もう少し詳しく
パスワードスプレー攻撃とは、1つのID・パスワードの組み合わせを何度も試す代わりに、よく使われがちな少数のパスワード(「Password123」のような単純なものなど)を、多数のアカウントに対して少しずつ・広く試していく不正ログインの手口です。1つのアカウントに対する試行回数を少なく抑えることで、一定回数の失敗でロックされる仕組み(アカウントロックアウト)を回避しやすくする狙いがあります。
どこで使われるか
パスワードスプレーは、企業の社内システムやクラウドサービスへの不正ログインを狙う攻撃でよく使われます。近年は、AIを使った自律型のツールによって、この試行を人手よりはるかに速い速度で、多数のアカウントに対して同時に実行する事例も報告されています。企業は、ログイン試行の失敗回数やアクセス元の情報を監視することで、こうした攻撃の兆候を早期に見つけようとしています。
身近な例
複数の会社のログイン画面に対して、同じような簡単なパスワードを少しずつ試していくようなイメージです。1つの会社に何百回も同じパスワードで挑むのではなく、多数の会社・多数のアカウントに対して薄く広く試すことで、見つかりにくくする手口だといえます。
注意点
パスワードスプレー対策としては、推測されやすい簡単なパスワードを避けること、同じパスワードを複数のサービスで使い回さないこと、そして多要素認証(MFA)を有効にしておくことが基本です。ただし、攻撃者がアプリ同士の連携用に発行された認証情報(OAuthの資格情報など)を別の経路で直接奪った場合は、パスワードスプレー対策だけでは防げないこともあるため、企業はログの監視など複数の対策を組み合わせる必要があります。
