平文パスワードの抽出（Plaintext Password Extraction）解説：リスク、例、予防

プレーンテキストのパスワード抽出とは？

プレーンテキストのパスワード抽出とは、攻撃者がアカウント資格情報を、元の読み取り可能な形式で取得することです。つまり、ハッシュやトークンではなく、実際のユーザー名/パスワードの文字列が手に入るということです。暗号化されたデータ片やワンタイムトークンを収集する資格情報の収集手法とは異なり、プレーンテキスト抽出では、解読（クラッキング）を必要としない直接的なパスワードが得られます。そのため、即時にアクセスできるようになります。プレーンテキストのパスワードはすぐに使用できるため、侵害から影響が及ぶまでの時間が短縮されます。たとえば、次のことが可能になります。

• アカウント所有者として認証し、サービスやシステムにログインします。
• 単一要素認証や多くのレガシー（旧式）制御を回避します。
• 最初に侵害されたホストから、より機密性の高いシステムへと展開（ピボット）します。
• ログイン後、メールボックス、設定ファイル、バックアップ格納先から追加の資格情報を収集します。
• 収集した資格情報（ローカル管理者やより高い権限のサービスアカウントなど）を利用して、ホスト、サービス、ドメイン リソースの制御をより強めます。

平文の資格情報の一般的な入手元

平文のパスワードは、システムや管理者が利便性のために保存している場所、またはソフトウェアが意図せず漏えいしている場所で見つかります。主な出典には以下が含まれます:

• LSASS メモリ: 一部の Windows サービスやアプリケーションは実行中に資格情報を LSASS プロセスのメモリへ読み込みます。このとき、平文の機密情報が RAM 上で読み取り可能な状態のまま残ることがあります。
• レジストリ： アプリケーションやインストーラーは、資格情報を Windows レジストリ キーに書き込むことがあります。
• アプリケーション設定ファイル： 設定ファイル（例：appsettings.json、config.xml、.env）には、サービスを自動的に起動できるようにするため、ハードコードされた API キー、データベース パスワード、サービスの資格情報が平文で含まれていることがよくあります。
• アプリケーション データベース： データベースは、特にレガシーおよびカスタム アプリケーションにおいて、構成テーブル内に接続文字列やサービスの資格情報を平文で保存していることがあります。
• CI/CD パイプライン： シークレットが適切に管理されていない場合、ビルドおよびデプロイのパイプラインは、ハードコードされた変数、パイプラインのログ、保護されていないアーティファクト リポジトリを通じて資格情報を公開してしまう可能性があります。
• ブラウザーの保存領域： システムが侵害されると、ブラウザーに保存されたパスワードや、十分に保護されていないパスワード マネージャーにあるパスワードが抽出される可能性があります。
• クラウドのシークレットと API キー： クラウド サービスや開発環境では、環境変数、IaC テンプレート、保護されていないシークレット ストア内に平文で保存された資格情報（クレデンシャル）が漏えいすることがあります。
• 安全性の低いテキスト ファイル： 管理者やその他のユーザーは、共有ドライブやクラウド ストレージ上で、平文のメモ、スプレッドシート、または .txt ファイルにパスワードを保存してしまうことがあります。
• バックアップとスナップショット： 平文の資格情報（クレデンシャル）が含まれていたシステムのバックアップは、適切に暗号化されていない場合、別の情報源になります。
• ログ： 設定が不適切なログでは、ユーザー名やパスワードが平文で記録される可能性があります。

グループ ポリシーの優先設定（Group Policy Preferences）に関する事例

GPP は、平文として露出してしまう認証情報の、現実世界における代表的な例として広く引用されています。GPP により、管理者は SYSVOL 共有に保存された XML ファイルを通じて、ローカル アカウント、スケジュール タスク、ドライブ マッピング、その他の設定を一元的に構成できました。GPP はさらに、それらの XML ファイルに認証情報を埋め込むこともサポートしていました。埋め込まれたパスワードは、Microsoft 自身の MSDN ドキュメントで公開されていた静的 AES キーで暗号化されていました。このキーは 2012 年に広く知られるようになり、PowerSploit’s Get-GPPPassword のようなツールで復号が容易になりました。つまり:

• 認証済みの任意のドメイン ユーザーが、SYSVOL 内の XML ファイルを読み取れました。
• 静的で公開ドキュメントに記載された暗号化キーにより、保存されていたこれらのパスワードは誰でも復元（復号）できる状態になっていました。
• その結果、多くの環境で高い権限を持つローカル アカウントのパスワードが、任意のドメイン ユーザーに対して露出してしまい、横方向への移動（lateral-movement）のリスクが生じました。

2014 年に Microsoft は、埋め込まれたパスワードを含む新しい GPP ポリシーの作成を防ぐためにセキュリティ情報 MS14-025 を公開しましたが、既存のものを削除するわけではありません。既存のものは管理者が手動で削除する必要があります。その結果、古い GPP ファイルが残っている場合、基本的なアクセス権を持つ任意のドメイン ユーザーがこの脆弱性を悪用できます。

平文パスワードの抽出はどのように機能しますか？

平文パスワードの抽出は標準的なライフサイクルに従います。まず足がかりを作り、秘密情報がどこにあるのかを特定し、利用可能な資格情報を抽出します。次に、その資格情報を再利用してアクセスを拡大し、その後、より高い権限へと権限昇格し、さらに永続的な制御へと進みます。GPP のケースは、利便性の高い機能（配備可能な資格情報を中央に保存すること）が、攻撃者が悪用できる企業全体の弱点につながり得ることを示す明確な例です。

初期アクセス

攻撃者は、フィッシング、侵害されたアカウントへのアクセス、悪意のある添付ファイル、脆弱なインターネット公開サービスなどの一般的な手段を通じて、ネットワーク上に最初の足がかりを作るところから始めます。

情報収集

攻撃者が対象環境内のホストにアクセスできると、攻撃者はディスカバリー（発見）を行い、資格情報（credentials）が保存される場所、またはプロビジョニングされる場所を特定します。Active Directory (AD) 環境では、SYSVOL やその他の中央で複製される構成ストアが魅力的な標的になります。これは、それらに XML や、多くのマシンへ設定を展開するために使用される他のファイルが含まれているためです。さらに SYSVOL は、復元可能な資格情報の信頼できる情報源でもあり、多くの既定設定では GPP XML ファイルが認証済みのドメイン ユーザーであれば誰でも読み取れるようになっていました。

抽出

抽出（Extraction）とは、構成ファイル、レジストリ、メモリ、バックアップから保存された平文または十分に保護されていない秘密（secrets）を取得し、それらを使用可能な資格情報（credentials）へと変換する行為を指します。一般的には、ファイルの読み取り、構成形式（XML、JSON、INI ファイルなど）の解析、そしてアプリケーションが平文のまま秘密を残しているメモリ上の痕跡（memory artifacts）の分析などが含まれます。

GPP の暗号化キーは公開されていたため、PowerSploit の Get-GPPPassword を使う方法を知っていれば、攻撃者が SYSVOL から資格情報（credentials）を復元するのに必要なものはそれだけでした。これを完全に自動化したのが 2 つのツールです：

• PowerSploit の Get-GPPPassword cmdlet：PowerShell ベースのツールで、SYSVOL 内を検索して cpassword 属性を含む XML ファイルを見つけ、既知の AES キーを使って自動的に復号します。
  • Import-Module PowerSploit
  • Get-GPPPassword
• Metasploit モジュール（post/windows/gather/credentials/gpp）：Metasploit フレームワーク内で同じ機能を実行し、攻撃者が単一のコマンドで保存されているすべての GPP パスワードを列挙して復号することを容易にします。

これらのツールにより攻撃全体が 1 行のコマンドにまで集約されており、設計上の欠陥にツールが組み合わさることで、脆弱性が広範なリスクへと変わり得ることが際立ちます。

再利用

攻撃者が平文の資格情報（たとえばローカル管理者のパスワードやサービスアカウントのシークレット）を入手すると、それをホストやサービス全体で再利用しようとします。資格情報の再利用により横方向への移動が可能になります。攻撃者は追加のマシンに認証し、管理コンソールにアクセスし、データストアのロックを解除できます。

権限昇格

横方向のアクセスを得た攻撃者は、自分の権限を高めることを狙います。たとえば、ローカル管理者からドメインレベルの権限へ移行したり、アプリアカウントから機密データにアクセスできるサービスアカウントへ切り替えたりします。攻撃者はまた、特権昇格や持続化（persistence）の一環として、実行中のプロセスやキャッシュから追加の資格情報を収集するために LSASS メモリをダンプすることもあります。

攻撃フロー図

平文パスワード抽出の視覚的な流れを見てみましょう。さらに、組織の視点からの例として、攻撃が1つの侵害されたユーザーアカウントから始まり、ドメイン全体に及ぶ脅威へとエスカレートしていく様子を示します。

攻撃フロー（一般）

攻撃フロー（GPP 視点）

ヘルプデスク担当者のラップトップを侵害した脅威アクターは、アクセスを得てから数分以内に Get-GPPPassword を実行します。SYSVOL からは、2013 年の groups.xml ファイル（現在も有効）が生成され、その中には組織内のすべてのサーバーで共有されているローカル管理者パスワードが含まれています。翌朝には、攻撃者はファイルサーバーに到達し、バックアップ基盤にアクセスして、ドメインコントローラー上に足場を確立しています。

平文パスワード抽出の例

平文パスワードの抽出は、複数の侵害事例で悪用されています。これらの現実のケースは、安全で保護されていない認証情報がどのように広範な侵害につながり得るかを明らかにします。

平文パスワード抽出の影響

攻撃者が平文パスワードを正常に抽出できた場合、その影響は広範囲に及ぶ可能性があります。平文の認証情報はユーザーの正確なパスワードを明らかにするため、アカウントやシステムへの即時かつ無制限のアクセスを許してしまいます。被害は、財務の安定性、運用、評判、法的な立場にまで及びます。

平文パスワード抽出のよくある標的：誰がリスクにさらされるのか？

平文パスワード抽出攻撃は、認証データを明瞭な形式、または復元可能な形式で保存・処理・管理しているシステムやアカウントを狙います。基本的なセキュリティ衛生（運用の徹底）が見過ごされると、大企業も中小組織もどちらも脆弱になります。よくある標的は次のとおりです：

リスク評価

平文パスワード抽出のリスク・レベルを評価することで、組織はその深刻度を把握し、それに応じて防御策を管理できます。

平文パスワード抽出を防ぐ方法

平文パスワード抽出を防ぐには、組織は資格情報の入手が容易な情報源を取り除き、アカウントとホストの設定を強化し、攻撃者が見つけた資格情報を再利用できる能力を制限するための補完的な管理策を講じる必要があります。

SYSVOL から埋め込まれた GPP パスワードを削除する

GPP の cpassword が含まれる SYSVOL の XML ファイルのエントリは、ドメインにアクセスできる誰でも簡単に復元できます。すべてすぐに削除してください。

• 次の場所 \\<domain>\SYSVOL\ にある cpassword を含む GPP の XML ファイルを特定します。
• GPP ベースのローカル アカウント展開はすべて削除または置き換え、アカウント管理を、Microsoft の Local Administrator Password Solution (LAPS) のようなより安全な仕組みに移行してください。
• 削除後、変更内容を文書化し、すべてのドメイン コントローラーへのレプリケーションが行われたことを確認してください。

クイック検出のヒント（PowerShell）：

Get-ChildItem -Recurse '\\<domain>\SYSVOL' -Include *.xml |

Select-String -Pattern 'cpassword' -SimpleMatch

ローカル管理者アカウントの管理には Microsoft の LAPS を使用する

LAPS は、各マシンごとに一意でランダム化されたローカル管理者パスワードを一元管理し、ACL 保護付きの Active Directory 属性に安全に保存します。LAPS を使用することで、共有のローカル管理者パスワードを平文で保存する必要がなくなります。組織は次を行うべきです:

• LAPS のエージェント/ポリシーを展開し、各ホストに一意でローテーションされるローカル管理者パスワードを設定します。
• AD ACL を使用して、LAPS が管理するパスワード属性を読み取れる相手を制限し、これらの属性へのアクセスを監視します。
• LAPS をオンボーディング/オフボーディングおよびドキュメント作成プロセスに組み込み、従業員がハードコードされた資格情報ではなく LAPS を使用するようにします。

Windows Server をパッチ適用済みかつ最新の状態に保つ

すべてのドメイン コントローラー、サーバー、およびエンドポイントを、最新のセキュリティ パッチで常に最新の状態に保ちます。これらの更新を適用することで、新しいパスワードが安全でない場所に埋め込まれるのを防ぐことに役立ち、資格情報をさらす可能性のあるレガシー（旧来）の脆弱性も軽減できます。

• セキュリティ更新と機能更新を定期的にテストし、適用します。
• 認証、Active Directory、メモリ処理の脆弱性に対処するパッチを優先してください。
• サポートされているOSのバージョンの棚卸しを維持し、セキュリティ更新がもう提供されない古いシステムは廃止してください。

スクリプトや設定に平文のパスワードを保存しないでください

スクリプト、設定ファイル、そして自動化パイプラインに保存された平文の認証情報は、攻撃者にとって手に入れやすい“ロウハンギングフルーツ”です。削除し、安全な代替手段に置き換えてください。

• シークレットマネージャー（ボールト）またはプラットフォームネイティブのシークレットストアを使用してください（例：Azure Key Vault、AWS Secrets Manager）。
• コードが認証を行う必要がある場合は、埋め込みパスワードの代わりに、マネージドID（managed identities）、短命トークンを使用するサービスプリンシパル（service principals）、または証明書ベースの認証（certificate-based auth）を使用してください。
• シークレット（secrets）を定期的にローテーションし、ソースリポジトリ（CI/CD ログやアーティファクト格納先を含む）をスキャンして、意図しない露出がないか確認してください。

MFA と PAM ソリューションを強制する

多要素認証（MFA）と特権アクセス管理（PAM）は、盗まれた認証情報の影響を軽減し、特権セッションを制限します。

• 対話型ログイン、リモートアクセス、機密性の高い管理タスクには MFA を必須にしてください。
• 管理者および第三者に対して、just-in-time かつ時間制限付きの権限昇格を提供するために、PAM/elevated access management を導入します。
• MFA の失敗、権限昇格の要求、および特権セッションのアクティビティをログに記録し、監視します。

SYSVOL にある cpassword の値に対してドメイン監査を実施します

定期的な監査により誤設定を見つけるのに役立つため、標準的なセキュリティ衛生の一部として組み込んでください。

• SYSVOL およびその他の一般的な格納場所に対して自動スキャンを定期実行し、cpassword とその他の資格情報の痕跡を検出します。
• 設定ファイル、スクリプト、およびアプリケーションのデータベースに、平文の資格情報（プレーンテキスト）のチェックを含めてください。
• 資格情報（クレデンシャル）に関連する発見事項は、チケット管理システムまたはパッチ管理システムに記録し、修正が完了した発見事項についてフォローアップを行い、すべての検索と修正の監査証跡（audit trail）を維持してください。これにより、脆弱性が対応されたことを検証しやすくなります。また、将来のセキュリティレビューに向けたドキュメントとしても役立ちます。

Netwrix はどのように支援できますか

平文パスワードの抽出リスクの観点では、組織は、露出（エクスポージャー）を減らし、攻撃の試みを早期に検知し、環境内の弱点を是正するために、専門的なソリューションを導入できます。Netwrix は、これらの目的に合致する一連のツールを提供しています。

Netwrix Privilege Secure

Privilege Secure 常時有効になっている特権アカウントを削除し、just-in-time の特権を適用することで、静的な管理者資格情報に起因する攻撃対象領域を低減します。また、包括的なセッション監視と記録を提供し、サーバーおよびエンドポイント全体で最小権限アクセスをサポートします。

LAPSとの統合と資格情報の保管庫（credential vaulting）のサポートにより、Privilege Secure は平文パスワードのリスクにつながりやすい共通のローカル管理者資格情報を置き換えるのに役立ちます。さらに、このソリューションは各セッションごとの特権アカウントの作成/削除を自動化し、MFA を強制することで特権アクセス制御を一層強化します。

Netwrix Threat Manager

Threat Manager は、Active Directory やハイブリッドクラウドのような環境における、アイデンティティベース／特権ベース／ファイルシステムの脅威に対するリアルタイム検知と対応のために設計されています。SYSVOL を読み取ろうとする試みや Get-GPPPassword の使用などの、異常な認証パターン、資格情報の悪用、疑わしいアクティビティを追跡します。また、攻撃者が平文の資格情報を悪用したり、ネットワーク内で横方向に移動したりしようとする場合に、アラートや自動化された対応をトリガーすることもできます。

Netwrix Access Analyzer

With Access Analyzerにより、組織はオンプレミスおよびクラウド資産全体にわたる権限、アクセス権、レガシーの誤設定（残存する GPP 認証情報など）、そしてリスクの高いデータアクセスを可視化できます。これにより、埋め込みパスワードを含むレガシーの Group Policy Preferences を含め、リスクの高い Active Directory および Group Policy Object (GPO) の誤設定を見つけるのに役立ちます。これらの問題を検出し、優先順位を付けることで、Access Analyzer は平文の認証情報が存在し得る状態を、先回りして是正するための取り組みを可能にします。

検出、緩和、および対応の戦略

平文パスワードの抽出に対する効果的な保護のために、組織は早期検出、先回りの緩和、迅速な対応に重点を置いた戦略を策定する必要があります。

検出

早期検知は、資格情報の収集（credential harvesting）活動を示す、異常な認証パターンやファイルアクセスの挙動を特定することにかかっています。セキュリティチームは次の点を行うべきです：

• SYSVOL の共有を列挙（enumeration）しようとする動きを監視してください。攻撃者はしばしば、これらの共有フォルダーを閲覧して、埋め込まれた資格情報（cpassword のエントリ）と設定データを含む XML ファイルを探します。
• 次のような PowerShell コマンドの不審な使用を検知してください：Get-GPPPassword このようなコマンドは、グループ ポリシーの優先設定（Group Policy Preferences）に保存されているパスワードを抽出するために使われます。
• 複数の Group Policy XML ファイルおよび構成スクリプトに対する異常な読み取りアクセスを調査してください。反復的または大規模なアクセスは、自動化スクリプトや偵察（reconnaissance）活動を示している可能性があります。
• 資格情報ダンプ（credential dumping）ツールの使用の後に、不審な認証の試行や権限昇格（privilege escalation）が続く場合を調査してください。この一連の流れは、多くの場合、攻撃者が平文またはハッシュ化された資格情報を取得済みで、横方向への移動（lateral movement）を試みていることを示します。

緩和

緩和では、露出ポイントを取り除き、攻撃者が平文の認証情報を悪用できる能力を低減することに重点を置きます。

• さらなる横方向の移動を止めるため、侵害されたアカウントとホストを直ちにネットワークから隔離してください。
• SYSVOL およびその他の共有ディレクトリに、埋め込まれたパスワードや設定ミスのある GPP ファイルがないか監査してください。次に、GPP と設定ファイル内で見つかった認証情報を、再利用を防ぐためにリセットします。
• AdminSDHolder ACL への不正な変更、スケジュールされたタスク、継続的なアクセスを可能にし得るサービスアカウントなど、攻撃者の持続化メカニズムを無効化してください。
• 定期的にパッチを適用し、管理者権限を制限して、さらなる露出を減らし、将来の攻撃を防止してください。

対応

平文のパスワードが漏えいした場合、対応フェーズでは、資格情報の漏えい源をすべて排除し、環境を強化することに重点を置くべきです。

• 環境内のすべての GPP 埋め込み資格情報を削除してください。
• Microsoft の LAPS を導入して、固有のローテーション パスワードでローカル管理者アカウントを安全に管理してください。
• Active Directory の権限を強化し、GPO、システム ポリシー、管理者グループ、および機密性の高い構成オブジェクトへのアクセスを制限します。
• エンドポイント検出および応答（EDR）とセキュリティ情報・イベント管理（SIEM）の監視を有効化し、資格情報のダンプ活動や異常な認証挙動をリアルタイムで検出します。
• 管理者に対し、パスワードを Group Policy Objects、スクリプト、および構成ファイルに保存しないよう教育し、安全な運用手順を強化します。

業界固有の影響

平文パスワードの抽出による影響は、取り扱うデータの種類や影響を受けるシステムによって業界ごとに異なります。ただし、あらゆる分野において、侵害された資格情報は運用面、財務面、評判面での損害につながり得ます。

攻撃の進化と今後の動向

平文パスワードの抽出手法は、より強固な防御やハイブリッド IT 環境への移行に対応する形で進化してきました。読み取れる認証情報を盗み出すという基本原則は変わりませんが、手法と標的は拡大しており、人為的ミス、レガシー設定、管理ミスがあるクラウドの認証情報を悪用することが狙いです。

主要な統計データとインフォグラフィック

次のデータは、認証情報に関連する攻撃の範囲と発生の多さを理解するのに役立ちます。

• 2025 Verizon Data Breach Investigations Report (DBIR) によると、侵害の 22% は資格情報の悪用から始まっており、盗まれた、または誤用された資格情報がシステムへの最も一般的な侵入口になっています。
• また、このレポートでは、基本的な Web アプリケーション攻撃の約 88% が盗まれた資格情報を含んでいたことも判明しました。
• PowerShell の Get-GPPPassword は、GPP の悪用に用いられる標準的なツールとして残り続けており、広く文書化されているほか、レッドチームと脅威アクターの両方に使用されています。多くの環境で古い GPP ファイルがまだ残っているため、引き続き効果を発揮します。

データ侵害の初期攻撃ベクター

以下の円グラフは、2025 Verizon DBIR のデータに基づいています。データ侵害につながった初期攻撃ベクターを示しています。

主な調査結果：

• 盗まれた認証情報は、すべての侵害のうち 22% において、依然として最も主要な初期攻撃ベクターです。
• 脆弱性の悪用は前年から 34% 増加し、現在は侵害の 20% を占めています。
• フィッシングは、初期侵害ベクターの 16% を占めています。

まとめの所感

平文パスワードの抽出は、攻撃者がネットワーク上で足場を固めるための最もシンプルな方法の1つです。良い知らせは、多くの露出（エクスポージャー）は未然に防げるという点です。組織は identity を主要なセキュリティ境界として扱うべきです。アカウントを確実に保護すれば、一般的な攻撃チェーンの大半を止められます。まずは素早く効果が出る対策から始めましょう（ SYSVOL の監査、LAPS の導入、MFA の有効化 ）。そのうえで、継続的な検知と privileged-access の制御を運用に組み込み、脅威に先回りして対応してください。