パスワードスプレー攻撃（Password Spraying Attack）は、近年急増しているサイバー攻撃の一種で、企業のクラウドシステムや個人アカウントの不正アクセスを目的としています。
この攻撃は、アカウントロックを回避しながら多数のアカウントに対して同じパスワードを試行するという特徴があり、従来のブルートフォース攻撃とは異なる巧妙な手法です。
本記事では、ITセキュリティ担当者や開発者に向けて、パスワードスプレー攻撃の仕組み・影響・対策方法を詳しく解説します。
パスワードスプレー攻撃の基本
パスワードスプレー攻撃とは何か？
パスワードスプレー攻撃とは、多数のアカウントに対して同一のパスワードを一斉に試行する攻撃手法です。
従来の「ブルートフォース攻撃」では1つのアカウントに対して多数のパスワードを試すのに対し、パスワードスプレー攻撃ではロックアウト制限を回避するために、複数のアカウントに対して一つのパスワードを試すという戦略をとります。
なぜこの攻撃が有効なのか？
アカウントロックの仕組みの盲点を突く
現在の多くの認証システムは、同一アカウントに対して一定回数ログインに失敗すると自動的にアカウントロックを行います。
これはブルートフォース攻撃を防ぐための有効な対策ですが、複数アカウントに対する1回ずつの試行には反応しません。
攻撃の流れ：
-
攻撃者は事前に取得・生成したアカウント名リストを用意。
-
例えば「password123」などの簡易パスワードを固定。
-
数百～数千のアカウントに1回ずつログイン試行。
-
ロックアウトされることなく、成功率の高い“使い回し”アカウントを狙う。
遅延を利用した持続的攻撃
ログイン失敗の間隔が空くと「連続失敗」とは見なされない仕様の認証システムが多いため、同一アカウントに対して数時間、数日おきに異なるパスワードで再試行すれば、実質的に制限なく継続的な攻撃が可能になります。
典型的なパスワード候補
なぜ簡単なパスワードが狙われるのか？
この攻撃では、ターゲットごとに個別の情報を用いたパスワード推測（例：誕生日、名前など）は行われません。代わりに、以下のような既知の弱いパスワードがよく使われます。
よく使われるパスワード例：
-
password
-
123456
-
welcome
-
qwerty
-
companyname2024
これらはユーザーが設定しがちな「覚えやすいパスワード」であり、企業内アカウントでも驚くほど使用されているケースがあります。
パスワードスプレー攻撃への対策
1. 強力なパスワードポリシーの導入
-
12文字以上、英大文字・小文字・数字・記号を含むパスワードを推奨。
-
辞書にある単語や個人情報の使用を避ける。
-
パスワードの定期変更ポリシーの再考（むやみに頻繁な変更は逆効果の場合も）。
2. アカウントロック機能の改善
-
IPアドレス単位での異常検知
-
一定時間内のアカウント全体に対する試行回数を制限
-
ログイン試行の頻度・分布をリアルタイム分析
3. 多要素認証（MFA）の導入
パスワードに加えてワンタイムコードや生体認証を求めることで、パスワードが割られてもアカウント乗っ取りを防げます。
MFAは特にクラウドサービスや社内VPNでの有効性が高いです。
4. ユーザー教育の徹底
-
簡単なパスワードを使わない
-
パスワードの使い回しを避ける
-
フィッシングメールへの注意喚起
社内ユーザーに対する啓蒙活動が、攻撃成功率を大きく下げる効果があります。
企業システムでの実例と対策事例
実例：SaaSツールのログイン情報漏洩事件
とある企業では、社内SaaS（Google Workspace、Microsoft 365等）において、「Spring2024」という共通パスワードを使用していたアカウントが複数突破され、クラウドストレージの一部が外部からアクセスされる事案が発生しました。
導入された対策：
-
すべての従業員に強制MFA適用
-
IP監視による異常検出
-
パスワード監査と教育セッション実施
まとめ
パスワードスプレー攻撃は、ブルートフォース攻撃と異なり、アカウントロックの仕組みを巧妙に回避しながら、大量のアカウントに対して簡易パスワードを試行するサイバー攻撃です。
企業・個人ともに、次のような対策が重要です。
-
推測困難な強力なパスワードの使用
-
多要素認証（MFA）の徹底
-
システム側での異常検知機能の強化
-
ユーザー教育の継続的実施
このような基本的な対策こそが、現代のサイバー脅威に立ち向かう最前線です。