パスワードスプレーとは？
ぱすわーどすぷれー
パスワードスプレーとは、少数のよく使われるパスワードを大量のアカウントに分散して試すことで、アカウントロックアウトを回避しながら不正ログインを狙う攻撃手法です。
パスワードスプレー（Password Spraying）は、サイバー攻撃の一種で、1つのアカウントに多数のパスワードを試すブルートフォース攻撃とは逆の戦略をとります。「Password123」「Welcome1」「Summer2023」など、多くの人が使いがちな少数のパスワードを、大量のアカウントに対して試していく手法です。
この攻撃が巧妙なのは、アカウントロックアウトの機能を回避できる点にあります。一般的なシステムでは、同一アカウントへの連続したログイン失敗が一定回数を超えるとアカウントをロックしますが、パスワードスプレーでは1つのアカウントには数回しか試みないため、このロック機能をすり抜けることができます。
攻撃の流れは以下のようになります。
- 組織のメールアドレスやユーザー名のリストを収集する
- 統計的に使用率の高いパスワードを数個選定する
- それぞれのパスワードを全アカウントに対して順番に試す
- 一定間隔を空けて複数回繰り返す（ログ監視をかいくぐるため）
企業の従業員アカウントや、Office 365・G Suiteなどのクラウドサービスを狙った攻撃事例が多数報告されています。防御策としては、多要素認証（MFA）の導入が最も効果的で、複雑なパスワードポリシーの設定、および通常とは異なるログインパターンを検知するセキュリティ監視の強化が有効です。
使い方・例文
攻撃者が企業の全従業員アカウントに対して「Spring2024!」というパスワードを一斉に試し、その中で同じパスワードを設定していた数名のアカウントへの不正ログインに成功するケースがパスワードスプレー攻撃の典型例です。
この用語をシェア
最終更新: