パスワードスプレー：攻撃の97%はハックではなく、ただログインするだけ
Apr 6, 2026
Microsoftが最新の 重要インフラに対する脅威ガイダンス とともに、最新の Digital Defense Report も公開しました。
そして行間を読めば、非常に明確なストーリーが見えてきます：
攻撃者はもう窓を割って侵入していません。
あなたの認証情報（credentials）を使って…静かに…正面のドアから入ってきます。
もう一度言わせてください。
侵入しているのではありません。ログインしているんです。
パスワードスプレー：世界で一番退屈（でも効果的）な攻撃
パスワードスプレーは、ほとんど…無害に聞こえます。
違います。
- たくさんのアカウントで、よくあるパスワードを試す。
- ロックアウトのしきい値を下回ったままにする。
- 成功するログインが1回出るのを待つ。
それだけです。ゼロデイなし。ハリウッド風のハッキング・モンタージュなし。「ミッション：インポッシブル」の音楽なし。
ただ、待つことです。
そしてちゃんと効きます。かなり。
「攻撃の97%はこのやり方で始まる」“97% of attacks start this way” みたいな数字を聞いているなら、それは丸め誤差じゃありません。無視できない事実です。
具体的に言うと、Microsoftはいま次の2つの重要なことを伝えています。
Microsoft Digital Defense Report より
97%のidentity攻撃はpassword spray攻撃でした。
null
あの小さな枠だけで、すべてがわかります。
その通りです。
戦術が進化しても、攻撃者は弱く、使い回されたパスワードで依然として勝っています。
少し時間を取って Microsoft のガイダンス と レポート を全文の文脈として確認してください。読み終えたら、こちらに戻ってきてください。
高度な脅威について一日中語ることはできますが……攻撃者は相変わらず正面のドアから入ってきます。
パスワードレスに移行すべきです。
はい。そうすべきです。
FIDO2。Windows Hello。生体認証。全部そろえて。
それが到達点です。
でも、ほんの少しだけ自分に正直になりましょう……
貴社の状況は、まだそこにはありません。
レガシーアプリがあります。VPNへの依存があります。サービスアカウントもあります。そして、いまだに「Summer2024!」と入力してしまうユーザーもいます。
じゃあ、次はどうすればいいのでしょう？
「passwordless transformation」が完了するまで、現実から目をそらすだけでいいのでしょうか？
それは戦略ではありません。もし戦略だとしても、せいぜいリスクの高い戦略です。正直に言うと、問題が起きないことを願って祈っているだけです。.
そして以前もお伝えしたとおり：
希望は戦略ではありません。ポリシーが戦略です。
誰も話したがらない“ギャップ”
Microsoftがあなたに到達してほしい場所（パスワードレスのユートピア）と、実際にあなたがいる場所（どこにでもパスワードがある状態）には、巨大で居心地の悪いギャップがあります。
そのギャップ？
そこに攻撃者がいます。
そして、Microsoft自身のデータも基本的にこう言っています：
「ねえ……攻撃はここから来ているんだ。」
つまり本当の問いは：
今日、これに対して何をしていますか？
登場：「なぜ私はもうこれを持っていなかったんだろう？」ソフトウェア
想像してみてください：
ユーザーがパスワードを設定しようとします。
裏側では、システムが既知の漏えい（侵害）パスワードの巨大なデータベースと照合します。
それが弱い・使い回し・すでに漏えい済みだったら？
即ブロック。
議論なし。例外なし。「あとで直します」なし。
それが Netwrix Password Policy Enforcer がやることです。
Active Directory と Hybrid のパスワード変更イベントに直接連携し、事前にそれらのパスワードを Have I Been Pwned と照合して確認したうえで、侵害されているおよび/または弱いパスワードをブロックします 問題になる前に。
すでにお使いのものと連携します—Active Directory および/または Entra ID のハイブリッド環境—そのため、入れ替え（rip and replace）は不要です。
これは、アイデンティティを“再発明”することではありません。
既存のアイデンティティ・システムを…… 実際に施行できるようにする。
あるいは私がよく言うように：
私たちは車輪を“再発明”しません。車輪を より丸くします。
Active Directory のパスワード ポリシー ソフトウェアで、弱い・使い回し・侵害された資格情報をブロックします。無料トライアルをダウンロード
今こそ重要な理由
Microsoft の指摘に戻りましょう：
攻撃者は永続化を確立しています。じっとして。待っています。
パスワード スプレー はしばしば 最初のドミノ です。
一度侵入できてしまえば—権限の低いアカウントであっても—派手なことをする必要はありません。
彼らには時間が必要です。
そこから先は、横方向への移動（lateral movement）です。権限昇格。Living-off-the-land の手法。
ゲームオーバー……ただ、少し遅いだけ。
転換点：検知から予防へ
不都合な真実をお伝えします：
EDR は後になって検知します。 SIEM は後になってアラートを出します。インシデント対応も後になって行われます。
パスワードスプレーの防止？
それが事前です。
攻撃者を追いかけるのか、玄関先で止めるのか——そこに違いがあります。
それどころか……うまく機能する「ドア」を見つけられないようにするんです。
ギャップを埋めましょう。完璧を待つ必要はありません。
もう、どこへ行きたいかは分かっているはずです。
パスワードレス。フィッシング耐性。モダンなアイデンティティ。
でも、その間は？
パスワードがある？なら、対処しましょう。
侵害されたパスワードをブロック。強固なポリシーを徹底。攻撃者が頼る“手の届く甘い果実”を取り除きましょう。
最悪の見出しは、
「高度な国家レベルの攻撃者により企業が侵害された」
それは:
「会社が侵害を受けました……弱いパスワードが原因で、彼らは防げたはずです。」
最後のひとこと
Microsoft が、アンカリング用の資料を今渡してくれました。
データはそこにあります。パターンは明白です。
攻撃の97%は同じ「正面の入口」から入ってきています。
じゃあ、答えはこれ。
パスワードレスにすべきだって分かっている。でもできていない。
パスワードはあります。そして、おそらく……しばらくの間はあります。だから、とりあえずそれに対処しましょう。
「Netwrix Password Policy Enforcer 」を使ってパスワードスプレー攻撃を止めましょう。
いま持っているものと、目指したい場所のギャップを埋めましょう。
そして新聞に載ることのないようにしてください。何かできたのに……やらなかったからです。
身元攻撃の97%はパスワードスプレー攻撃でした。
共有する
もっと詳しく
著者について
Jeremy Moskowitz
プロダクトマネジメント担当副社長（エンドポイント製品）
Jeremy Moskowitz は、コンピューターおよびネットワークセキュリティ業界で広く認知された専門家です。PolicyPak Software（現在は Netwrix の一部）の共同創設者兼 CTO であるほか、グループポリシー、エンタープライズ モビリティ、MDM における Microsoft の前 20x MVP でもあります。Jeremy は「Group Policy: Fundamentals, Security, and the Managed Desktop」と「MDM: Fundamentals, Security, and the Modern Desktop」など、いくつかのベストセラー書籍の著者です。さらに、デスクトップ設定の管理などのテーマについて精力的に講演を行う人気スピーカーであり、MDMandGPanswers.com の創設者でもあります。