1. パスワードスプレー攻撃とは
パスワードスプレー攻撃とは、「password」「Password123」「会社名+年号」といった、ありがちで推測しやすいパスワードを1つ選び、それを多数のアカウント（ID）に対して次々と試していく攻撃です。「スプレー（噴霧）」という名の通り、1つのパスワードを、大量のアカウントに広く薄く吹きかけるように試すのが特徴です。
狙いはシンプルです。組織には必ず、「弱いパスワードを使っている人」が一定数います。多数のアカウントに、ありがちなパスワードを試せば、そのうち誰か一人のパスワードには合致する——攻撃者はそう考えます。そして、たった一人分でも突破できれば、そこを起点に組織内へ侵入できます。派手さはないものの、確実に成果を上げる、攻撃者に好まれる手口です。実際、国家が関与する高度な攻撃グループが、この手口を多用していることも報告されています。
2. 総当たり（ブルートフォース）との違い
パスワードスプレーとよく似た攻撃に「総当たり（ブルートフォース）攻撃」があります。両者の違いを整理しましょう。
| 観点 | 総当たり（ブルートフォース） | パスワードスプレー |
|---|---|---|
| やり方 | 1つのアカウントに、多数のパスワードを次々試す | 1つのパスワードを、多数のアカウントに試す |
| 方向 | 「縦」に深く掘る | 「横」に広く薄く試す |
| アカウントロック | 連続失敗でロックされやすく、検知されやすい | 1アカウントあたりの失敗が少なく、ロックを回避できる |
| 検知 | 比較的されやすい | されにくい |
最大の違いは「向き」です。総当たりが1つのアカウントを「縦に深く」掘るのに対し、パスワードスプレーは1つのパスワードを多数のアカウントに「横に広く」試します。この違いが、次に述べる「検知されにくさ」を生みます。
3. なぜ検知されにくく、成功しやすいのか
パスワードスプレー攻撃が厄介なのは、アカウントロックの仕組みをすり抜けてしまう点にあります。多くのシステムは、「パスワードを連続で数回間違えたら、アカウントをロックする」防御を備えています。総当たり攻撃は、1つのアカウントに何度も失敗するため、この防御に引っかかりやすいのです。
ところが、パスワードスプレーは、1つのアカウントに対しては、1回か2回しか試しません（その代わり、対象アカウントを大量にします）。だから、アカウントロックの回数制限に達せず、防御をすり抜けてしまうのです。しかも、時間を空けてゆっくり試すことで、いっそう検知されにくくなります。「連続失敗」を捉える従来の防御では、この「広く薄い」攻撃を捉えきれません。加えて、弱いパスワードを使う人が組織に一定数いる限り、成功する確率は決して低くない——検知されにくく、かつ成功しやすい。これが、パスワードスプレーが恐れられる理由です。
4. パスワードスプレーの防ぎ方
- ① 多要素認証（MFA）を必須にする：パスワードが推測で当たっても、2つ目の要素がなければ侵入されません。最も効果的な対策です。
- ② 弱いパスワードを禁止する：ありがちなパスワード、過去に漏えいしたパスワードを使えないようにします。
- ③ 不審なログインを検知する：「多数のアカウントへの、少数回のログイン試行」というパターンを検知します。
- ④ 露出した認証の入口を減らす：インターネットに直接露出したログイン画面（VPN・RDPなど）を最小限にします。
最も効果的なのは、① 多要素認証（MFA）です。パスワードスプレーは「パスワードを当てる」攻撃ですから、パスワードが当たっても、それだけでは侵入できないようにすれば、無力化できます。ただし、前述の中間者型フィッシングのように、MFAにも突破される限界がある点には注意が必要です（MFAだけで十分？）。
5. 根本的な防ぎ方——パスワードレス
パスワードスプレー攻撃を根本から防ぐ、究極の答え。それは、そもそもパスワードをなくしてしまう「パスワードレス認証」です。
考えてみてください。パスワードスプレーは、「パスワードを推測して当てる」攻撃です。ならば、パスワードそのものが存在しなければ、この攻撃は成り立ちようがありません。当てるべきパスワードがないのですから。フィッシングに強いパスワードレス認証（FIDO2/パスキー）は、パスワードを一切使わず、生体認証や専用の認証器で本人を確認します。パスワードスプレーも、総当たりも、使い回しも、フィッシングも——「パスワードを狙う攻撃」のすべてが、パスワードがなければ無意味になるのです。
これこそが、パスワード関連の攻撃に対する、最も確実で根本的な答えです。個別の攻撃ごとに対策を積み重ねるのではなく、攻撃の的である「パスワード」そのものをなくす。だからこそ、米国NISTをはじめ世界のセキュリティガイドラインは、最終的に求められる認証として、パスワードのいらないパスワードレス認証を明確に示しています。パスワードスプレーの対策は、まず多要素認証から。そして、その到達点として、パスワードそのものをなくすパスワードレスを目指す——それが、弱いパスワードの一人が組織全体を危険にさらす構造を、根本から断つ道なのです。
6. まとめ
パスワードスプレー攻撃とは、ありがちなパスワードを1つ選び、多数のアカウントに広く薄く試すことで、アカウントロックを回避しながら侵入する攻撃です。1つのアカウントに多数のパスワードを試す総当たりとは逆の「横に広い」手口で、検知されにくく、弱いパスワードを使う人が一定数いる限り成功しやすい、厄介な攻撃です。
防ぐには、多要素認証の必須化、弱いパスワードの禁止、不審なログインの検知などが有効です。しかし根本的な答えは、攻撃の的である「パスワード」そのものをなくすパスワードレス認証（FIDO2/パスキー）です。パスワードがなければ、パスワードスプレーは成り立ちません。世界のガイドラインが最終的に求めるのも、このパスワードレスです。まず自社の認証がパスワード頼みになっていないかを確認し、多要素認証、そしてパスワードレスへと進めましょう。進め方でお困りなら、専門家にご相談ください。