パスワードスプレー攻撃を理解する

パスワードスプレー攻撃では、脅威アクターが多数のユーザーまたはサービスアカウントに対して少数の一般的なパスワードを試します。目的は、アカウントのロックアウト閾値を下回った状態を維持しながら、アカウントを侵害することです。

パスワードスプレーとは？

パスワードスプレー（Password spraying）とは、攻撃者がアイデンティティストア内の多数のユーザーアカウントまたはサービスアカウントに対して、少数の一般的なパスワード（例：「Password123!」「qwerty」「Summer2024」「Welcome1」など）を試す手法です。対象には、オンプレミスの Active Directory、クラウドのアイデンティティプロバイダー（Microsoft Entra ID、Okta、Google Workspace）、SaaS アプリ、Web アプリケーション、VPN、その他の認証システムが含まれます。目的は、単一のアカウントに対して誰かが繰り返し失敗を行ったときに有効になるアカウントロックアウト制御をトリガーせずにアカウントを侵害することです。パスワードスプレーは少数の推測を広範囲にばらまくため、パスワードが弱い、または再利用されている組織に対して非常に効果的です。

これは、侵入者が1つのドアに対して何本もの別々の鍵を試すのではなく、アパート全体の各ドアで1つのよくある鍵を試すようなものだと考えてください。入居者がその共通の鍵を使っていれば侵入できる一方で、1つの錠に対して繰り返し試しても建物のドアアラームは作動しません。

パスワードスプレーが、ブルートフォース（brute force）やクレデンシャルスタッフィング（credential stuffing）攻撃とどう違うのかを見ていきましょう。

パスワードスプレー（Password spraying）は、弱いパスワードを狙いながら、従来のアカウントロックアウト制御を回避できるため、最も一般的な認証情報ベースの攻撃手法の1つとして今も広く使われています。組織は、強力なパスワードポリシー、フィッシング耐性のあるMFA、アイデンティティの監視、最小権限のアクセス制御によってリスクを低減できます。

パスワードスプレー（Password spraying）はどのように機能するのか

パスワードスプレー（Password spraying）は「低速かつ緩やか（low-and-slow）」なアプローチです。攻撃者はステルス性を維持するために、「深さ（1つのアカウントに対して多数回の推測）」ではなく「広さ（多数のアカウントに対して数回ずつ推測）」へと方針を切り替えます。以下の手順は、パスワードスプレー攻撃が一般的にどのように進行するかを示しています。

偵察（ユーザー名）

攻撃者はまず、有効なユーザー名のリストを作成します。情報源には次のようなものがあります：

• オープンソースインテリジェンス（OSINT）。たとえば LinkedIn、企業のページ、プレスリリース、政府のデータベース
• 公開されたデータ漏えいのダンプ
• メール形式の収集（例：first.last@company.com）
• ログインページに対するリアルタイムの列挙（異なるエラーメッセージ、応答時間、アカウント復旧の流れによって、有効なユーザー名が判明する）

その結果、攻撃者が攻撃を実行する対象となる人物またはサービスアカウント名のリストが作成されます。たとえば、LinkedIn から取得した従業員のメールアドレス 500件の一覧などです。

小さなパスワードセットを選ぶ

次に、攻撃者は次のような、当たりそうなパスワードを非常に小さなリストで選びます。

• デフォルトのパスワード
• よくある弱いパスワード
• 季節/年の組み合わせ
• 会社/マスコットのバリエーション

スプレーキャンペーンでは通常、少数のパスワード推測だけが使われます（多くの場合 3〜10 個）。パスワード候補の数を小さく保つことで、アカウントごとの失敗回数を最小限にでき、ロックアウトを防げます。

スプレー・ウェーブ #1（低速・じわじわ）

攻撃者は 1つの パスワードを、多数のアカウントに対して試みます。たとえば、500 個すべてのアカウントに対して "Winter2024!" を試すようなケースです。彼らは、ロックアウトや検知のしきい値を下回るように試行間隔を調整します（例：ロックアウト期間（ウィンドウ）内にアカウントごと 1〜2 回の試行）。このようにアカウントごとの試行量が少ないため、アラートがほとんど発報されないまま、攻撃者は弱い、または再利用された資格情報を探り続けます。

ローテーションと回避

さらに検知を回避するために、攻撃者はインフラと指紋（フィンガープリント）をローテーションします。

• プロキシ、VPN、Tor、または分散型ボットネットを使って、さまざまな IP アドレスを順に切り替えます。
• さまざまなデバイスやブラウザからの正規トラフィックを装うために、ユーザーエージェント文字列をランダム化します。
• 認証試行の間隔のタイミングを変えることで、レート制限（rate-limit）のしきい値を下回るようにします。
• 攻撃は複数の地理的な場所に分散され、通常のグローバルアクセスに見えるようにします。

これらの組み合わせた戦術により、キャンペーンの検知や遮断がより困難になります。攻撃者は時として、基本認証プロトコルを使ってレガシーシステムやエンドポイントを標的にすることもあります。これらは、多要素認証（MFA）や堅牢なレート制限といった最新のセキュリティ対策が欠けているためです。その結果、アラームを発報せずに悪用をより容易に行えます。

スプレー波 #2

最初の波で成果が得られない場合、攻撃者は小さなパスワード集合の次のパスワードを使って、同じ（または拡張した）ユーザー名リストに対して後続の波を実行します。彼らはパスワードスプレー用のツールや自動化スクリプトを用い、試行の間隔（ペース）を制御し、IPをローテーションし、必要に応じて再試行し、ログイン応答を解析します。これにより、検知のしきい値を下回ったままキャンペーンを拡大できるようになります。

最初の成功（足場の確保）

推測したパスワードがアカウントによって受け入れられると、攻撃者はアクセス権を得ます。その後、侵害が検知される前に、素早く持続化（persistence）を確立し、アクセス範囲を拡大します。

• 攻撃者は、アプリケーション固有のパスワードやAPIトークンなどの代替アクセス手段を作成し、追加の認証情報を収集し、サードパーティアプリ用のOAuthトークンを登録したり、元のパスワードが変更されてもアクセスを維持できるようにメールボックス転送ルールを設定したりします。
• 次に内部環境を列挙し、アクセス可能なアプリケーション、共有リソース、クラウドサービス、機密データのリポジトリを調べて、侵害されたアカウントが到達できる範囲を把握します。
• ヘルプデスクの手順を悪用して特権昇格を試みます（例：ユーザーを装って、より高い権限のアカウントのパスワードをリセットする／管理者アカウントに対するパスワードリセットのフローを開始する）。また、MFA疲労攻撃を仕掛けることもあります（正当なユーザーに対してMFAのプッシュ通知を繰り返し送り、アクセスを承認させるまで執拗に働きかける攻撃）。

この段階では、1つの侵害された認証情報を、組織のインフラストラクチャ内で持続的に存在する状態へと変えます。

結果

アクセスが確立されると、攻撃者は最終目的を追求します。彼らは次のことができます。

• 機密データの流出
• 侵害されたメールボックスを通じてビジネスメール詐欺（BEC）を実行する
• 足場を利用してネットワーク全体で横方向の移動を行う

このようにして、最初の侵害は、ランサムウェアの展開、管理者アカウントへの権限昇格、または継続的なスパイ活動のための長期的な持続的アクセスといった、より深刻な攻撃へとエスカレートしていきます。単純なパスワードスプレーから始まったことが、大きな金銭的損失、データ侵害、そして業務の混乱につながる可能性があります。

攻撃フロー図

以下は、パスワードスプレー攻撃のシンプルな視覚的な流れと、組織の視点から見た例の物語です。パスワードスプレーのキャンペーンが、偵察から影響（被害）に至るまでどのように進むかを示します。

物流会社の従業員名簿は、LinkedIn と古い認証情報の漏えいデータによって部分的に公開されます。攻撃者は有効なメールアドレスのリストを作成し、すべてのアカウントに対して1つのよく使われるパスワードを試します。ロックアウトのしきい値を超えないように、試行は数日間隔を空けて行います。

あるアカウントでは推測が当たります。既定のオンボーディング用パスワードを一度も更新していなかった倉庫コーディネーターのアカウントです。攻撃者はメールボックスの転送を設定し、社内のファイル共有をマッピングしたうえで、ヘルプデスクを装ったなりすましの電話を使って IT 管理者のパスワードをリセットさせ、AD へのアクセスを獲得します。不審なサインイン活動がアラートを出すまでに11日が経過しており、給与（payroll）の記録は流出済みで、ランサムウェアは複数のサーバーにわたって展開準備（スタージ）されています。

パスワードスプレー攻撃の例

パスワードスプレー攻撃は、大手組織を対象とした複数の実際の侵害（データ漏えい）で使用されてきました。以下に、代表的な例をいくつか挙げます。

パスワードスプレーによる影響

パスワードスプレー攻撃のインシデントは、単一の弱いパスワードが大規模な侵害への扉を開き、組織に対して深刻かつ広範囲に及ぶ影響をもたらし得ることを示しています。ここでは、主要な影響領域ごとにその影響がどのように現れるのかを説明します。

パスワードスプレーのよくある標的：誰が危険にさらされるのか？

パスワードスプレー攻撃は、オンラインアカウントを持っている、または公開されている（露出している）ログインシステムを運用しているあらゆる組織を標的にできます。ただし、攻撃者が制御できるアクセス権、データ、またはシステムの内容によっては、特定の環境やユーザーのほうがはるかに魅力的な標的になります。パスワードスプレーキャンペーンのよくある標的は次のとおりです：

リスク評価

サイバーセキュリティにおけるパスワードスプレー（Password spraying）は、低コストで広く入手可能な攻撃であり、弱いパスワードや露出した認証面を狙います。組織はこれを高優先度のリスクとして扱い、それに応じて対策（コントロール）を調整する必要があります。

パスワードスプレーを防ぐ方法

パスワードスプレー（Password spraying）を防ぐには、組織は強力な認証の実践、先回りの監視、ユーザーへのセキュリティ意識の啓発を導入する必要があります。以下の対策が役立つ場合があります。

強力なパスワードポリシーを適用する

最初のステップは、パスワードの強度基準を引き上げることです。

• アカウントには長くて複雑なパスワードを必須にします（少なくとも 14 文字）。
• 禁止済みまたは漏えい済みのパスワードリスト（Have I Been Pwned など）と一般的なパターンを使用し、侵害された、または弱いパスワードの利用をユーザーに防ぎます。
• 新規アカウントおよびデフォルト（初期）のアカウントは、最初のログイン時に必ずパスワードを変更して、簡単な侵入口をなくします。

多要素認証を導入する

MFA は、一般的なバイパス経路を塞ぐため、パスワードスプレー攻撃に対する最も効果的な防御策の1つです。

• メール、VPN、クラウドアプリなど、外部に公開されているすべてのシステムに MFA を導入してください。
• 可能な限り、FIDO2 セキュリティキーや証明書ベースの認証など、フィッシング耐性のある MFA オプションを使用してください。
• MFA をサポートしないレガシープロトコル（NTLM や basic auth など）をブロックしてください。クラウドおよびID プラットフォームが最新の認証のみを許可するように設定し、攻撃者が弱く古い手法を使ってこっそり侵入できないようにします。

アカウントロックアウトとレート制限を適用する

攻撃者はパスワードスプレーで繰り返しログインを試みます。そのため、これらの試行回数を制限して、攻撃の進行を遅らせるか、止めることができます。

• アカウントロック（失敗時の停止）ポリシーは慎重に設定してください。アカウントを守るのに十分厳しくしつつ、正当なユーザーが困るほどではない程度に柔軟性も保ちます。
• 段階的な遅延、CAPTCHA の提示、そして数回の失敗後の一時的なロックアウトを追加します。
• 単一の IP アドレスまたはデバイスからのログイン試行回数を制限し、大規模なスプレー攻撃を防ぎます。

検知と監視を強化する

継続的な監視により、組織は警告サインを早期に捉えることができます。

• 同一のIPまたは地域から複数のアカウントへの失敗したログイン試行を追跡します。
• アカウントのロックアウト増加、異常なMFAプロンプト、未知の地理的地域からのログインがないか調査します。
• セキュリティ情報・イベント管理（SIEM）またはユーザー／エンティティ行動分析（UEBA）ツールを使って、通常の通信に紛れ込む「low and slow（低速・低頻度）」のスプレー（大量・ばら撒き）パターンを特定します。これらのパターンを早期に検知できれば、全面的な侵害を防ぐことができます。

ユーザー名とアイデンティティの健全性を維持する

パスワードスプレー攻撃チェーンの最初のステップは、攻撃者が組織内で有効なユーザー名を収集または推測し始める段階です。このため:

• “firstname.lastname@company.com”や“employeeID@domain.com”のような、予測可能なユーザー名の形式は避けてください。
• 攻撃者が有効なログイン名のリストを作成するために利用できる、ユーザー名・メールアドレス・従業員情報などの公開アクセス可能なリストは、制限するか保護してください。
• ログインページを設定してユーザー名の列挙を防止してください。ログイン失敗時に、そのユーザー名が有効かどうかを開示しないでください。
• 日常的な対応として、使用されていないのにディレクトリ内では有効のままになっている非アクティブなアカウント、テストアカウント、レガシーアカウントを無効化してください。

ゼロトラストとアクセス制御を採用する

ゼロトラスト モデルは、1つの侵害されたアカウントによる被害を最小限に抑えます。

• 最小権限の原則（PoLP）を適用し、ユーザーに本当に必要なアクセス権のみを付与します。
• 条件付きアクセスのポリシーを使用してリスクの高い IP をブロックし、高リスクのログインには MFA を強制します。
• システム間のアクセスをセグメント化し、1回の侵害がネットワーク全体に連鎖して波及しないようにします。

ユーザーの意識向上とトレーニングに取り組む

人的ミスは、しばしば最も弱いリンクです。対策として：

• 従業員に対し、パスワードの衛生（password hygiene）、パスワード再利用の危険性、そしてスプレー攻撃（spraying attacks）がどのように機能するかを教育する。
• 一意で複雑なパスワードを生成し、保存するためにパスワードマネージャーの利用を促す。
• 定期的に意識向上キャンペーンを実施し、フィッシング／パスワードスプレーのシミュレーションを行って、良い習慣を常に鮮度よく保つ。

高度な防御を使用する

現代のアイデンティティ防御はパスワードを超えています。組織は次を行うべきです：

• Identity Threat Detection & Response (ITDR) ツールを導入してください。たとえば Netwrix が提供するもの 。攻撃者が被害を拡大する前に、疑わしいアイデンティティ関連の活動を検知して封じ込めるためです。
• Microsoft Entra ID Password Protection などの「禁止パスワードの強制」機能を有効にします。
• より強固なセキュリティのために、FIDO2 キー、バイオメトリクス、スマートカードなどのパスワードレス認証への切り替えを検討してください。

Netwrix ができること

Netwrix は、組織がより強固な認証を実施し、攻撃を早期に検知し、リアルタイムで遮断し、ID 全体の健全性（ハイジーン）を維持できるようにするさまざまなサイバーセキュリティ ソリューションを提供しています。

Netwrix Password Policy Enforcer で強固な認証を実現

Netwrix Password Policy Enforcer では、弱いパスワードや漏えい済みパスワードをブロックするために、詳細でカスタマイズ可能なパスワード ポリシーを設定できます。本製品は、オンプレミスの Active Directory と、Microsoft Entra ID のようなクラウド環境の両方をサポートしています。漏えいしたパスワード リストと照合して確認したり、ユーザー グループごとに異なるルールを適用したりでき、NIST や PCI などの規制テンプレートの要件を満たすことにも役立ちます。

Netwrix Threat Prevention で悪意のある認証をリアルタイムに停止

Netwrix Threat Prevention は、疑わしいログイン、特権グループへの変更、レガシープロトコル認証などのように、リスクの高いログオンや未承認の変更をリアルタイムで監視し、ブロックします。これにより、攻撃者が足場を築いたり、横方向に移動したりすることを防ぎます。

Threat Prevention は Netwrix の Identity Threat Detection & Response (ITDR) ソリューションの一部であり、複数の製品が連携して機能します。このソリューションにより、組織は Active Directory のパスワードスプレー（password spraying）、クレデンシャルの悪用、レガシープロトコルの使用、不審なサインイン、Active Directory と Entra ID にまたがる権限昇格など、アイデンティティに焦点を当てた攻撃を早期に検知できます。疑わしい動作が発生した際には、リアルタイムの分析とアラートが提供され、攻撃者が被害を拡大する前にセキュリティチームが対応できるよう導きます。

Netwrix Directory Manager でアイデンティティの衛生状態を維持する

Netwrix Directory Manager は、ディレクトリ内でのユーザーのライフサイクル作業を自動化します。たとえば、非アクティブおよびレガシー アカウントの無効化、新しいアカウントへの強力なクレデンシャルの適用、ポリシーに基づくグループ メンバーシップの自動更新などです。この種のクリーンアップにより、パスワードスプレー（password spraying）に悪用できる攻撃面が縮小します。

検知、軽減、および対応戦略

パスワードスプレー（Password spraying）は、検知されにくい一方で影響の大きい脅威です。初期の兆候をつかむには、厳格な検知が必要で、その後は被害を封じて修復するための迅速な対応が求められます。

検知

効果的なパスワードスプレー（Password spraying）の検知とは、大きなバーストではなく、広範で低ボリュームなパターンを探すことです。

複数アカウントにまたがる失敗したログインを相関付ける

一定の時間枠（例：30分間で1つのIPから5件以上のアカウントが失敗する）内において、同一のIPアドレス、ネットワーク（ASN）、またはユーザーエージェント文字列に由来する複数アカウントのログイン失敗を相関付けます。 「どこでも同じパスワードを試す」というパターンは、スプレー（spraying）活動の強力な兆候です。

低速・低頻度（low-and-slow）のリズムを検出

攻撃者は、先進的なセキュリティ機能が不足しており、MFAに対応していないため、古いプロトコルを悪用します。IMAP、POP、SMTP AUTH、またはその他の古いAPIを使用した認証試行があればフラグを立ててください。さらに、通常と異なるユーザーエージェント、自動化ツール、そして環境内でめったに使われないアプリケーションも監視します。多くのアカウントにまたがって、ゆっくりと着実に行われるログイン試行に注目してください。これはロックアウトや検知のしきい値を下回るように設計されています。

リスクの高い送信元を監視

Torの出口ノード（Tor exit nodes）、VPN、オープンまたは匿名プロキシなど、リスクの高い、または匿名化された送信元からの接続を監視します。過去に悪意のある活動としてフラグが立てられたIP、または認証情報（credential）攻撃に関連付けられたIPからのログインを追跡してください。「不可能な移動（impossible travel）」（例：ユーザーがニューヨークからログインした後、30分後に東京からログインする等）や、組織に拠点がない国・地域からのアクセスといった地理的な異常も検出します。これらの兆候は、本質的に疑わしい接続元の特定に役立ちます。

失敗の後に成功が発生していないか追跡する

複数のアカウントで失敗したログインが続いた後に、同じ IP または送信元から成功したログインが発生するパターンを見つけた場合は、注意してください。この移行は侵害を示す高い確度のサインです。

SIEM/UEBA ルール

機械学習のベースラインは、人間のアナリストが見逃しやすい異常を検出します。SIEM または UEBA のルールを設定して、多数のアカウントに分散した失敗ログイン、レート制限違反、そして MFA の拒否やアカウントのロックアウトが急増する状況を検知してください。

緩和策

パスワードスプレー攻撃を緩和するには、アカウントが推測されにくく、悪用されにくく、かつ保護しやすくなるように対策を講じてください。 How to Prevent Password Spraying セクションに記載されている実践に加えて、次の緩和策を採用してください。

ボットおよび異常検知の防御

自動化ツールがパスワードの推測を繰り返し続けにくくします。ログインに失敗した回数が続く場合は CAPTCHA のチャレンジを追加し、不審なパターンを認識するためにデバイス指紋（fingerprinting）を活用します。また、タイピング速度やログインのタイミングなどの行動シグナルによって、人間とボットを見分けてください。こうした小さな摩擦（障壁）が、ほとんどの自動化によるスプレー試行を効果的に止められます。

条件付きアクセス

状況（コンテキスト）に基づいてアクセス判断を強化します。Conditional Access のポリシーを使用して、信頼できる場所からのログインのみを許可し、「impossible travel（不可能な移動）」のログインをブロックし、サインインがリスクに見える場合は step-up authentication をトリガーします。これにより、仮に認証情報が推測されても、攻撃者は追加の検証ハードルに直面します。

IDプロバイダー（IdP）の衛生管理

認証プロセスを保護してください。テナント全体のパスワード保護機能（禁止パスワード リストなど）を有効にし、外部からのブルートフォース攻撃の試行を制限するために AD FS で外部ネットワークのロックアウト（extranet lockout）を有効化し、不審なサインイン挙動についてテナント全体のアラートを構成します。これらの対策により、攻撃者が弱い、または再利用された認証情報を悪用できる機会の幅が狭まります。

管理者の衛生管理

管理者アカウントは「至宝」のように扱いましょう。管理者は、管理業務と日常業務で別々のアカウントを使用するべきです。最小権限の原則を実装し、誰も必要以上のアクセス権を持たないようにし、デフォルトまたは共有パスワードは完全に排除してください。必要なときだけ一時的に昇格した特権を付与するために、just-in-time access（JIT）および Just Enough Administration（JEA）を実装します。これにより、アカウントが侵害された場合の露出範囲を抑えられます。

対応

検知アラートが発報されたら対応してください。目的は被害を封じ込め、攻撃者がどのようにして持続化（persist）したのかを特定し、同じことが再発しないようにすることです。

脅威を迅速に封じ込める

• 疑わしい IP アドレス範囲や AS 番号をブロックする（または WAF やネットワークのエッジで隔離する）。
• 攻撃が想定外の地域（地理的な場所）から発生している場合は、ジオフェンシングを導入してください。
• 侵害されたアカウントのすべてのアクティブセッションとリフレッシュトークンを無効化してください（不審なものだけではありません。攻撃者がすでに横方向に移動している可能性があるためです）。
• 影響を受けたアカウントに関連付けられている既存のアクセス トークンまたは API キーをすべて無効化してください。
• 緊急の Conditional Access ポリシーを適用し、MFA を必須にすること、リスクの高いサインインをブロックすること、または信頼できるネットワークへのアクセスを制限することを行ってください。
• リスクの高いサインイン経路を遮断するために、一時的に認証要件を強化してください。

対象となった認証情報をリセット

• 標的にされた、または侵害が成功したアカウントのパスワードをリセットしてください。リスク スコアリングと、確認済みの侵害指標（IOC）を使用して、パスワード リセット手順を判断します。
• MFA の登録を必須にします。
• 侵害されたアカウントおよび高リスク アカウントから、不審なメールボックス転送ルール、Send As 権限、委任（デリゲート）を削除します。
• 対象アカウントについて、未承認の OAuth アプリの同意およびアプリケーション権限を取り消します。

持続（Persistence）を探索する

侵害されたアカウントを次の項目で検索します：

• メールボックスのルール（転送、削除、自動返信）
• メールボックスの委任者と「送信（Send as）/「代理送信（Send on behalf）」の権限
• アプリ パスワードとレガシー認証トークン（IMAP、POP3、SMTP）
• OAuth トークンとアプリケーションの同意
• API キーとサービス プリンシパルの資格情報
• 登録済みの MFA デバイス（攻撃者が追加した携帯電話やその他の認証器を削除）
• 登録済みの認証方法の変更
• 過剰な権限を持つサービス プリンシパルおよびアプリ登録
• 条件付きアクセス ポリシーの変更（攻撃者がセキュリティ ポリシーを弱める可能性があります）
• ブラウザーまたはパスワード マネージャーに保存された認証情報

攻撃者が再認証をせずに戻ってこられる可能性のあるものはすべて削除してください。

フォレンジックと範囲

• 認証ログ（Entra ID のサインイン、Okta のシステムログ、オンプレミス AD のログ）とネットワークフロー（例：east-west の横方向移動、データ外部流出の指標、不審なトラフィックパターン）を収集します。
• 出来事のタイムライン、送信元 IP、ユーザーエージェント、影響を受けたアプリ、およびログイン試行が成功したのか失敗したのかを整理します。
• どのデータまたはシステムにアクセスされたかを特定します。

関係者に通知する

• 影響を受けたユーザーに直ちに連絡し、取るべき行動を案内してください。
• 次に、必要に応じて、経営陣、法務、ITセキュリティ、コンプライアンス部門に連絡してください。
• 共有しているシステムやデータに影響が出ている場合は、パートナーやベンダーに更新情報を伝えてください。
• 侵害によって規制上の不遵守が生じる場合は、該当する場合に備えて規制当局への通知を準備してください。

攻撃ベクトルを無効化

• 必要がない場合は、レガシー認証プロトコルを無効化してください。
• アカウントのロックアウトポリシーとレート制限を厳格化してください。
• 監視付きのデコイアカウント（ハニーポット）を展開して、今後のスプレー攻撃の試行を検知します。
• 攻撃者のIP、パターン、TTPを含めて脅威インテリジェンスのフィードを更新してください。
• 観察された攻撃者の指標に基づいて、SIEM の検知ルールを洗練させます。
• 組織全体に緩和（ミティゲーション）措置を展開します。

学び（Lessons learned）

• インシデント終了から 1〜2 週間以内に正式な事後レビューを予定し、うまくいった点と改善が必要な点を文書化します。
• 学びを反映してインシデント対応の runbook を見直します。
• 新しい IOC、TTP、検知シグネチャを文書化します。
• パスワードスプレーのシナリオを想定した机上訓練を実施します。
• 検知と対応の改善を検証するために、パープルチーム演習を実施します。
• 許可を得たうえで、管理されたパスワードスプレーのシミュレーションを実行し、対策（コントロール）をテストします。

ヘルプデスクおよび IT 担当者に対し、認証情報（credential）攻撃を見分けて対応する方法を教育します。

業界別の影響

パスワードスプレー攻撃は、業界（セクター）によって影響の大きさや結果が異なります。業界固有のリスクを理解することで、組織は防御を優先順位づけ、インシデント対応を最適化できます。

攻撃の進化と今後の動向

パスワードに基づく攻撃は、目立つブルートフォース（総当たり）から、より大規模な脅威オペレーションの一部となっている、ステルス性の高い自動化キャンペーンへと進化しています。攻撃の進化と現在の傾向を把握することで、セキュリティチームはそれに応じて防御を強化できます。

重要な統計データとインフォグラフィック

数字は、パスワードスプレーや資格情報（クレデンシャル）ベースの攻撃の裏にある実態を物語っています。以下の統計は、強固な認証とより良いパスワード衛生がこれまで以上に重要である理由を示しています。

• 2025 Verizon Data Breach Investigations Report において、アナリストは確認された侵害の22%が、資格情報の悪用（盗まれた、または再利用されたパスワードなど）から始まっていることを見いだしました。さらに「Basic Web Application」攻撃では、88% が盗まれた資格情報を含んでいました。
• Microsoft によると、侵害されたアカウントのうち99.9%超が、侵害時点でMFA（多要素認証）を備えていませんでした。さらに、この調査では、MFAのないアカウントは、特にMFAに対応していない SMTP、IMAP、POP のようなレガシー認証プロトコルを使用している場合、パスワードスプレーやパスワードリプレイ（再送）攻撃に対して特に脆弱であることが分かりました。
• 最近の分析 （たとえば、2025年にNordPassなどが行ったもの）によると、「123456」「password」「qwerty」「12345」「qwerty123」のようなパスワードは、最もよく使われるパスワードの上位リストを引き続き独占しています。

毎日のアイデンティティ攻撃

以下のグラフは、毎日のアイデンティティ攻撃が急増していることを示しています。2022 年の約 3 億件から、2025 年前半には約 8 億件にまで達しています。これは、パスワードおよびアイデンティティに基づく脅威の規模が拡大していることを示しています。

アイデンティティ攻撃の種類

円グラフは、2025 年におけるアイデンティティ攻撃の 97% がパスワードベースであり、主にパスワードスプレーとブルートフォース攻撃であったことを示しています。これは、脆弱または盗まれた認証情報が、攻撃者にとって依然として最優先の標的であることを裏付けています。

MFA 導入の増加

折れ線グラフは、2014年以降、Microsoft の企業顧客の間で MFA（多要素認証）の導入が着実に増えていることを示しています。しかし 2024 年時点でも、59% のアカウントは依然として MFA 保護がありません。

まとめ

攻撃者は、窓に雨を打ちつけるように、ユーザーベース全体へ資格情報をばらまきます。ほとんどの試みは無害に弾かれますが、侵入させるには「弱い封じ目」ひとつで十分です。攻撃者にとってこの攻撃が魅力的なのは、そのシンプルさにあります。手間は少なく、成果は大きく、被害が起きるまでほとんど見えません。弱い封じ目にならないでください。たった1つの侵害された資格情報によって、何か月ものセキュリティ投資が崩れることを許さないでください。パスワードスプレーが成功するのは、手遅れになるまで攻撃に見えないからです。スプレーを早期に検知し、侵入口を塞ぎ、「洪水」が押し寄せないように食い止めてください。