認証ログの監視画面やセキュリティ製品のアラートに「パスワードスプレー」という言葉が出てきて、これが何を指すのか気になって調べている方は少なくありません。総当たり（ブルートフォース）に似た名前ですが、仕組みも、やっかいな理由も異なります。多数のアカウントに同じパスワードを少しずつ試すこの攻撃は、アカウントロックアウトや検知の網をすり抜けやすく、知らないうちに侵入を許してしまうことがあります。
パスワードスプレー攻撃とは具体的にどのような手口で、ブルートフォースなど他のパスワード攻撃と何が違うのでしょうか。そして、自社のログイン環境でどう気づき、どう防げばよいのでしょうか。
本記事では、パスワードスプレー攻撃の定義と他のパスワード攻撃との違いを整理したうえで、攻撃の手口・検知の兆候・多要素認証（MFA）を中心とした対策を解説します。自社の認証が標的になり得るかを点検し、認証強化の打ち手を検討する材料としてご活用ください。
目次
一括ダウンロードする
パスワードスプレー攻撃とは
パスワードスプレー攻撃とは、多数のアカウントに対して、よく使われる少数のパスワードを1つずつ横に試していく攻撃です。「password123」や「Welcome1」のような推測されやすいパスワードを選び、1つのアカウントに何度も試すのではなく、同じパスワードを大量のアカウントに広く（スプレー＝噴霧するように）試す点が特徴です。
この攻撃は、海外の公的機関だけでなく国内の公的機関も注意を呼びかけています。JPCERT/CC（JPCERTコーディネーションセンター）は、米国US-CERTの注意喚起を受けて、「1つのパスワードを複数のアカウントに対して試みるパスワードスプレー攻撃」と説明し、企業・組織に対策を促しています。
Microsoftの公式ドキュメントでも、パスワードスプレー攻撃は「一般的に使用されるパスワードのセットが限られている多くのアカウントの正しいパスワードを推測することに重点を置く」攻撃と定義されています。後述するように、この「少数のパスワード×多数のアカウント」という性質こそが、従来の総当たり攻撃にはない検知の難しさを生んでいます。
出典・参考資料（2件）
他のパスワード攻撃との違い
ここからは、パスワードスプレー攻撃が他のパスワード攻撃とどう違うのかを整理します。最もよく比較されるのが、総当たり攻撃（ブルートフォース攻撃）です。Microsoftの公式ドキュメントは、両者の違いを次のように説明しています。
脅威アクターが 1 つのアカウントで多くのパスワードを試す従来のブルート フォース攻撃とは異なり、パスワード スプレー攻撃では、一般的に使用されるパスワードのセットが限られている多くのアカウントの正しいパスワードを推測することに重点を置きます。
出典：パスワード スプレー攻撃のアラート分類｜Microsoft Learn
ブルートフォースが1つのアカウントに多数のパスワードを縦に試すのに対し、パスワードスプレーは多数のアカウントに少数のパスワードを横に試します。試す方向が縦か横かが、両者を分ける一番わかりやすい軸です。
パスワードスプレーはブルートフォース攻撃の一種（MITRE ATT&CKではBrute Forceの下位手法「Password Spraying」）に位置づけられますが、横に広げる性質によって、総当たりとは別の検知の難しさを持ちます。
出典・参考資料（1件）
混同されやすい他のパスワード攻撃も含め、代表的な5つの手法を次の表で対比します。
| 攻撃手法 | パスワードスプレー攻撃 | ブルートフォース攻撃（総当たり） | リバースブルートフォース攻撃 | パスワードリスト攻撃（クレデンシャルスタッフィング） | 辞書攻撃 |
|---|---|---|---|---|---|
| 試す方向 | 多数のアカウント × 少数の共通パスワード（横） | 1つのアカウント × 多数のパスワード（縦） | 1つの共通パスワード × 多数のアカウント（横） | 漏洩したID・パスワードの組み合わせを多数のアカウントに使い回す（横） | 1つのアカウント × 辞書・単語リストのパスワード |
| ロックアウト・検知のすり抜けやすさ | すり抜けやすい | すり抜けにくい | すり抜けやすい | すり抜けやすい | すり抜けにくい |
| 特徴 | 1アカウントあたりの試行回数が少なく、ロックアウト閾値に達しにくい。IP・時間を分散して検知を避ける | 同じアカウントへの失敗が短時間に集中するため、ロックアウトや検知が働きやすい | パスワードを固定してID側を変える。パスワードスプレーとほぼ同じ考え方で、実務上は同一視されることも多い（違いは使うパスワードが1つに絞られる点） | 実在する認証情報を試すため成功率が高い。パスワードの使い回しをしているアカウントが被害に遭う | 辞書の語や人名・よくある文字列をパスワードとして試す。総当たりを効率化した手法 |
※上記は各攻撃手法の一般的な整理です。実際の攻撃は複数の手法を組み合わせて行われることがあります。
このなかで、パスワードスプレー・リバースブルートフォース・クレデンシャルスタッフィングは、いずれも「多数のアカウントに横に広げる」性質を持ち、1アカウントあたりの失敗が少ないため検知やロックアウトをすり抜けやすい点が共通します。まずは、攻撃者が実際にどのような手順でこの横展開を行うのかを見ていきます。
パスワードスプレー攻撃の手口の流れ
Microsoftの公式ドキュメントは、攻撃者が「自動ツールを使用して、一般的に使用されるパスワードの一覧を使用して、特定のアカウントまたはシステムへのアクセスを繰り返し試みる」と説明しています。具体的には、おおむね次の流れで進みます。
- ユーザー名（アカウント）の収集：攻撃対象となるアカウント名を集めます。公開情報やSNSから推測したり、「姓.名@会社ドメイン」といったメールアドレスの命名規則から機械的に生成したりします。
- よく使われるパスワード・初期パスワードの用意：「Password1」「会社名＋年号」「初期設定のまま変更されていないパスワード」など、多くの人が使いがちなパスワードを少数だけ選びます。
- 多数のアカウントへ横展開：用意したパスワードを、集めたアカウント全体に1つずつ試します。1巡したら間隔を空けて次のパスワードへ移り、ロックアウトと検知を避けながら繰り返します。
- 侵入後の権限昇格・横移動：1つでもログインに成功すると、そのアカウントを足がかりに、社内の他システムへアクセスを広げたり、より強い権限を奪ったりします。
この手口は、個人を狙い撃ちするものではなく、「弱いパスワードを使っているアカウントが組織のどこかにあれば、そこから入る」という考え方にもとづきます。そのため、1人ひとりの意識だけでなく、組織全体として弱いパスワードを許さない仕組みと、横展開を止める仕組みの両方が必要になります。
出典・参考資料（1件）
なぜアカウントロックアウトや検知をすり抜けるのか
では、この横展開型の攻撃は、なぜ防御の網をすり抜けやすいのでしょうか。仕組みの面から見ると、理由は大きく2つあります。
1つ目は、アカウントロックアウトの閾値に達しにくいことです。多くのシステムは一定回数パスワードを間違えるとアカウントを一時的にロックしますが、前章の手口のとおり、パスワードスプレーは1つのアカウントに1〜2回しか試さず、次のアカウントへ移っていきます。
そのため、たとえばActive Directoryのように連続した失敗回数でロックアウトが発動する仕組みでも、1アカウントあたりの失敗が閾値に届かず、ロックが発動しないまま試行が続きます。
2つ目は、時間とIPアドレスを分散させて検知を避けることです。攻撃者は試行の間隔を空け、複数のIPアドレスから少しずつアクセスします。短時間に大量のログイン失敗が集中しないため、「怪しいアクセス」として目立ちにくく、ログを見張っていても気づきにくくなります。
この2つが重なることで、パスワードスプレーは「静かに、長く」試行を続けられます。総当たり攻撃のように短時間で失敗が集中しないぶん、対策もログの監視も設計を工夫する必要があります。
狙われやすい企業・環境
続いて、どのような環境がパスワードスプレー攻撃の被害に遭いやすいのかを整理します。自社が当てはまっていないか点検する観点として、次のような環境が挙げられます。
- 多要素認証（MFA）を導入していない、または一部でしか有効化していない：パスワードだけでログインできる口が残っていると、パスワードが一致した時点で侵入を許します。
- 推測されやすいパスワードを許容している：初期パスワードのまま運用している、単純な文字列を禁止していない、といった環境は突破されやすくなります。
- SSO・認証連携で多くのクラウドサービスにログインしている：1つのアカウントが突破されると、連携した複数のサービスへ一気にアクセスされる恐れがあります。
- クラウドとオンプレミス（社内のActive Directory等）を同期している：クラウド側で突破された認証情報が、社内システムにもそのまま通用する場合があります。
- ログインの記録（ログ）を十分に保管・監視していない：攻撃の兆候に気づけず、侵入後も発見が遅れます。
これらは単独でもリスクですが、複数が重なるほど被害に遭いやすくなります。とくに、Microsoft 365やその他のクラウドサービスを社外からも使える環境では、インターネット越しにログインを試せるため、攻撃者にとって狙いやすい対象になります。次の章で、こうした攻撃にどう気づくかを見ていきます。
パスワードスプレー攻撃の検知の兆候
攻撃に気づくには、ログやサインイン記録に現れる兆候を押さえておくことが欠かせません。Microsoftの公式ドキュメントは、調査すべき観点として次のような点を挙げています。
- 複数のIPや地域からのログイン失敗が多い：Microsoftは「さまざまな IP や地理的な場所からのサインイン試行の失敗回数が多い場合は、パスワード スプレー攻撃を示している可能性がある」と説明しています。
- 普段と違うISP・国・地域・時間帯からのアクセス：いつもと異なる通信事業者（ISP）や海外からのサインインは、不審なパターンのサインです。
- 短時間に複数のアカウントで失敗が発生：1アカウントの連続失敗ではなく、多数のアカウントにまたがって失敗が散らばるのが横展開型の特徴です。
- 存在しない・使われていないアカウントへのログイン試行：機械的に生成したアカウント名を試すため、実在しないアカウントへの試行が記録されることがあります。
自社で確認する際の手がかりとして、Microsoft 365／Entra ID を使っている場合は、サインインログで失敗したサインインの送信元IP・場所・失敗理由を確認します。オンプレミスのActive Directoryなら、Windowsのセキュリティログに残るログオン失敗（イベントID 4625）の発生元や件数が目印になります。
これらの兆候は、1つのアカウントだけを見ていても気づきにくく、組織全体のサインインログを横断して見ることで浮かび上がります。クラウドのID管理サービス（IDaaS）やログ監視の仕組みには、こうした異常なサインインを自動で検出し、通知する機能を備えたものがあります。日々のログを人手だけで追い続けるのは現実的でないため、仕組みによる検知が重要になります。
出典・参考資料（1件）
パスワードスプレー攻撃への対策（MFAを中心に）
ここからは、自社ですぐに検討できる対策を、効果の大きい順に解説します。結論から言えば、パスワードスプレーに最も効くのは多要素認証（MFA）の導入です。まずMFAを軸に据え、ロックアウト設計・パスワード管理・リスクベース認証・ログ監視を組み合わせて、横展開の口をふさいでいきます。
多要素認証（MFA）の導入
なぜMFAが最も効くのか
パスワードスプレーは「パスワードさえ当たればログインできる」環境で成立します。多要素認証（MFA）は、パスワード（知識要素）に加えて、スマートフォンのアプリやセキュリティキー（所持要素）、生体情報（生体要素）といった別の要素を求める仕組みです。これを有効にしておけば、たとえよく使われるパスワードがたまたま一致しても、第二の要素がなければログインは完了しません。
横展開でパスワードを当てる攻撃に対して、突破の最後の一歩を止められるため、最も効果の高い対策になります。
米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）などが公表した注意喚起でも、対策の筆頭として「すべてのユーザーに対し、例外なく多要素認証を有効にする」ことが挙げられています。一部のアカウントだけMFAを免除すると、そこが突破口になるため、例外をつくらないことが重要です。
Enable multifactor authentication (MFA) for all users, without exception.
出典：Alert AA22-047A｜CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）
（すべてのユーザーに対し、例外なく多要素認証を有効にする）
そもそも多要素認証（MFA）とは何か、よく混同される二段階認証とどう違うのかを基礎から整理したい方は、以下の記事で詳しく解説しています。
MFAの限界と乗り越え方
MFAは万能ではなく、方式や運用によっては突破を試みられることがあります。代表的な2つの限界と、その乗り越え方を押さえておきましょう。
1つ目は、SMS（ショートメッセージ）による認証の弱さです。米国のNIST（国立標準技術研究所）は、電話網（PSTN＝SMSや音声通話）を使った多要素認証を「制限付き（restricted）」の認証方式と位置づけています。これは「禁止」や単純な「非推奨」ではなく、より安全な代替手段を用意し、利用者にリスクを周知したうえでなら使える、という扱いです。
SIMの乗っ取りやメッセージの盗み見といったリスクがあるため、SMSに頼り切らず、認証アプリやセキュリティキーなど、よりフィッシングに強い方式へ移していくことが望まれます。
SMS認証を狙うSIMスワップ（SIM乗っ取り）の具体的な手口や、個人・企業それぞれのSMS認証強化策については、以下の記事で詳しく解説しています。
2つ目は、MFA疲労（MFA疲れ）と呼ばれる手口です。攻撃者がパスワードを突破したあと、認証アプリの承認通知を何度も送りつけ、ユーザーがうんざりして「承認」を押してしまうのを狙います。Microsoftは、この「ユーザーにアクセス承認を強要するための繰り返し認証プロンプト」を悪用する手口に対し、対策として「Microsoft Authenticatorで番号照合を使用する」ことを挙げています。
番号照合は、画面に表示された数字を認証アプリ側で入力させる方式で、通知をただ押すだけでは承認できないため、誤承認を防げます。
出典・参考資料（2件）
認証方式の選び方
MFAの第二要素には複数の方式があり、フィッシングへの強さと使い勝手が異なります。自社の環境に合わせて選びます。
- 認証アプリ（プッシュ通知・ワンタイムパスワード）：スマートフォンのアプリで承認する方式。SMSより安全で導入しやすく、番号照合を併用すればMFA疲労にも強くなります。
- FIDO2／パスキー・セキュリティキー：公開鍵暗号を使い、正規サイト以外では認証が成立しないため、フィッシング耐性が高い方式です。USBなどの物理セキュリティキーや、端末に保存するパスキーがあります。
- 生体認証：指紋や顔などの生体情報を使う方式。端末のロック解除と組み合わせて、パスワードレスなログインを実現できます。
フィッシングやMFA疲労まで含めて強く守りたい場合は、FIDO2／パスキーのような、仕組み自体がなりすましに強い方式を軸にするのが有効です。
アカウントロックアウト閾値の設計
前述のとおり、パスワードスプレーは1アカウントあたりの試行を少なく抑えてロックアウトを避けます。そこで、単純な「失敗N回でロック」だけに頼らず、組織全体で異常な失敗パターンを検知する設計が有効です。クラウドのID基盤には、短時間に多くのアカウントで失敗が発生した場合に、送信元を一時的に制限する「スマートロックアウト」のような仕組みを備えたものがあります。
閾値を厳しくしすぎると正規利用者のロックアウトが増え、緩すぎると攻撃を見逃すため、自社の運用に合わせたバランスが求められます。
強いパスワード・使い回しの禁止
パスワードスプレーは「よく使われるパスワード」を試すため、推測されやすい文字列を組織から排除することが基本の対策になります。初期パスワードの変更を徹底し、単純な文字列や会社名を含むパスワードを禁止します。あわせて、他サービスと同じパスワードを使い回さないことも重要です。
使い回しがあると、別サービスから漏れた認証情報をそのまま試すパスワードリスト攻撃（クレデンシャルスタッフィング）の被害にもつながります。従業員ごとに複雑なパスワードを無理なく管理できるよう、パスワードマネージャーの利用を組織として整えるのも有効です。JPCERT/CCも、推測されやすいパスワードを避け、多要素認証を導入することを対策として挙げています。
組織でパスワードマネージャーの導入を検討する際の安全性の考え方や選び方は、以下の記事で整理しています。
リスクベース認証・条件付きアクセス・IP制限
ログインの状況に応じて認証の強さを変えるリスクベース認証や、アクセス元を制御する条件付きアクセス・IP制限も、横展開型の攻撃に有効です。普段と違う国やデバイスからのサインインを検知したときだけ追加の認証を求めたり、海外や未登録のIPアドレスからのアクセスをそもそも遮断したりできます。これにより、攻撃者が分散した多数のIPからログインを試みても、怪しいアクセスの段階でふるい落とせます。
こうした機能は、クラウドのID基盤（IDaaS）やアクセス管理製品に備わっています。
リスクベース認証の仕組みや、多要素認証（MFA）との違い・導入手段をより詳しく知りたい方は、以下の記事をご覧ください。
ログ監視・サインインログの常時確認
対策を入れても、攻撃の兆候に気づく仕組みがなければ被害の発見が遅れます。前章で挙げたような兆候（複数IPからの失敗、異常な地域・時間帯のアクセスなど）を継続的に監視し、異常があれば通知する運用を整えます。クラウドのID基盤やログ監視（SIEM）の仕組みを使えば、組織全体のサインインログを横断して自動で分析し、パスワードスプレーのパターンを早期に検知できます。
ログを保管していなければ検知も追跡もできないため、まずはログの取得・保管から着手することが出発点になります。
一括ダウンロードする
実際の被害事例
パスワードスプレー攻撃は、実際に大企業の侵入事例でも関与が指摘されています。代表的なのが、2019年に明らかになった米Citrix社のケースです。
Citrixは2019年3月、同社の社内ネットワークへの不正アクセスについて公式ブログで公表しました。それによると、2019年3月6日にFBIがCitrixに連絡し、国際的なサイバー犯罪者が社内ネットワークにアクセスした可能性があると伝えたとされています。
そのうえで同社は、FBIから「攻撃者はパスワードスプレーと呼ばれる手口を使った可能性が高い」と助言を受けたものの、確証は得られていないと明記しています。断定ではなく「可能性が高い」という確度の情報ですが、パスワードスプレーが大企業の侵入にも関わり得る現実的な脅威であることを示す一例です。
こうした事例は一部にすぎません。米国のCISAなどの政府機関は、国家支援を受けた攻撃者が組織への侵入手段としてパスワードスプレーを用いていると注意喚起しており、特定の業界や企業規模に限らず継続的に観測されている手口です。
この事例が示すのは、強固なセキュリティ体制を持つ企業であっても、どこかに弱いパスワードのアカウントが残っていれば侵入の起点になり得る、ということです。組織全体で弱いパスワードを許さず、MFAで突破の最後の一歩を止める対策の重要性が、改めて確認できます。
出典・参考資料（2件）
パスワードスプレー対策に役立つサービス
最後に、パスワードスプレー対策の中心となる多要素認証（MFA）やアクセス制限、サインインログの監視を担うサービスを紹介します。自社の環境（Microsoft 365中心か、既存VPNへの後付けか、物理キーを使いたいか等）に合わせて、適したものを選ぶ参考にしてください。
| サービス名 | CloudGate UNO | YubiKey as a Service | Microsoft Entra ID | Okta | Cisco Secure Access by Duo |
|---|---|---|---|---|---|
| 提供形態 | クラウド型IDaaS（SSO・MFA・アクセス制限を統合） | 物理セキュリティキーのサブスク（所持要素を補完） | クラウド型IAM（Microsoft 365の認証基盤） | クラウド型IDaaS（SSO・MFA・ID管理を統合） | 既存環境への後付けMFA（VPN・RDP・SSO） |
| 対応認証方式 | FIDO2/パスキー、生体（Windows Hello・Touch ID/Face ID）、OTP、認証アプリ | 物理セキュリティキー（FIDO2/WebAuthn・U2F・PIV・OTP） | 認証アプリ（番号一致）、パスキー/FIDO2、Windows Hello、証明書、SMS・音声 | Okta Verify、FastPass、FIDO2/WebAuthn、スマートカード、OTP、SMS・音声 | Duo Push/Verified Push、FIDO2/パスキー、生体、OTP、電話・SMS、トークン |
| フィッシング耐性認証（FIDO2/パスキー） | ●パスキー（FIDO2）を全プラン・全ユーザー標準提供 | ◎物理キーで秘密鍵をデバイス内に保持 | ●パスキー/FIDO2・Windows Hello | ●FastPass・FIDO2/WebAuthn | ●FIDO2/パスキー・Verified Push |
| 条件付きアクセス・IP制限 | ●IP・国/地域・時間帯・デバイス証明書で制限 | ×ID基盤（CloudGate UNO等）と併用して実現 | ●条件付きアクセス（P1以上） | ●コンテキストアクセスポリシー | ●アダプティブアクセスポリシー |
| リスクベース認証 | △セキュリティプロファイルで認証方式を動的適用 | ×ID基盤側の機能 | ●ID Protection（P2） | ●アダプティブMFA（Core Essentials以上） | ●リスクベース認証（Advantage以上） |
| サインインログ監視・検知 | ●認証/操作ログの確認・リスク可視化（RAV） | ×ID基盤側の機能 | ●サインインログ・Identity Protection | ●ログ/レポート・ThreatInsight | ●Admin API監査ログ・SIEM連携 |
| 月額費用 | 400円〜600円/ユーザー（税抜） | 要問い合わせ（200ユーザー〜、3年/5年契約） | 無料〜。P1 ¥1,049／P2 ¥1,499（ユーザー/月） | ¥940〜（ユーザー/月、年間契約） | Free $0（10ユーザーまで）〜Premier $9（ユーザー/月） |
| 無料トライアル | 30日間 | 記載なし（導入前に実機検証） | 30日間 | 30日間 | 30日間 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※ フィッシング耐性認証の◎は物理セキュリティキー（所持要素）、●はFIDO2/パスキーに対応。△＝条件付き／×＝単体では非対応（他のID基盤と併用）。YubiKey as a Service は所持要素の強化を担い、アクセス制限やサインインログ監視はID基盤と組み合わせて補う位置づけです。料金・仕様は2026年11月時点の各社公式情報にもとづきます。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、SSO（シングルサインオン）・多要素認証・アクセス制限を1つの管理画面で提供する国産のクラウド型ID基盤（IDaaS）です。株式会社インターナショナルシステムリサーチが100％自社開発しており、パスキー（FIDO2）によるパスワードレス認証を全プランで無制限に利用できます。
パスワードスプレー対策の観点では、フィッシングに強いパスキー認証に加え、IPアドレス・国・時間帯・デバイス証明書によるアクセス制限を組み合わせられる点が特徴です。普段と違う場所や未登録の端末からのアクセスを遮断し、横展開を試みる攻撃をログインの前段でふるい落とせます。年間1億回以上の認証実績と99.99％の稼働率を公式に掲げ、日本語でのサポート体制も整えています。
開発元の株式会社インターナショナルシステムリサーチは、SMSやワンタイムパスワードを狙う攻撃が広がるなかでの認証方式の位置づけを、インタビューで次のように説明しています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
物理的なセキュリティキー「YubiKey」を、法人向けにサブスクリプション型で導入できるようにしたのがYubiKey as a Serviceです。秘密鍵やPINがキーの内部に留まり外部に送信されないハードウェアトークン型の認証で、FIDO2に対応し、フィッシングに強い所持要素を実現します。
スマートフォンを業務で使えない現場でも、キーを挿す・タッチするだけで認証でき、SMSや認証アプリに頼れない環境の多要素認証を補えます。買い切りではなく運用費として導入でき、紛失・増員用の予備キーや導入支援が付帯します。提供元は最低200ユーザー・3年または5年契約を条件とし、料金は個別見積もりです（2026年11月時点）。
先に紹介したCloudGate UNOのSSO・アクセス制限と組み合わせて使うことも想定されています。
同サービスの提供元は、パスワードを狙う攻撃に対してパスワードレス認証が持つ意味を、インタビューで次のように語っています。
フィッシングやランサムウェアの被害が増えている中で、すべてが認証で解決するわけではありませんが、認証というのは家でいう玄関のようなところです。ここのセキュリティをがっちり強化することで、被害を大幅に低減できると考えています。今はパスワードが漏れているのが当たり前という世界ですので、パスワードを使わないパスワードレス認証への移行は極めて有効な対策となります。
3. Microsoft Entra ID（Microsoft）
Microsoft Entra ID（旧Azure AD）は、Microsoft 365のサインイン基盤そのもので、多くの組織にとって身近なID・アクセス管理（IAM）サービスです。多要素認証・条件付きアクセス・リスクベース認証を提供し、追加の製品を導入せずに認証を強化できます。
パスワードスプレー対策としては、条件付きアクセス（上位プランのP1）で場所やデバイスに応じたアクセス制御を行い、Identity Protection（P2）で危険なサインインを自動で検知・ブロックできます。無償版でも、全ユーザーへのMFA登録必須などの基本的な保護を有効化できます。MFA疲労対策として先に触れた番号照合も、Microsoft Authenticatorで利用できます。
既存のMicrosoft 365環境をそのまま活かして対策を進めたい組織に適しています。
4. Okta（Okta Japan株式会社）
Okta Workforce Identity Cloudは、SSO・多要素認証・ID管理を統合的に提供するクラウド型IDaaSです。多数のクラウドサービスと事前構築済みで連携し、認証をまとめて管理できます。
パスワードスプレー対策の面では、位置・デバイス・ネットワークなど複数のシグナルを評価して認証の強さを動的に変えるアダプティブ（リスクベース）認証が中心になります。怪しいログインには追加の認証を求め、通常のログインは摩擦を抑える運用ができます。
あわせて、デバイスにひも付く暗号鍵を使うパスワードレス認証「Okta FastPass」やFIDO2／WebAuthnに対応し、フィッシングに強い認証を実現します。さまざまなシステムへの対応範囲が広く、認証基盤を一元化したい組織に向いています。
5. Cisco Secure Access by Duo（シスコシステムズ合同会社）
既存の環境にMFAを後付けしたい場合に適しているのが、Cisco Secure Access by Duo（Cisco Duo）です。新しいID基盤を一から構築しなくても、VPN・RDP・オンプレミスのアプリ・クラウドのSSOなど、既存の認証ポイントに多要素認証を被せられます。
認証に加えてデバイスの健全性チェックやアダプティブなアクセスポリシーを組み合わせ、ゼロトラストの考え方でアクセス可否を判定します。MFA疲労への対策として、承認時に追加の確認を求める「Verified Duo Push」を備え、FIDO2／WebAuthn・パスキー・生体認証にも対応します。
10ユーザーまで使える無料プランがあり、まず既存のVPNやリモートアクセスにMFAを足したい組織が試しやすいサービスです。
ここで紹介したのは、パスワードスプレー対策に役立つ代表的な5サービスです。認証方式・料金・タイプ別の選び方まで含めて多要素認証（MFA）システムを広く比較し、自社に合う製品を見極めたい方は、以下のまとめ記事もご覧ください。
多要素認証（MFA）システムおすすめ17選を徹底比較｜認証方式・料金・タイプ別の選び方
ID とパスワードだけのログインは、もはや「鍵をかけていない」のと同じ状態に近づいています。攻撃者は流出したパスワードのリストを使い回し、本物そっくりの偽サイトで認証情報を抜き取り、正規利用者になりすまして社内システムやクラウドサービスへ侵…
まとめ
パスワードスプレー攻撃は、多数のアカウントによく使われる少数のパスワードを横に試す攻撃です。1アカウントあたりの試行が少なく、時間とIPを分散するため、アカウントロックアウトや検知をすり抜けやすい点が、総当たり（ブルートフォース）との大きな違いです。
対策の中心は、例外なく全ユーザーに多要素認証（MFA）を適用することです。SMSに頼り切らず、認証アプリやFIDO2／パスキーなどフィッシングに強い方式を選び、MFA疲労には番号照合で備えます。あわせて、弱いパスワードの排除、リスクベース認証や条件付きアクセスによるアクセス制御、サインインログの継続的な監視を組み合わせることで、横展開の口をふさげます。
まずは自社の認証環境を点検し、MFAやアクセス制限、ログ監視を担うサービスの資料を取り寄せて、必要な対策を比較してみてください。
一括ダウンロードする
よくあるご質問（FAQ）
Q. パスワードスプレー攻撃とは何ですか？
A. 多数のアカウントに、よく使われる少数のパスワードを1つずつ横に試していく攻撃です。1つのアカウントにパスワードを何度も試す総当たり（ブルートフォース）と違い、同じパスワードを大量のアカウントに広く試すため、1アカウントあたりの失敗が少なく、ロックアウトや検知をすり抜けやすいのが特徴です。
「Password1」などの推測されやすいパスワードが狙われ、JPCERT/CCやMicrosoftなど公的機関・公式ドキュメントも対策を呼びかけています。
Q. パスワードスプレー攻撃とブルートフォース攻撃の違いは何ですか？
A. 両者の違いは、パスワードを試す方向です。ブルートフォースが1つのアカウントに多数のパスワードを「縦」に試すのに対し、パスワードスプレーは多数のアカウントに少数のパスワードを「横」に試します。パスワードスプレーはブルートフォースの一種に位置づけられますが、1アカウントあたりの失敗回数が少ないため、ロックアウトや検知が働きにくい点が異なります。
似た攻撃として、固定したパスワードを多数のIDに試すリバースブルートフォース、他サービスから漏洩した認証情報を使い回すパスワードリスト攻撃（クレデンシャルスタッフィング）などもあります。
Q. パスワードスプレー攻撃はMFA（多要素認証）を導入すれば完全に防げますか？
A. MFAはパスワードスプレーに最も効く対策ですが、方式や運用によっては万能ではありません。パスワードが一致しても第二の要素がなければログインできないため、横展開でパスワードを当てる攻撃の最後の一歩を止められます。
ただし、SMSを使った認証はNIST（米国国立標準技術研究所）が「制限付き」と位置づける弱い方式であり、認証アプリの通知を何度も送りつけてユーザーの誤承認を狙う「MFA疲労」という手口もあります。SMSに頼り切らず、FIDO2／パスキーのようなフィッシングに強い方式を選び、MFA疲労には番号照合で備えることが重要です。
Q. アカウントロックアウトを設定すればパスワードスプレー攻撃は防げますか？
A. アカウントロックアウトの設定だけでは、パスワードスプレー攻撃を防ぎきれません。パスワードスプレーは1つのアカウントに1〜2回しか試さず、次のアカウントへ移っていくため、「失敗N回でロック」という閾値に達しないまま試行を続けられるからです。
単純な回数制限に頼らず、短時間に多数のアカウントで失敗が起きたときに送信元を一時的に制限する仕組み（スマートロックアウトなど）や、MFA・ログ監視と組み合わせることが必要です。
Q. 自社がパスワードスプレー攻撃を受けているかどうか、どうやって確認できますか？
A. 組織全体のサインインログを横断して見て、異常なログイン失敗のパターンがないかを確認します。Microsoftは、さまざまなIPや地理的な場所からのサインイン失敗が多い場合はパスワードスプレー攻撃を示している可能性があると説明しています。普段と違うISP・国・時間帯からのアクセス、短時間に多数のアカウントへ散らばる失敗、存在しないアカウントへの試行などが兆候です。
1つのアカウントだけを見ても気づきにくいため、IDaaSのサインインログやログ監視（SIEM）で組織全体を自動分析する仕組みが有効です。
Q. パスワードスプレー攻撃はクラウドサービスだけでなく、VPNやRDPも狙われますか？
A. はい。インターネットからログインできる認証の入口は、すべて標的になり得ます。Microsoft 365やグループウェアなどのクラウドサービスだけでなく、社外から接続するVPNやRDP（リモートデスクトップ）、オンプレミスのWebアプリのログインも対象になります。
そのため、クラウドのMFAだけでなく、VPNやRDPにも多要素認証を適用することが重要です。米国のCISAも、可能な限りすべてのVPN接続でMFAを必須にすることを推奨しています。
Q. パスワードスプレー攻撃を受けていることに気づいたら、まず何をすべきですか？
A. 侵入された可能性のあるアカウントを特定してパスワードをリセットし、全ユーザーへのMFA適用と、攻撃元IPの遮断を進めることが基本の初動です。パスワードスプレーは1つでもログインに成功すると、そのアカウントを足がかりに権限昇格や社内の横移動へ進むため、被害範囲の確認を急ぐ必要があります。あわせて、調査と再発防止のためにサインインログを保全し、以後の監視体制を見直します。
ログを保管していないと追跡ができないため、日頃からの記録・保管が前提になります。
Q. パスワードスプレー攻撃への対策は何から始めればよいですか？
A. 最優先は、例外なく全ユーザーに多要素認証（MFA）を適用することです。米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）も、対策の筆頭として全ユーザーへのMFA有効化を挙げています。
そのうえで、弱いパスワードの排除と使い回しの禁止、ロックアウトやアクセス制限（リスクベース認証・条件付きアクセス・IP制限）の設計、サインインログの継続的な監視を組み合わせると、横展開の口をふさげます。自社でどこが手薄かを点検し、MFAやアクセス制限、ログ監視を担うサービスから検討を始めるとよいでしょう。
多要素認証（MFA）システムの料金・資料を一括チェック
MCB FinTechカタログでは、パスワードスプレー対策に役立つ多要素認証（MFA）・ID管理サービスの最新資料を無料で一括請求できます。対応する認証方式やアクセス制限、サインインログ機能を比べて、自社に合う認証強化の打ち手を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
