パスワードスプレー攻撃

パスワードスプレー攻撃は、ブルートフォースの発想を逆にした手口です。1 つのアカウントに多数のパスワードを試す (これはロックを招きます) のではなく、少数のよく使われるパスワード (「Password123!」や「Summer2024!」など) を多数のアカウントに試します。

アカウントごとの試行回数をロックの閾値より低く保つため、この攻撃はしばしば検知をすり抜けます。パスワードポリシーが弱い組織や、多要素認証を使っていない組織にはとくに有効です。

対策は明快です。すべてのアカウントで固有かつランダムに生成したパスワードを使い (組織からよく使われるパスワードを排除し)、多要素認証を導入し、複数のアカウントに分散したログイン失敗を監視することです。分散した失敗は、パスワードスプレー攻撃の明確な兆候です。