【入門編】パスワードリセット時のメールアドレス列挙攻撃(Enumeration) – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド

「そのパスワードリセット、実は泥棒に教えちゃっていませんか？」――メールアドレス列挙攻撃からユーザーを守る話

こんにちは！セキュリティの世界へようこそ。
システム開発や運用に携わっていると、「セキュリティ対策」という言葉が重たく感じること、ありますよね。今日はそんなあなたと一緒に、「パスワードリセット機能」に潜む、ちょっとした“うっかり”が招く大きなリスクについて、身近な例えを交えて紐解いていきたいと思います。

専門用語だらけの分厚いマニュアルを読まなくても大丈夫。一緒に一歩ずつ学んでいきましょう！

—

1. 「泥棒は、まずドアをノックする」

想像してみてください。あなたは大切な家を守る用心棒です。ある日、見知らぬ誰かがやってきて、こう尋ねてきました。

「この家に『山田さん』っていう人は住んでますか？」

もしあなたが、「いいえ、ここは山田さんは住んでいませんよ」と答えたらどうなるでしょう？相手は「なるほど、次は田中さんか…」とリストを潰していくことができますよね。逆に、「ここは誰の家かお教えできません」と答えることができれば、相手は「この家には誰が住んでいるのか？」という情報を得られず、次の家へ行くしかありません。

この「誰が住んでいるか（＝どのメールアドレスが登録されているか）」を確認する作業を、サイバー攻撃の世界では「メールアドレス列挙攻撃（Enumeration）」と呼びます。

なぜこれが危険なの？

攻撃者が「このアドレスは登録されている」と確信できれば、次は「そのアカウントを乗っ取るための攻撃」に集中できます。攻撃の難易度をグッと下げてしまう、入り口の防犯対策というわけです。

—

2. 現場で起きている「レスポンスの差異」という罠

Webサイトのパスワードリセット画面で、こんな経験はありませんか？

登録済みアドレスを入力： 「パスワードリセット用メールを送信しました」
未登録アドレスを入力： 「そのメールアドレスは登録されていません」

これ、一見親切ですよね。ユーザーにとっては分かりやすい。でも、攻撃者にとっては「あ、このアドレスは存在するんだ！」という最高の手がかりになってしまうんです。

攻撃の手口（イメージ）

攻撃者は、流出した大量のメールアドレスリストをプログラムに読み込ませます。そして、あなたのサイトに対して数秒間で何千回もの「パスワードリセット」を自動で送信します。
サイトが返してくるメッセージの違いをプログラムが読み取り、「存在するアドレスリスト」だけを抽出する。これが列挙攻撃の正体です。

—

3. 防御の鉄則：メッセージを「統一」しよう

私たちがやるべき対策はシンプルです。「どちらの結果でも、同じことしか言わない」これに尽きます。

たとえ登録されていても、されていなくても、画面にはこう表示します。
> 「入力されたアドレスが登録されている場合、パスワードリセット用のメールを送信しました。」

こうすれば、攻撃者は「存在するのか、存在しないのか」を判断できなくなりますよね。

—

4. エンジニアのための実装ガイド：PHPでの例

では、実際にプログラムでどう書けばいいのか、PHPを例に見てみましょう。

修正前の“危ない”コード

<?php
// 悪い例：存在するかどうかでメッセージを変えてしまっている
$user = findUserByEmail($email);
if ($user) {
    sendResetEmail($email);
    echo "登録されているのでメールを送りました！";
} else {
    echo "そのメールアドレスは登録されていません。"; // ここで列挙可能に！
}
?>

修正後の“安全な”コード

<?php
// 良い例：結果がどうあれ、常に同じメッセージを返す
$user = findUserByEmail($email);

// ユーザーが見つかっても見つからなくても、処理は進める（擬似的な処理時間も考慮）
if ($user) {
    sendResetEmail($email);
}

// 常に同じメッセージを表示し、攻撃者に情報を与えない
echo "ご入力いただいたメールアドレス宛に、パスワードリセットの手順を送信しました。";
?>

ポイント：
もし、メールを送る時間（sendResetEmail）のせいでレスポンス速度に差が出てしまい、攻撃者に「メール送信処理が走った＝存在した」と推測されるのが心配なら、sleep()関数などを使って、処理時間を一定にする工夫も効果的ですよ！

—

5. まとめ：一歩ずつ防犯レベルを上げよう

今回学んだ対策は、たったこれだけです。

1. 「登録されています」「されていません」と正直に答えすぎない。
2. 常に「手続きを受け付けました」という曖昧で安全なメッセージに統一する。
3. 処理のレスポンス時間に差が出ないよう気をつける。

これだけで、あなたのサービスは格段に「泥棒が嫌う家」になります。完璧なセキュリティを目指して一度に全てを変える必要はありません。まずは今のログイン画面、パスワードリセット画面がどうなっているか、確認することから始めてみませんか？

これからも、安全で楽しい開発ライフを応援しています！何かあればまたいつでも聞きに来てくださいね。