認証の盲点を突く「パスワードスプレー攻撃」とアカウントロックアウトの壁
【背景と概要】
ユーザーのアカウント（ID）を力まかせに乗っ取る古典的な手法として、1つのアカウントに対して数千〜数万通りのパスワードを順番に試し続ける「ブルートフォース攻撃（総当たり攻撃）」がありました。
しかし、現代の多くのログインシステムには「同じアカウントで数回失敗するとアカウントを一時ロックする（アカウントロックアウト）」機能が備わっています。攻撃者はこのセキュリティ機能を回避するため、発想を逆転させた「パスワードスプレー攻撃（Password Spraying）」という手法を用いて、企業のクラウド環境（Microsoft 365やGoogle Workspace等）へ静かに侵入を試みています。
【パスワードスプレー攻撃の仕組みと潜伏性】
「1つのIDにたくさんのパスワードを試す」のではなく、「1つのよく使われるパスワードを、たくさんのIDに対して試す」のが特徴です。
- 企業内の有効なメールアドレス（ID）リストの事前作成
OSINTツール、LinkedIn、過去の漏えいデータベースなどを活用し、標的企業の従業員のメールアドレス（ID）リスト（例: 数千人分）を作成します。
- 一般的で弱いパスワードの選定
「`Password2026!`」「`Spring2026!`」「`Company123`」など、人間が設定しがちで一般的なパスワードを数種類だけ選定します。
- ロックアウト閾値を下回る低頻度での分散ログイン
数千人のIDに対して、選定した1つのパスワードで「数時間〜数日おきに1回だけ」ログインを試みます。各アカウント単位で見れば「1回失敗しただけ」となるため、アカウントロックアウト機能が作動せず、セキュリティシステムのアラート（異常通知）を回避しながら成功するペアを探し当てます。
【パスワードスプレー攻撃が成功する構造的理由】
どれほど強固なパスワードポリシーを定めていても、組織内に数十人〜数百人の従業員がいれば、数人は「推測しやすい安直なパスワード」を設定している確率が高いため、攻撃者にとって成功率の高い手法となります。
【パスワードスプレー攻撃を防御する多層アプローチ】
単純なアカウントロック機能だけに頼らない認証防衛が必要です。
- 全アカウントへの「多要素認証（MFA）」の完全強制
仮にパスワードスプレーによって正しいパスワードが推測されたとしても、MFA（認証アプリやFIDO2等）が有効化されていればログインを水際でブロックできます。
- 辞書攻撃・脆弱パスワードの登録禁止（Smart Lockout）
Microsoft Entra IDの「スマートロックアウト」などの機能を活用し、推測されやすい一般的な文字列（`Password` や社名を含む文字列等）をパスワード設定時にシステム側で自動的に拒否・変更不可とします。
- リスクベース認証・コンディショナルアクセスの適用
アクセス元のIPアドレス、国（地理的異常）、端末の不審さなどをAIでリアルタイム分析し、不審なログイン試行に対して自動的に再MFAを要求するかアクセスを拒否する動的制御を導入します。