無料メルマガ登録でプレゼント!書籍「セキュリティ対策の基礎知識」SNSやクラウドサービスなど、パスワードを要求するシステムが増加の一途をたどっています。不正なログインを目的としたパスワードに対する攻撃は様々な種類があり、パスワード管理が不適切だと、被害に遭う可能性が格段に高くなります。今回紹介するパスワードスプレー攻撃もパスワードに対する攻撃手法の一つです。実際に被害にあった企業もあり、JPCERT/CCによる攻撃への注意も呼びかけられています。それではまず、パスワードスプレー攻撃の概要から見ていきましょう。著名講演者多数!申込受付まもなく終了です申し込みはこちらパスワードスプレー攻撃とはパスワードスプレー攻撃とはIDやパスワードを組み合わせて連続的に攻撃するブルートフォース攻撃の一種です。ログイン制御を持つシステムでは、一定期間に一定の回数のログインエラーが起こると、アカウントが一定時間ロックされる仕組みを持つものがありますが、パスワードスプレーは、このアカウントロックを回避する手法を持つパスワード攻撃です。アカウントロックを回避することで、不正なログイン試行を検知されないという特徴があります。パスワードスプレー攻撃は「low-and-slow」攻撃とも呼ばれます。force)」という言葉の意味(「強引な」とか「力ずく」)を表すような攻撃手法のことで、ユーザのアカウント・パスワードを解読するため、考えられる全てのパターンを試パスワードスプレー攻撃の仕組みログイン機能を持つシステムでは、一定回数のログインの失敗が発生すると、一定期間アカウントをロックしたり、別の方法で本人確認を要求したりするものがあります。パスワードスプレー攻撃は複数のアカウントに対して「同じパスワード」を使って、同時にログイン試行します。ログイン機能のシステムが、3回連続のログイン失敗でアカウントをロックするタイプのものであれば、最大で3回連続、パスワードを変更しながら、複数のアカウントに同時に攻撃できるわけです。3回連続で失敗したら、今度は別のアカウントのグループに対して、同時にパスワードを変えながら攻撃を行います。このようにアカウントを変えながら同じパスワードを使って攻撃する手法が、パスワードスプレー攻撃の仕組みです。攻撃者はシステム側で不正を検知されにくくするため、IPアドレスを変えたり、時間をずらしたりしながら、ゆっくりと攻撃を行います。これが「low-and-slow」攻撃と呼ばれる所以です。ブルートフォース攻撃との違いパスワードに対する攻撃として有名な手法の一つに、ブルートフォース攻撃があります。ブルートフォース攻撃は別名「総当たり攻撃」とも呼ばれます。特定のIDに対してパスワードを変えながら、ログインが成功するまで連続的かつ短期間にログイン試行を続ける攻撃です。このため通常のブルートフォース攻撃は、パスワードスプレーと比べて、システム側で検知される可能性が高く、アカウントロックによって攻撃が失敗する可能性が高いという特徴があります。著名講演者多数!申込受付まもなく終了です申し込みはこちらパスワードスプレー攻撃被害の特徴パスワードスプレー攻撃の被害に遭う状況の特徴として以下の5つがあげられます。認証連携でウェブアプリケーションを使用しているSSO(シングルサインオン)など認証連携を使用しているクラウドサービスやウェブアプリケーションはパスワードスプレー攻撃のターゲットになりやすいです。認証連携を使用したログインは不正検知が検知されにくいだけでなく、仮に不正ログインに成功すると、別の認証情報やユーザーが使用しているコンテンツのデータが盗み出される可能性があります。多要素認証に不備がある多要素認証とはIDとパスワードの組み合わせ以外に、個人を特定できる情報(認証の要素)を使って、複数の認証方式を組み合わせる方式のことです。多要素認証に不備がある場合、不正ログインの原因となることがあり、パスワードスプレー攻撃の被害に遭う可能性があります。SMSを使った二要素認証を非推奨にしようとする事例もあります。安全に思われる多要素認証ですが、認証の方法によっては危険な場合もあるということです。推測されやすいパスワードを使用しているパスワードとして推測されやすい文字列を使っている場合もパスワードスプレー攻撃の被害に遭う可能性が高くなります。文字列として「123456」といった規則性のある数字や、「password」のようなわかりやすい文字列などは、パスワードとしてふさわしくありません。クラウドとローカルの機能を同期しているローカル環境のデータを、インターネット上のクラウドと同期している場合もパスワードスプレー攻撃の被害に遭う可能性があります。クラウドのメールサービスをローカル環境と同期しているケースは危険です。パスワードスプレー攻撃により不正ログインされたアカウントから、正規ユーザーのメールデータやアドレス帳のデータを不正に入手されることで、メールの送受信を攻撃者に転送させる設定に変更される可能性があります。入手されたアドレス帳から盗み出されたアカウント情報が、新たなパスワードスプレー攻撃のアカウントリストとして悪用されることもあります。ログを保管していないシステムにログを保管していない場合、パスワードスプレー攻撃を検知できません。実際に被害が発生した場合に、ログが保管されていないと、調査に必要な情報が得られません。ログのデータは膨大になりますが、特にログインの成功と失敗に関するログは基本的な情報として保管することが重要です。Systems社が、社内ネットワークに不正アクセスが発生したことで、大規模なデータ侵害が発生したことを自社のブログで報告しました。米シトリックスにサイバー攻撃か、機密情報漏洩の懸念|FBIが警告し判明2019.3.11画像:2019年3月6日、米連邦捜査局(FBI)からCitrix社に対して、イラン系の国際的サイバー犯罪グループからCitrix社内のネットワークに侵入があり、不正に情報を持ち出されたと判断できる証拠があると、連絡を受けたことで、今回のネットワーク侵害を認識したと、Citrix社はブログで報告しています。Citrix社がブログ上で報告する以前から、情報セキュリティ企業のResecurityが、イラン系のハッカーグループ「Iridium」が2018年12月28日と3月4日にCitrix社からデータを盗んでいたと情報を発信していました。この情報によると犯行グループは数TBの情報にアクセスしていたとのことです。パスワードスプレー攻撃への対策パスワードスプレー攻撃に対しても適切に対策を取ることで、被害の発生を防ぐことは可能です。多要素認証を適切に設定することで、パスワードスプレー攻撃への対策となります。要素としては複数の手段を使用することで、不正なアクセスと正常なアクセスを振り分ける方法が有効です。静脈認証のような「生体認証」やセキュリティトークンを使った認証も有効です。使用しているパスワードを推測されにくいものにすることも、基本ですが重要な対策です。パスワードに関しては、JPCERT/CCが「適切なパスワード設定・管理方法」のページにて注意を呼び掛けています。CCこのページによると、推奨されるパスワード設定方法として、以下の5つを推奨しています。多要素認証が有効な場合は使用する異なるシステムに対しては異なるパスワードを使用する電話番号や誕生日など、個人情報を基にした文字列は使用しない可能な限り長い文字列を使用する特定の言語の辞書に載っているような単語を使用しないリンク先には、他にもパスワード管理に関する有益な情報が記載されているため、ぜひご一読ください。まとめパスワードに対する攻撃手法としてパスワードスプレー攻撃について紹介してきました。古くから存在するブルートフォース攻撃(総当たり攻撃)とは異なり、アカウントのロックを回避しつつ複数のアカウントに対して不正ログインを試みる巧妙な攻撃です。米シトリックス社において、パスワードスプレー攻撃による被害が発生したことが報告されていますが、実際には明らかになっていないだけで、他の企業においても被害が発生している可能性もあります。システムの運営者は、多要素認証などを取り入れて認証に対するセキュリティを高めると同時に、ログイン試行に関する適切なログ管理を徹底することが重要です。一方で、システムのユーザーは推測されにくいパスワードを設定し、他のサービスと使いまわさないなどの基本的なパスワード管理が必要でしょう。SNSでもご購読できます。株式会社セキュアオンライン運営事務局です。2014年からサイバーセキュリティ専門メディア「サイバーセキュリティ.com」を立ち上げ、国内最大級のサイバーセキュリティ専門メディアとして運営中。件分を同時に請求できます。資料請求後にサービス提供会社、弊社よりご案内を差し上げる場合があります。利用規約とご案内の連絡に同意の上まずは一括無料請求(点)閉じる件の製品が資料請求リストにあります。