短.beクレデンシャルスタッフィングとは、過去のデータ漏洩で流出したユーザー名とパスワードの組み合わせを大量に試行し、他のサービスへの不正ログインを試みるサイバー攻撃手法である。複数のサービスで同じ認証情報を使い回すユーザーがいることを悪用する。OWASP はこれを総当たり攻撃 (ブルートフォース攻撃) の一種と位置づけ、多くの場合、漏洩した実在のユーザー名とパスワードの組を使う攻撃を指すとしている (2026 年 10 月時点)。
攻撃の仕組みとして、攻撃者は漏洩した認証情報のリストを自動化ツールに読み込ませ、標的サービスのログインエンドポイントに対して大量に試行する。IP アドレスのローテーションや CAPTCHA 回避技術を組み合わせることで、単純なレート制限を回避しようとする。
短縮 URL サービスの管理画面も標的になりうる。攻撃者がアカウントを乗っ取れば、既存の短縮 URL のリダイレクト先をフィッシングサイトに書き換えたり、リンク統計データを窃取したりできる。
防御策には、ログイン試行のレート制限、多要素認証 (MFA) の必須化、漏洩パスワードのデータベース (Have I Been Pwned API 等) との照合によるパスワードの拒否などがある。OWASP は MFA を、クレデンシャルスタッフィングを含むパスワード関連の攻撃の大半に対して群を抜いて最良の防御としている (2026 年 10 月時点)。パスワードレス認証 (WebAuthn / パスキー) へ移る方法もある。