パスワードスプレー攻撃

パスワードスプレー攻撃は、従来の総当たりと真逆のアプローチを取ります。1 アカウントに多数のパスワードを試すのではなく、同一パスワード(「Winter2025!」「P@ssw0rd」など)をディレクトリ全体に対して順に試し、終わったら次のパスワードへ移ります。これによりアカウント単位のロックアウトを回避でき、実組織には常に弱いパスワードが残るため一定の成功率が得られます。クラウド ID プロバイダ(Entra ID、Okta)や VPN ポータルへの攻撃に多用されます。対策は、一般的・漏えい済みパスワードの拒否、スマートロックアウトとリスクベース MFA、条件付きアクセス、地理/IP 分析、単一パスワードで多数のアカウントに試行する高ファンアウトのパターン検知です。