パスワードスプレー攻撃 とは？

ブルートフォースは「1つのアカウントに対して大量のパスワードを試す」攻撃だけど、パスワードスプレーは逆で「1つのパスワードを大量のアカウントに試す」んだ。鍵を何本も試してドアを開けるか、1本の合鍵で全部のドアを試すかの違いだね。

多くのシステムは「5回パスワードを間違えるとロック」みたいな制限があるんだ。ブルートフォースだとすぐロックされるけど、パスワードスプレーなら各アカウントに1〜2回しか試さないから検知されにくいんだよ。

ところが当たるんだよ。数万人の組織なら「Password1」「Spring2026」「CompanyName123」みたいな単純なパスワードを使っている人が必ず何人かいる。攻撃者は1人でも突破できれば、そこから内部に侵入できるからね。

一番効果的なのは多要素認証（MFA）の導入だよ。パスワードが突破されても、スマホの認証コードがなければログインできない。あとはパスワードポリシーで「よくあるパスワード」をブラックリストに入れるのも有効だね。Microsoft 365やAzure ADには、パスワードスプレーを自動検知する機能も備わっているよ。