パスワードスプレー攻撃とは？

パスワードスプレー攻撃とは、ありがちな少数のパスワードを、多数の利用者IDに対して薄く広く試す攻撃。1つのアカウントへの試行間隔を空けるため、アカウントロックや失敗回数の監視に引っかかりにくい。

情報処理安全確保支援士試験の過去問では1回出題されています。

ぱすわーどすぷれーこうげき

情報処理安全確保支援士試験の頻出用語／午前II

パスワードスプレー攻撃の意味

ありがちな少数のパスワードを、多数の利用者IDに対して薄く広く試す攻撃。1つのアカウントへの試行間隔を空けるため、アカウントロックや失敗回数の監視に引っかかりにくい。

同一IPから200件のIDに対し、Password2026!だけを1時間おきに試す通信を検知した。5回失敗でのアカウントロックには一度もかからなかったため、IDごとの失敗回数ではなく、送信元IPと同一パスワードの横断試行を軸に検知ルールを追加した。

「1つのIDに多数のパスワードを試す」のは総当たり・辞書攻撃。スプレーはその逆向きである点が問われる。

パスワードスプレー攻撃に該当するものはどれか。
正解：攻撃の時刻と攻撃元IPアドレスとを変え,かつ,アカウントロックを回避しながらよく用いられるパスワードを複数の利用者IDに同時に試し,ログインを試行する。
要点：スプレー攻撃は少数のパスワードを多数のIDへ薄く試す
パスワードスプレー攻撃は、一つのIDに多数のパスワードを試すのではなく、よく使われる少数のパスワードを多数のIDに広く薄く試す手法である。IDごとの失敗回数が少ないためアカウントロックにかからず、試行の時刻や送信元アドレスも分散させるため、従来の閾値による検知をすり抜けやすい。対策には推測されやすいパスワードの禁止や、認証全体の傾向を見る監視、多要素認証が有効である。
出典：令和4年度秋期情報処理安全確保支援士試験 am2 問6（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。