📅 公開日：2025年 ｜ 🔰 対象：セキュリティ初心者〜中級者 ｜ ⏱ 読了目安：約15分
「パスワードを忘れた」ときに使うパスワード再発行（リセット）機能。便利な機能ですが、実はサイバー攻撃者がもっとも狙いやすい「抜け穴」のひとつでもあります。
2023年にOWASP（世界最大のWebセキュリティ研究団体）が発表したレポートによると、認証まわりの脆弱性は「Webアプリの重大リスク Top 10」の第2位にランクインしています。そしてその中でも、パスワードリセット機能の不備が占める割合は決して小さくありません。
この記事では、「なぜパスワード再発行機能が攻撃に悪用されるのか」を、専門知識ゼロの方でもわかるように図解・事例を交えて解説します。後半ではユーザー側・サイト運営者側それぞれができる具体的な対策もまとめています。ぜひ最後まで読んでください。
- パスワードリセット機能が攻撃に利用される仕組み（5種類）
- 実際に起きたインシデントや統計データ
- ユーザーがすぐできる自衛策
- サイト運営者・開発者が実装すべきセキュリティ対策
🔐 第1章：そもそも「パスワードリセット機能」とは？
まず基本から整理しましょう。パスワードリセット機能とは、ログインパスワードを忘れたユーザーが、新しいパスワードを設定し直すための仕組みです。
一般的な流れは以下のとおりです。
- ログイン画面で「パスワードを忘れた方はこちら」をクリック
- 登録済みのメールアドレスを入力する
- そのメールアドレス宛にリセット用URLが届く
- URLをクリックして新しいパスワードを設定する
シンプルで便利ですよね。しかし、この流れのどこかに実装上の甘さがあると、攻撃者に悪用されてしまうのです。
具体的な攻撃手口は大きく分けて5種類あります。次の章から順番に解説します。
🕵️ 第2章：攻撃手口を徹底解説！5つの悪用パターン
① アカウント列挙攻撃（Account Enumeration）
「このメールアドレスは登録されていません」というエラーメッセージを見たことはありませんか？実はこのメッセージ、攻撃者にとって非常に便利な情報になってしまいます。
仕組みをわかりやすく言うと：
攻撃者は大量のメールアドレスをリセットフォームに入力します。エラーが出なければ「そのアドレスはサービスに登録されている」とわかります。エラーが出れば「未登録」とわかります。これを繰り返すだけで、どのメールアドレスがそのサービスに登録されているかを自動的にリストアップできてしまうのです。
攻撃者が「1000件のメールアドレスリスト」を持っているとします。リセットフォームに1件ずつ入力し、エラーが出なかった200件を「有効アカウント」として記録。その200件に対して別の攻撃（フィッシングや不正ログイン試行）を仕掛けます。
この手口は一見地味ですが、攻撃の「下準備」として非常によく使われます。実際、HaveiBeenPwnedの運営者であるセキュリティ研究者Troy Huntは、多くのサービスがこの情報漏洩を見落としていると繰り返し警告しています。
② リセットトークンの推測・ブルートフォース攻撃
リセット用URLには、通常このようなランダムな文字列が含まれています。
この「token=…」の部分がリセットトークンです。これは本人確認の代わりをしています。
では、もしこのトークンが短すぎる・予測しやすいパターンを持っている場合はどうなるでしょうか？
攻撃者は大量のトークン候補を自動生成し、機械的に試し続けます。これをブルートフォース（総当たり）攻撃と呼びます。特に「現在時刻をもとに生成したトークン」は予測されやすく、過去に複数の大手サービスで問題になりました。
2022年にPortSwiggerが発表した調査では、テストした100以上のWebアプリのうち、約15%がパスワードリセットトークンに予測可能な要素（タイムスタンプ、連番、弱いハッシュ）を含んでいたと報告されています。
③ ホストヘッダーインジェクション（Host Header Injection）
少し技術的な話ですが、わかりやすく説明します。
パスワードリセットメールには「リセット用URL」が含まれていますが、このURLはサーバーへのリクエスト情報をもとに自動生成されることがあります。
攻撃者がリクエストの「Host」という部分を書き換えた場合、サーバーが騙されて攻撃者のサイトに向かうURLをリセットメールに載せてしまうことがあります。
わかりやすいイメージ：
本来「あなたの銀行からの手紙に自分の住所を書いて返送」してもらうところを、攻撃者が「手紙の差出人欄だけ巧みに書き換えて」、本人確認の情報を攻撃者のところに誘導するようなイメージです。
2019年〜2020年にかけて、GitHubやHackerOne上のバグバウンティプログラムでこの種の脆弱性が多数報告されています。特にWordPressを含む多くのCMSがこの問題に対応するためのパッチを配布してきた経緯があります。
④ リセットリンクの傍受・漏洩
リセット用URLが記載されたメールやHTTPリクエストが第三者に傍受・漏洩するケースです。
具体的なシナリオとしては：
- リファラーヘッダー経由の漏洩：リセットURLを踏んだあとに外部リンクをクリックすると、アクセス先のサーバーにリセットトークンが含まれたURLが「リファラー」として送られる場合がある
- HTTPSなしのサイト：通信が暗号化されていない場合、同じネットワーク上の攻撃者に傍受される
- メール転送・ログの漏洩：メールサーバーやログ管理システムの設定ミスにより、リセットメールの内容が漏洩する
⑤ リセットリンクの有効期限切れ不備 / 複数回使用
発行されたリセットリンクが一定時間後に無効化されない、または1回使用した後も再利用できる場合、攻撃者にとって都合の良い状況が生まれます。
たとえば、あるサービスが古いメールシステムからリセットメールをエクスポートした際、過去に発行されたリセットトークンがまだ有効だった——というようなケースが実際に報告されています。
NIST（米国国立標準技術研究所）のガイドライン（SP 800-63B）では、パスワードリセットリンクの有効期間は最大でも15〜60分程度が推奨されています。また1回使用したトークンは即座に無効化することが基本とされています。
📰 第3章：実際に起きた事件・インシデント事例
事例① Snapchat（2014年）
2014年、Snapchatでは電話番号を使ったアカウント列挙の脆弱性が悪用され、約460万件のユーザー情報が流出しました。リセット機能に直接関連したものではありませんが、認証フローの応答の違いを利用してアカウント存在確認が可能だったことが被害を拡大させた一因です。
事例② パスワードリセットトークンの再利用問題（2021年 Bounty Report）
バグバウンティプラットフォームHackerOneに報告された案件によると、あるECサービスのパスワードリセットリンクが使用後も72時間有効のままであったため、攻撃者がリセットリンクを再利用して不正アクセスに成功。複数のユーザーアカウントが侵害されました（企業名は非公開）。
事例③ 国内企業への不正アクセス（2022年〜2023年）
IPAが発表した「情報セキュリティ10大脅威 2023」によると、不正アクセスによるアカウント侵害は引き続き組織向けの主要脅威にランクイン。その侵入経路のひとつとして「認証機能の不備」が継続的に挙げられています。国内でも複数の企業・官公庁のWebサービスで、認証まわりの脆弱性を突いた不正アクセスが報告されています。
事例④ WordPressサイトへの攻撃（継続中）
Wordfenceのセキュリティレポート（2023年版）によると、WordPressサイトへの攻撃は毎月数十億件に上り、その中にはパスワードリセット機能を組み込んだフィッシング攻撃や、認証バイパスを狙った攻撃も含まれています。特に古いバージョンのWordPressや未更新のプラグインでは、この種の脆弱性が残存しているケースがあります。
🛡 第4章：ユーザーができる自衛策7選
攻撃の仕組みがわかったところで、あなた自身がいますぐできる対策を紹介します。
1. メールアカウントを強固に守る
パスワードリセットメールは必ずメールアドレスに届きます。つまり、メールアカウントが乗っ取られると、連鎖的に他サービスのアカウントも乗っ取られるリスクがあります。まずGmailやYahooメールのパスワードを強固にし、二段階認証を必ず設定しましょう。
2. 二段階認証（2FA）を必ず有効にする
パスワードリセットだけでなく、普段のログインにも二段階認証（2FA）を設定してください。SMSや認証アプリ（Google Authenticatorなど）を使ったワンタイムパスワードがあれば、パスワードが漏洩しても不正ログインを防げます。
3. リセットリンクは届いたらすぐ使い、使い回さない
パスワードリセットメールが届いたらなるべく早く（15分以内を目安に）使用し、使い終わったらリンクを保存しないようにしましょう。また、リセット後は古いパスワードを使いまわさず、必ず新しいものを設定してください。
4. 身に覚えのないリセットメールは開かない・クリックしない
自分がリセットを申請していないのにリセットメールが届いた場合、フィッシング（偽のリセットメール）か、誰かがあなたのアカウントを狙っているサインです。メール内のリンクをクリックせず、公式サイトに直接アクセスしてパスワードを変更し、サービスに報告しましょう。
5. パスワードマネージャーを使う
1PasswordやBitwardenなどのパスワードマネージャーを使えば、各サービスに固有の強力なパスワードを自動生成・管理できます。「パスワードを忘れる」頻度が減るため、そもそもリセット機能を使う機会が減り、リスクも下がります。
6. 公共Wi-Fiでのアカウント操作は避ける
カフェや空港などのフリーWi-Fiは通信が傍受されるリスクがあります。パスワードのリセットや変更などセンシティブな操作は、信頼できるネットワーク（自宅Wi-Fiやモバイルデータ通信）で行いましょう。
7. HaveIBeenPwnedで自分のメールが漏洩していないか確認する
HaveIBeenPwned（https://haveibeenpwned.com/）は、過去のデータ侵害にあなたのメールアドレスが含まれているかを無料で確認できる信頼性の高いサービスです。定期的にチェックし、漏洩が判明したらすぐにパスワードを変更してください。
⚙ 第5章：サイト運営者・開発者が実装すべきセキュリティ対策
WordPressやその他のCMSでサイトを運営している方、Webアプリを開発している方向けの対策をまとめます。
① 同一メッセージを返す（ユーザー存在の非開示）
リセットフォームで入力されたメールアドレスが登録済みか未登録かにかかわらず、常に同じメッセージ（例：「入力されたメールアドレスにリセット手順をお送りしました」）を表示します。これでアカウント列挙攻撃を防げます。
② トークンを暗号論的に安全な方法で生成する
リセットトークンは必ずCSPRNG（暗号論的擬似乱数生成器）を使って生成します。PHPならrandom_bytes()、Node.jsならcrypto.randomBytes()が対応します。トークン長は最低128ビット（16バイト以上）が推奨です。
③ トークンの有効期限を短く設定する
リセットトークンの有効期限は15〜60分以内を推奨します（NISTガイドラインより）。また、一度使用されたトークンはデータベース上で即座に無効化してください。
④ ホストヘッダーインジェクション対策
リセットURLを生成する際は、サーバーの環境変数やリクエストヘッダーのHostをそのまま使わず、設定ファイルで明示的にドメインを定義します。WordPressではwp-config.phpにWP_HOMEとWP_SITEURLを固定値で設定することで対応できます。
// wp-config.php に追記
define('WP_HOME', 'https://あなたのドメイン.com');
define('WP_SITEURL', 'https://あなたのドメイン.com');
⑤ レート制限（Rate Limiting）を実装する
同じIPアドレスやメールアドレスからの連続したリセットリクエストを制限します。たとえば「1時間に5回まで」などのルールを設けることで、ブルートフォース攻撃やアカウント列挙を大幅に困難にできます。
WordPressではWordfenceやLimit Login Attempts Reloadedなどのプラグインを使うことで、比較的簡単に実装できます。
⑥ HTTPSの徹底とHSTSの設定
すべての通信をHTTPSで暗号化し、HSTS（HTTP Strict Transport Security）を設定することで、通信の傍受によるトークン漏洩を防ぎます。Let’s Encryptなどを使えば無料でSSL証明書を取得できます。
⑦ Referrer-Policyヘッダーの設定
リセットURLがリファラーヘッダーに含まれて外部に漏洩しないよう、Referrer-Policyヘッダーを設定します。
Referrer-Policy: no-referrer
Apacheなら.htaccess、Nginxなら設定ファイルに追記します。WordPressプラグインでも設定可能です。
⑧ WordPressの場合：常に最新バージョンを維持する
WordPressコア・プラグイン・テーマのアップデートはセキュリティパッチが含まれる場合がほとんどです。特に認証まわりの脆弱性は過去のWordPressバージョンにも存在が確認されており、更新を怠るとリセット機能の脆弱性もそのまま残るリスクがあります。自動更新設定を有効にすることを強く推奨します。
- WordPress・プラグイン・テーマを常に最新版に保つ
- wp-config.php に WP_HOME / WP_SITEURL を固定値で設定
- Wordfenceなどのセキュリティプラグインを導入する
- 管理画面ログインに二段階認証を設定する
- SSL証明書を適用し、HTTPSを強制する
- ログイン試行回数の制限を設ける
- 管理者アカウントのユーザー名を「admin」以外に変更する
📋 第6章：まとめ ── 「便利な機能」を安全に使うために
パスワードリセット機能は、ユーザーの利便性を高めるために生まれた機能です。しかし、その実装や利用に甘さがあると、攻撃者に「正規の手順を装った侵入口」として悪用されるリスクがあります。
今回解説した5つの攻撃パターンをもう一度振り返りましょう。
| 攻撃パターン | 主なリスク | 主な対策 |
|---|---|---|
| ① アカウント列挙 | ターゲットの特定 | 同一メッセージを返す |
| ② トークン総当たり | アカウント乗っ取り | 安全なトークン生成・レート制限 |
| ③ ホストヘッダーインジェクション | 不正URLへの誘導 | ドメインの明示的設定 |
| ④ リンクの傍受・漏洩 | トークン窃取 | HTTPS・Referrer-Policy |
| ⑤ 有効期限不備・再利用 | 古いリンクで侵入 | 短い有効期限・使用後即時無効化 |
セキュリティは「完璧にする」ことより、「攻撃者にとってコストがかかる状態にする」ことが重要です。多層的な対策を組み合わせることで、被害に遭うリスクを大きく減らせます。
ユーザーの方はまずメールの二段階認証から、サイト運営者の方はまずWordPressの最新バージョン維持とセキュリティプラグイン導入から始めてみてください。
- パスワードリセット機能は「便利だが狙われやすい」機能
- 攻撃手口は主に5種類（列挙・総当たり・ホストヘッダー・傍受・有効期限不備）
- ユーザーはメールの2FA設定とパスワードマネージャー導入が最優先
- 運営者はトークン管理・レート制限・HTTPS・最新版維持が基本
- NIST SP 800-63Bでリセットリンクの有効期限は最大60分が推奨
📚 参考文献・信頼できるリソース
- OWASP Top 10（2023年版） – Webアプリの主要リスクTop10
- NIST SP 800-63B – デジタルアイデンティティガイドライン（認証）
- HaveIBeenPwned – メールアドレスの漏洩確認
- Wordfence Security Blog – WordPress向けセキュリティ情報
- IPA 情報セキュリティ10大脅威 2023
- PortSwigger Web Security Academy – Password Reset Vulnerabilities
※ 本記事に記載されている攻撃手法はセキュリティ教育・啓発を目的とした情報であり、不正アクセスや攻撃行為を推奨するものではありません。不正アクセスは不正アクセス禁止法等の法令により厳しく罰せられます。
コメント