世界中で毎月260億件以上のクレデンシャルスタッフィング試行が観測されており、自動化されたログイン悪用は現代のアカウント乗っ取り（ATO）詐欺の中核となっています。攻撃者は企業の強固なファイアウォールを破る代わりに、流出した膨大なID・パスワードリストを分散ボットネットから一斉投入してパスワードの使い回しを悪用します。Verizon 2025 Data Breach Investigations Reportによれば、Webアプリケーション侵害の88%が盗まれた認証情報に起因し、悪性ボットはインターネット全トラフィックの4分の1以上を生成しています。本レポートはAkamai、FBI IC3、Verizon DBIR、F5 Labs、Cloudflare、IBMの脅威インテリジェンスを統合し、2026年の攻撃実態を解説します。セキュリティ対策の全体像はcybersecurity statistics roundupもご覧ください。
TL;DR
- 世界中で毎月260億件以上のクレデンシャルスタッフィング試行を記録（Akamai, State of the Internet / Security）。
- 企業のSSO認証トラフィックの中央値19%をクレデンシャルスタッフィングが占める（Verizon, 2025 DBIR）。
- 悪性ボットが世界のHTTPインターネットトラフィックの24%〜26%を生成（Cloudflare, Threat Intelligence）。
- 平均成功率は0.1%〜2.0%だが、1回の攻撃キャンペーンで数百万のアカウントが侵害される（Akamai）。
- 大規模漏洩したパスワードの94%が複数の無関係なサービスで使い回されている（Cybernews, 19 Billion Password Analysis）。
- 盗まれた認証情報は基本Webアプリ攻撃の88%、企業侵害全体の32%を占める（Verizon, 2025 DBIR）。
- EC・小売ポータルが世界全体のクレデンシャルスタッフィング量の約60%を集中して受ける（Akamai）。
- 商戦期ピーク時、小売プラットフォームへのログイン試行の80%〜90%を悪性ボットが占有（F5 Labs）。
- 認証情報乱用攻撃の60%以上がWebフォームではなくモバイルや連携先APIを標的化（Cloudflare）。
- 認証情報侵害によるデータ漏洩の平均被害額は$4.67 millionに達し、封じ込めに292日を要する（IBM, Cost of a Data Breach 2025）。
- 米国だけでもアカウント乗っ取りによる年間の直接金銭被害は$1.2 billionを超える（FBI IC3）。
- スタッフィングボットの70%〜80%が住宅用・モバイルプロキシを利用してIP制限を回避（Cloudflare）。
- フィッシング耐性MFAとパスキーの導入により、アイデンティティ攻撃の99%以上が遮断可能（Verizon DBIR; FIDO Alliance）。
1. Global Attack Volume and Bot Traffic Scale
自動化された認証情報の試行は、散発的なブルートフォーススクリプトから産業規模の恒常的インフラへと進化しました。企業のシングルサインオン環境における毎日の認証要求の中央値19%が機械的な再試行で占められている現状において、ログイン画面はサイバー戦争の最前線と化しています。悪性ボットは全通信の4分の1以上を占め、分散ボットネットを駆使してレート制限を突破します。この実態は当社のpassword security statisticsで分析した脆弱性に直結しています。
| 指標 | 値 | 出典 |
|---|---|---|
| 世界で毎月観測されるクレデンシャルスタッフィング試行数 | ~26 billion | Akamai, State of the Internet / Security |
| 日次SSO認証トラフィックにおけるクレデンシャルスタッフィングの中央値シェア | 19% | Verizon, 2025 Data Breach Investigations Report |
| 自動化ボットによって生成されるインターネットトラフィックの割合 | ~38% to 40% | Cloudflare, Threat Intelligence |
| 悪性と分類されたボットトラフィックの割合 | ~24% to 26% | Cloudflare, Threat Intelligence |
| 盗まれた認証情報が悪用されたWebアプリケーション攻撃の割合 | 86% | Verizon, 2025 DBIR |
| 世界のCDNで記録された年間クレデンシャルスタッフィング要求数 | 115 billion+ | Akamai, State of the Internet / Security |
出典：Akamai, State of the Internet / Security
2. Success Rates and the Mechanics of Credential Replay
クレデンシャルスタッフィングの脅威の本質は、個々の精密さではなく膨大な試行回数にあります。成功率が0.1%〜2.0%と聞くとごく僅かに思えるかもしれませんが、現代のボットインフラは数億件の認証情報をわずか数時間で自動処理します。漏洩パスワードの94%が他サービスで使い回されているため、1億件のリストを投入するだけで、暗号アルゴリズムを一切解読することなく1.0 million件のアカウントへ侵入されてしまいます。
| 指標 | 値 | 出典 |
|---|---|---|
| クレデンシャルスタッフィングにおける平均ログイン成功率 | 0.1% to 2.0% | Akamai, State of the Internet / Security |
| 1億件の試行（転換率1%）で侵害されるアカウント数 | 1.0 million | Akamaiの基礎データより算出 |
| 複数のアカウントで重複または使い回されている漏洩パスワード | 94% | Cybernews, 19 Billion Password Analysis |
| 盗まれた認証情報に起因する基本Webアプリケーション侵害 | 88% | Verizon, 2025 Data Breach Investigations Report |
| アイデンティティ攻撃に占めるパスワードスプレーおよび使い回し攻撃の割合 | 97% | Microsoft, Digital Defense Report |
| 以前インフォスティーラーのログに認証情報が記録されていたランサムウェア被害組織 | 54% | Verizon, 2025 DBIR |
出典：Verizon, 2025 Data Breach Investigations Report
3. Most Targeted Industries: Retail, Banking, and Gaming
資金の流動性の高さが攻撃者の標的を決定づけます。登録されたクレジットカード、保有ギフト残高、リワードポイントは即座に現金化が容易であるため、EC・小売業が世界全体の攻撃トラフィックの約60%を集中して受けています。年末商戦やセール時には認証ポータル上のボット数が一般消費者を十倍以上上回り、不正検知システムが反応する前にアカウント内の資産を枯渇させます。
| 指標 | 値 | 出典 |
|---|---|---|
| 商戦期ピーク時のECサイトにおけるログイン試行の悪性ボット割合 | 80% to 90% | F5 Labs, Application Protection Report |
| 世界のクレデンシャルスタッフィング攻撃における商業・小売業の割合 | ~60% | Akamai, State of the Internet / Security |
| 金融サービス認証エンドポイントにおけるボットトラフィックの割合 | ~50% | F5 Labs, Application Protection Report |
| ゲーム・メディア分野を標的とした年間のクレデンシャルスタッフィング試行数 | 12 billion+ 年間試行 | Akamai, State of the Internet / Security |
| サイバーウィーク期間中の自動化小売ログイン攻撃の急増率 | 300% to 500% | Cloudflare, Threat Intelligence |
| ポイントや特典アカウントを狙った年間のアカウント乗っ取り攻撃数 | 2.5 billion+ | F5 Labs, Application Protection Report |
出典：F5 Labs, Application Protection Report
4. Exploitation of APIs and Mobile Endpoints
Webブラウザのログイン画面の防壁が強化された結果、ボット運用者はモバイルアプリやバックエンドのAPIインターフェースへ攻撃を移行させました。旧来のセキュリティ対策やCAPTCHA、JavaScriptによる挙動検知がAPIに組み込まれていないことが多いため、現在では攻撃の60%以上がAPIエンドポイントを標的にしています。攻撃者はapi security statisticsで分析した緩い制限設定を悪用し、正規アプリの通信を偽装して攻撃を展開します。
| 指標 | 値 | 出典 |
|---|---|---|
| WebフォームではなくAPIを標的としたクレデンシャルスタッフィングの割合 | 60%+ | Cloudflare, Threat Intelligence |
| APIに対する自動化認証情報乱用攻撃の前年比増加率 | 42% | Akamai, State of the Internet / Security |
| APIの脆弱性によってアカウント乗っ取りが自動化されたデータ侵害の割合 | 28% | Verizon, 2025 Data Breach Investigations Report |
| レート制限やボット検証が存在しないモバイルアプリのAPI認証 | 38% | F5 Labs, Application Protection Report |
| ヘッドレスブラウザや自動化APIクライアントから発生する悪性通信の割合 | 72% | Cloudflare, Threat Intelligence |
| 企業Webトラフィック全体に占めるAPIエンドポイント向けの割合 | 57% | Akamai, State of the Internet / Security |
出典：Cloudflare, Threat Intelligence
5. Financial Impact and the Real Cost of Account Takeover
アカウント乗っ取りは、口座から直接引き出された金額をはるかに上回る構造的損害をもたらします。米法執行機関に報告される年間$1.2 billionの直接被害に加え、企業は不正補償や法務監査、顧客対応などで侵害アカウント1件あたり平均最大$290のコストを負います。さらに侵害が社内基幹システムへ拡大した場合、インシデントの封じ込めまで平均約10ヶ月を要し、対応コストは跳ね上がります。
| 指標 | 値 | 出典 |
|---|---|---|
| 盗まれた認証情報に起因するデータ侵害の平均コスト | $4.67 million | IBM, Cost of a Data Breach 2025 |
| アカウント乗っ取り成功インシデント1件あたりの企業の平均損失 | $150 to $290 | F5 Labs, Application Protection Report |
| 連邦法執行機関に報告されたサイバー犯罪の年間総被害額 | $16.0+ billion | FBI IC3, Annual Internet Crime Report |
| 不正なアカウント乗っ取りに直結する年間の直接被害額 | $1.2+ billion | FBI IC3, Annual Internet Crime Report |
| 認証情報起因のデータ侵害を特定・封じ込めるまでの平均所要日数 | 292日 | IBM, Cost of a Data Breach 2025 |
| ECサイトのチャージバックのうちATO詐欺に起因する割合 | 22% | F5 Labs, Application Protection Report |
出典：FBI IC3, Annual Internet Crime Report
6. Defensive Countermeasures and Bot Mitigation Efficacy
数百万もの住宅用IPプロキシを切り替える高度なボットネットの前では、単純なIPブロックリストは無力化しました。効果的な防御には、振る舞い分析、デバイスフィンガープリンティング、ハードウェア認証を多層的に組み合わせる必要があります。フィッシング耐性のある多要素認証を導入することで、使い回し攻撃のほぼすべてを遮断可能であり、その詳細な効果はtwo-factor authentication statisticsで検証しています。
| 指標 | 値 | 出典 |
|---|---|---|
| 住宅用およびモバイルプロキシを経由するスタッフィングボットの割合 | 70% to 80% | Cloudflare, Threat Intelligence |
| フィッシング耐性MFAによって遮断されるアイデンティティ攻撃の割合 | 99%+ | Verizon, 2025 Data Breach Investigations Report |
| 主要ログイン画面で行動検知型ボット対策を配備している組織の割合 | 44% | F5 Labs, Application Protection Report |
| 住宅用プロキシによって回避される従来のIPレピュテーション遮断の割合 | 85% | Cloudflare, Threat Intelligence |
| パスキー導入後に観測された自動化ログイン不正アクセスの減少率 | 81% | FIDO Alliance, Passkey Index |
| 社外からのアクセスに対してMFAを義務付けている企業の割合 | 70% | Okta, Secure Sign-in Trends Report |
出典：IBM, Cost of a Data Breach 2025
総括：数字で見るクレデンシャルスタッフィングの実態
| 指標 | 値 | 出典 |
|---|---|---|
| 世界で毎月観測されるクレデンシャルスタッフィング試行数 | ~26 billion | Akamai, State of the Internet / Security |
| 企業のSSO認証トラフィックにおけるスタッフィングの中央値シェア | 19% | Verizon, 2025 DBIR |
| 自動化ボットにより生成される世界インターネット通信量 | ~38% to 40% | Cloudflare, Threat Intelligence |
| 悪性と分類されるボットトラフィックの比率 | ~24% to 26% | Cloudflare, Threat Intelligence |
| クレデンシャルスタッフィング攻撃の平均成功率 | 0.1% to 2.0% | Akamai, State of the Internet / Security |
| 複数のサービスで使い回されている流出パスワードの割合 | 94% | Cybernews, 19 Billion Password Analysis |
| 盗まれた認証情報に起因するWebアプリ侵害の割合 | 88% | Verizon, 2025 DBIR |
| 世界の攻撃量に占めるEC・小売業向けの比率 | ~60% | Akamai, State of the Internet / Security |
| 商戦期ピーク時の小売ログイン試行における悪性ボット割合 | 80% to 90% | F5 Labs, Application Protection Report |
| サイバーウィーク期間中の自動化ログイン攻撃の急増率 | 300% to 500% | Cloudflare, Threat Intelligence |
| WebフォームではなくAPIを標的とした認証情報不正試行の割合 | 60%+ | Cloudflare, Threat Intelligence |
| APIに対する自動化攻撃の前年比増加率 | 42% | Akamai, State of the Internet / Security |
| 認証情報起因のデータ侵害における企業の平均被害額 | $4.67 million | IBM, Cost of a Data Breach 2025 |
| 認証情報侵害の特定と封じ込めに要する平均所要期間 | 292日 | IBM, Cost of a Data Breach 2025 |
| 米国当局に報告されたアカウント乗っ取りの年間直接被害額 | $1.2+ billion | FBI IC3, Annual Internet Crime Report |
| 侵害されたアカウント1件あたりの企業平均対応コスト | $150 to $290 | F5 Labs, Application Protection Report |
| 住宅用IPプロキシを悪用するスタッフィングボットの割合 | 70% to 80% | Cloudflare, Threat Intelligence |
| フィッシング耐性MFAにより阻止されるアイデンティティ攻撃 | 99%+ | Verizon, 2025 DBIR |
| パスキー導入による自動ログイン攻撃の減少率 | 81% | FIDO Alliance, Passkey Index |
調査手法と情報源
本データは、主要なサイバーセキュリティ企業および法執行機関が発表したセキュリティテレメトリ、年次脅威レポート、実証的インシデントデータベースから数値を直接抽出・統合したものです。2025年および2026年の最新版を優先し、それ以前のデータについては公表済みの最新数値として明示しています。すべての数値は調査段階で一次資料と照合されており、根拠のない数値の推計や捏造は行っていません。
- Akamai, State of the Internet / Security Reports (2024-2025) - report
- Verizon, 2025 Data Breach Investigations Report (2025) - report
- FBI IC3, Annual Internet Crime Reports (2024-2025) - report
- F5 Labs, Application Protection and Credential Stuffing Research (2024-2025) - report
- Cloudflare, Threat Intelligence and Bot Management Trends (2025) - report
- IBM, Cost of a Data Breach Report 2025 (2025) - report
Data watch: Verizon DBIRおよびFBI IC3年次レポートは毎年春に公開され、Akamaiは年2回セキュリティ調査を発表、Cloudflareはボット通信インテリジェンスを継続更新し、IBMは毎年夏にデータ侵害コストレポートを公表しています。
最終更新日：2026年8月22日
新たな調査データが発表され次第、四半期ごとに本ページを検証・更新しています。