洩した「実際に使われていたIDとパスワードのペア」を使って、多数のアカウントへのログインを試みる攻撃です。
実在する認証情報を使うため、パスワードの使い回しがあると成功しやすくなります。
Q. クレデンシャルが漏洩したかどうかはどうすればわかりますか？
「Have I Been Pwned（haveibeenpwned.com）」などの漏洩確認サービスで、メールアドレスや電話番号が過去のデータ漏洩に含まれていないか確認できます。
また、各サービスからの「不審なログインがありました」という通知、使った覚えのない決済通知、勝手にパスワードが変更された形跡なども、クレデンシャル漏洩のサインです。
Q. 企業でクレデンシャルを安全に管理するにはどうすればいいですか？
まず、多要素認証（MFA）を主要な社内システムに導入することが重要です。次に、IDaaSで認証基盤を一元管理し、特権アカウントにはPAM（特権アクセス管理）を導入します。
APIキーやトークンなどのシークレットはコードに直接書かず、シークレット管理サービスで管理してください。また、退職者アカウントや使わなくなったAPIキーを放置しないことも重要です。
Q. パスキー（Passkey）とクレデンシャルの関係は何ですか？
パスキー（Passkey）は、FIDO2/WebAuthnに基づく新しい形式のクレデンシャルです。パスワードの代わりに公開鍵暗号を使い、デバイスに保存された秘密鍵と生体認証・PINなどを組み合わせて認証します。
パスワードというクレデンシャルを、よりフィッシングに強いクレデンシャルへ置き換える技術として、Google・Apple・Microsoftなどが普及を進めています。
まとめ
クレデンシャルとは、システムやサービスへのアクセスに使う本人確認情報の総称です。パスワードが最も一般的ですが、デジタル証明書、APIキー、トークン、OTP、SSHキー、生体認証に関連する情報など、多様な形式があります。
クレデンシャルを狙った攻撃には、クレデンシャルスタッフィング、フィッシング、パスワードスプレー、マルウェアやキーロガーによる窃取などがあります。クレデンシャルが漏洩すると、不正ログイン、金銭的被害、情報漏洩、社内ネットワークへの侵入拡大など、深刻な被害につながる可能性があります。
個人の対策は、パスワードの使い回しをやめること、多要素認証を設定すること、パスワードマネージャーを安全に活用すること、定期的に漏洩チェックを行うことが基本です。企業では、PAM・IDaaSの導入、クレデンシャルのハードコード禁止、ゼロトラストと最小権限の徹底、UEBAによる不審な使用の検知が有効です。
現代のサイバー攻撃の多くは、クレデンシャルの窃取・悪用から始まります。クレデンシャル管理をセキュリティ対策の最優先事項として見直すことが、アカウント乗っ取りや情報漏洩を防ぐ第一歩です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
クレデンシャルは「鍵」のようなものです。建物（システム）に入るには正しい鍵（クレデンシャル）が必要で、鍵を持っている人だけが中に入れます。パスワードは「合言葉の鍵」、デジタル証明書は「刻印入りの特殊な鍵」、APIキーは「アプリ専用の鍵」のようなものです。鍵を盗まれれば、第三者が本人になりすましてシステムへ侵入できてしまいます。