パスワードスプレー攻撃とは？パスワードリスト攻撃との違いと企業が取るべき対策を解説

「パスワードの誤入力制限（アカウントロック）を設定しているから、総当たり攻撃は防げているはずだ」

「最近セキュリティの現場で聞く『パスワードスプレー攻撃』とは、具体的にどのような手口なのだろう」

企業のDX推進やクラウドサービスの活用が日常ルーティンとなる中、ログイン認証の脆弱性を狙うサイバー攻撃は日々巧妙化しています。

その中でも、従来の「数回間違えたらロックする」という防壁を鮮やかにすり抜けてしまう凶悪な手口が「パスワードスプレー攻撃」です。

霧吹き（スプレー）を吹きかけるように、組織全体のアカウントに対して「広く、浅く」推測しやすいパスワードを試すこの手法は、システム側の検知アラートに引っかかりにくいため、非常に発見が難しいという陰湿な特徴を持っています。

本記事では、パスワードスプレー攻撃の具体的な仕組みや手口、混同されやすいパスワードリスト攻撃との決定的な違い、そして企業ガバナンスとして実践すべき具体的な対策についてわかりやすく解説します。

1. パスワードスプレー攻撃とは？（その仕組みと基本手口）

パスワードスプレー攻撃（Password Spraying Attack）とは、サイバー攻撃者がログイン画面を突破するために用いる「総当たり攻撃（ブルートフォース攻撃）」の派生手法の一つです。

従来のブルートフォース攻撃は、「1つのIDに対して、何万通りものパスワードを連続で入力してこじ開ける」というアプローチでした。

しかし、これを行うとシステムの「アカウントロック機能（例：5回連続で失敗したらアカウントを凍結する）」が働き、すぐにブロックされてしまいます。

そこで考案されたのがパスワードスプレー攻撃です。

攻撃者はアプローチの方向を逆転させ、「大量のユーザーIDに対して、よく使われる少数のパスワード（例：password123 や Welcome2026! など）を、時間を空けて1回ずつ試していく」というワークフローをとります。

1つのアカウントに対する試行回数は「1回だけ（あるいはロックがかからない極小回数）」であるため、システム側のアカウントロックの網に見事にすり抜けます。

しかし、組織全体（数百〜数千人分のアカウント）に対して広くスプレーをかけるように実行するため、その中に「推測しやすい簡単なパスワード」を設定している従業員が一人でもいれば、ピンポイントでログインを突破されてしまうのです。

💡あわせて読みたい

ログイン認証を狙うこれら3つの攻撃は、言葉は似ていますが「攻撃の素材」と「狙う弱点」が全く異なります。

ブルートフォース攻撃（総当たり攻撃）
- 手口：1つのID ＋ランダムな文字の組み合わせを何万回も連続入力。
- 弱点：アカウントロック機能で比較的容易に防御可能。
パスワードリスト攻撃
- 手口：他所で流出した「本物のIDとパスワードのリスト」をそのまま入力。
- 弱点：ユーザーの「パスワード使い回し」の習慣を悪用する。
パスワードスプレー攻撃
- 手口：大量のID ＋「よく使われる推測しやすい数個のパスワード」を入力。
- 弱点：ユーザーが設定した「脆弱で簡単なパスワード」を狙い撃ちにする。