パスワードスプレー攻撃とは：メールアカウントを狙う「少数×多数」の試行
パスワードスプレーは、少数のよく使われるパスワードを、多数のアカウントに少しずつ試す攻撃です。1人のアカウントに連続して試行する総当たり攻撃と異なり、個別アカウントのロック基準を避けることを狙います。メールはパスワード再設定や取引先との連絡にも使われるため、侵害されると業務全体に影響するおそれがあります。
「1人に何百回」ではなく「多くの人に数回」
攻撃者は、公開情報などから推測したメールアドレスに対して、少数の一般的なパスワードを広く試します。試行をゆっくり行ったり、接続元を分散したりすることで、単一アカウントや単一IPアドレスだけを見る検知をすり抜けようとします。
MITRE ATT&CKでは、この手法を T1110.003: Password Spraying として整理しています。
なぜメールが狙われるのか
メールアカウントには、見積もりや契約、パスワード再設定の案内など、多くの業務情報が集まります。医療機器メーカーでも、開発・品質保証・薬事・営業の連絡を起点に、次のような二次被害につながる可能性があります。
- 取引先や社内担当者を装った不審な連絡
- パスワード再設定メールを利用した他サービスへの侵入
- メール自動転送や外部アプリ連携の不正な追加
- 設計・品質関連の情報への不正アクセス
実例から見る確認ポイント
Microsoftは2024年、多要素認証（MFA）が有効ではなかった古い非本番テストテナントのアカウントがパスワードスプレーで侵害された事案を公表しました。多要素認証とは、パスワードに加えて、認証アプリやセキュリティキーなどで本人を確認する仕組みです。重要なのは、主要な本番アカウントだけでなく、テスト用・休眠中・共有運用のアカウントも同じ基準で管理することです。
まず確認したい5項目
- 多要素認証（MFA）を全利用者と管理者に必須化しているか
メール、ファイル共有、管理画面、リモートアクセスを例外なく確認します。 - 古い認証方式を残していないか
POP、IMAP、SMTPなど、MFAを適用できない入口がないかを確認します。 - 休眠・テスト・退職者アカウントを棚卸ししているか
利用目的と管理責任者が不明なアカウントを放置しないことが重要です。 - 複数アカウントにまたがる失敗を見られるか
同じ利用者の連続失敗だけでなく、組織全体での認証失敗の偏りを確認します。 - 成功後の不審な動きを確認できるか
新しい端末や場所からのログイン、転送設定、外部アプリの追加などを調べられる状態にします。
対策は「多要素認証（MFA）を入れたら終わり」ではない
MFAは重要な防御ですが、方式や運用によって強さが異なります。CISAは、可能な場合はフィッシング耐性のある認証方式を目指すことを推奨しています。また、Microsoft Entra IDでは、パスワードスプレーのリスク検知は攻撃者によるパスワード検証の成功が確認された場合に発生するため、警告がないことだけで未遂攻撃がなかったとは判断できません。
メール基盤を評価するときは、サービス名だけで判断せず、多要素認証（MFA）、旧式認証の扱い、アカウント棚卸し、横断的なログ確認、侵害後の復旧手順までを組み合わせて確認する必要があります。