アカウントロックアウトとパスワードスプレー攻撃とは？あかうんとろっくあうととぱすわーどすぷれーこうげき
アカウントロックアウトは、認証の失敗が一定回数続いたアカウントを一時的に使用不能にする仕組み。1つのIDへ多数のパスワードを試す総当たり攻撃には有効だが、よく使われるパスワード1つを多数のIDへ順に試すパスワードスプレー攻撃では、ID当たりの失敗が閾値に届かず素通りする。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →背景
ロックアウトは「同一アカウントの失敗回数」という1つの軸でしか数えていない。攻撃側がこの数え方を知っていれば、軸をずらすだけで回避できる。スプレー攻撃はロックアウトの数え方を突いて設計された攻撃で、守る側も発信元や時間帯を横断して数える軸を足す必要が出てくる、という攻防の対の典型例になっている。
具体例
Password123のような1つのパスワードを、社員1,000人ぶんのIDへ1回ずつ試す。1IDあたり失敗1回なので閾値5回には届かないが、認証ログを集約して「成功率の極端に低い大量のログイン試行」として見れば、発信元IPや時間帯の偏りとして浮かび上がる。
試験での引っ掛け
ロックアウトは可用性への攻撃に転用できる。利用者IDさえ分かれば、わざと失敗させて業務を止められるため、閾値を厳しくするほど安全という話にはならず、自動解除の時間を設けるなどの調整が要る。ロックアウトとパスワードの定期変更は別の対策で、後者は現在推奨されていない点も混同しやすい。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。