クマひよ工房EC-CUBEの会員ログイン、失敗が続いたときにどう止めるか｜IP制限とアカウントロックの選び方
会員のログイン画面には、他人のメールアドレスとパスワードを試すアクセスが来ます。失敗が続いたときの止め方は、大きく2つあります。どちらにも代償があるので、お店の事情に合わせて選びます。
この記事では、2つの止め方の違いと、EC-CUBEの標準の動き、事業者が決めておくことをまとめます。
失敗が続いたときの止め方は2つ
よく使われる手口は「パスワードリスト攻撃」です。ほかのサービスから漏れたメールアドレスとパスワードの組を、そのまま別のサイトで試していきます。同じパスワードを使い回している会員がいると、そのアカウントに入られてしまいます。
IPA（情報処理推進機構）には、2025年7月に、不正ログインの相談がこれまでで最も多い144件寄せられました。カード決済のセキュリティ対策をまとめた業界の文書でも、会員のログイン画面では、盗まれたIDとパスワードを使ったログインの試みが「頻繁に行われている」とされています。
会員のアカウントに入られると、住所や電話番号、注文履歴を見られたり、登録されている支払い方法で勝手に注文されたりします。
失敗が続いたときの止め方は、何を数えるかで2つに分かれます。
- IPアドレスで止める - 同じ接続元（IPアドレス）からの失敗が続いたら、その接続元からのログインを止めます。
- アカウントで止める - 同じ会員への失敗が続いたら、どこからのログインであっても、その会員のログインを止めます。アカウントロックとも呼ばれます。
それぞれの代償
アカウントで止めると、パスワードを当てられにくくなります。その代わり、本物の会員が締め出されることがあります。どちらの困りごとを重く見るかの比較です。
| 困りごと | 起こりやすさ | 起きたときの被害 |
|---|---|---|
| 会員の締め出し（アカウントで止める場合） | まとまった攻撃が来ると起こりうる。攻撃に使われるメールアドレスには本物の会員のものが混じっているため、巻き添えで止まる会員が出る | 決めた時間、ログインできない。失敗が続く限り、締め出しも続く |
| パスワードの当たり（アカウントで止めない場合） | 高い。パスワードリスト攻撃はありふれている | アカウントの乗っ取り。個人情報を見られる、勝手に注文される |
締め出しが重くなる事情
管理画面のログインなら、Basic認証や接続元の制限といった守りを、もう1枚足せます。会員のログイン画面は誰にでも開いておく必要があるので、そうした守りを足せません。
止まった会員には、戻る手段も多くありません。パスワードを再発行しても、仕組みによっては止まった状態は消えません。時間が過ぎるのを待つか、お店に問い合わせることになります。
セールや年末など、注文が集中する時期に締め出しが起きると、不便では済まず、売り逃しにつながります。
EC-CUBEの標準の動き
EC-CUBE 4.2以降には、ログインの失敗を数えて止める仕組みが標準で入っています。会員のログインと、管理画面のログインの両方が対象です。4.1以前には、この仕組みは入っていません。
標準の仕組みが数えるのは、次の2つです。初期値では、どちらも30分ごとに数え直します。
- 同じメールアドレスへの、同じIPアドレスからの失敗 - 5回で止まります。
- 同じIPアドレスからの失敗 - メールアドレスを問わず、25回で止まります。
どちらもIPアドレスを含めて数えるので、標準の動きは「IPアドレスで止める」側です。攻撃者が別のIPアドレスから試しても、本物の会員のログインは止まりません。その代わり、接続元を次々に変える攻撃は止めきれません。
回数と時間は、設定で変えられます。アカウントだけで数えて止める仕組みは標準にはないので、入れる場合はカスタマイズになります。
自分のサイトで確かめること
IPv6で受け付けているか
IPv6は、IPアドレスの新しい形式です。IPv6では、1つの契約にひと続きの膨大な数のアドレスが割り当てられます。サーバがIPv6でも受け付けている場合、攻撃者は回線を変えずに、IPアドレスだけを変え続けられます。そうなると、IPアドレス1つずつで数える制限は、ほとんど効かなくなります。
サーバがIPv6で受け付けているかは、サーバ会社か保守の担当者に確かめてください。
本当の接続元が見えているか
CDNやロードバランサ（アクセスを振り分ける装置）を通している場合、設定によっては、すべてのお客様が同じIPアドレスから来たように見えます。この状態では、お客様全員の失敗がまとめて数えられ、サイト全体の会員ログインが止まることがあります。
CDNなどを入れているときは、EC-CUBEのログに本当の接続元が記録されているかを確かめてください。
メールアドレスの登録の有無が分からないか
「このメールアドレスは登録されていません」と表示すると、攻撃者に会員かどうかを教えることになります。ログイン画面だけでなく、パスワード再発行や会員登録の画面の表示も確かめてください。
止め方のほかに、できること
パスワードリスト攻撃は、1つのアカウントに1回ずつ、多くの接続元から試すことがあります。この場合、IPアドレスの制限にも、アカウントの制限にもかかりにくくなります。止め方の設定だけに頼らず、次のような手を組み合わせます。
- 失敗の総数を見る - サイト全体のログインの失敗が急に増えていないかを見ていれば、攻撃に気づけます。
- ボット対策を前に置く - WAF（不正なアクセスを止める仕組み）やCDNのボット対策、画像認証で、機械的なログインの試みを減らします。
- 会員に知らせる - ログインやロックがあったときに会員へメールで知らせると、本人が早く気づけます。メールから解除できるようにすれば、待つか問い合わせるか以外の戻り道にもなります。
- 2段階認証を用意する - パスワードが当たっても、もう1つの確認がなければ入れないようにします。
クレジットカード決済を使うお店には、カード決済のセキュリティガイドライン（6.0版）から「適切な不正ログイン対策の実施」が求められています。会員ログイン時の対策として、不審なIPアドレスからのアクセス制限、同じアカウントへのログイン試行回数の制限、ログイン時のメールやSMSでの通知、2段階認証などが挙げられています。どこまで行うかは、決済代行会社やカード会社とも相談して決めます。
事業者が決めておくこと
- 何回の失敗で、どれだけ止めるか - 止めるまでの回数を少なく、時間を長くするほど、締め出しは起きやすくなります。
- アカウントでも止めるか - 締め出しの代償と、戻る手段を用意できるかを合わせて決めます。
- 問い合わせの手順 - 会員から「ログインできない」と連絡が来たとき、誰が、どうやって本人を確かめて、どう解除するかを決めておきます。
- 入れる時期 - 注文が集中する時期の直前は避けます。入れたあとは、しばらくログを見て、設定を見直します。
相談先
標準の設定の見直しや、アカウントで止める仕組み、ログインの通知を加えるカスタマイズは、セキュリティの対応でご相談を承っています。管理画面のログインには、アカウントロック機能プラグインもあります。