JPCERT コーディネーションセンター（JPCERT/CC）より、不正アクセスを目的とする比較的新しいサイバー攻撃、「パスワードスプレー攻撃」に対して注意喚起が促されております。
パスワードスプレー攻撃とは
ハッカーが不正アクセスを目的に、ログイン認証を突破するためにIDやパスワードの考えられる組み合わせを次々に試す「ブルートフォースアタック（総当たり攻撃）」に近い手法です。
ブルートフォースアタックは、セキュリティ側に回数制限によるロックが施されていれば防御されることから、これを回避するためにパスワードスプレー攻撃が採用されます。
ブルートフォースアタックとの大きな違いは、「複数のアカウントに対して1つのパスワードを試す」ことで、アカウントロックを作動させず、不正ログインが検知されにくくできる点です。
パスワードスプレー攻撃により、攻撃者の最終目的と想定されるのは以下のとおりです。
| ・なりすましによる他の標的へのフィッシング攻撃 |
| ・シングルサインオンを採用している関連ウェブアプリケーションへの認証連携 |
| ・webメーラー内のメール内容、アドレスデータを使いより大規模な攻撃に派生させる |
| ・企業組織のシステム侵入後、ネットワーク経由でファイル転送ツールなどで機密データの持ち出し |
パスワードスプレー攻撃 へのセキュリティ対策
JPCERT/CCは、パスワードスプレー攻撃への効果的なセキュリティ対策として、以下のとおり推奨しております。
| ・簡易なパスワードを使わない |
| ・パスワードの他サービスでの使い回しをしない |
| ・ログ管理 |
| ・多要素認証を設定 |
| ・退職などで無効となった従業員のアカウント情報を定期的に削除 |
| 【参考URL】 「パスワードスプレー」攻撃に警戒を–日米で注意喚起 |