サイバーセキュリティ事業を営むTrellixの研究センターは、2024年11月20日（現地時間、以下同）に報告書「THE CYBERTHREAT REPORT」を発表した。それによると2024年第2四半期から第3四半期にかけて、パスワードスプレー攻撃が北米と欧州の複数の業界で攻撃者に多大な成果をもたらした（注1）。

　Trellixの調査によると、パスワードスプレー攻撃の攻撃対象は広範囲にわたる。攻撃者は一般的に、「Microsoft Azure」「Google Cloud Platform」「Amazon Web Services」（AWS）などのクラウドサービスや「Microsoft 365」「Google Workspace」といったSaaS、「Windows Remote Desktop」やVPN、Oktaなどが提供しているクラウドベースのアイデンティティー管理サービスをターゲットにしている。

　報告書によると、2024年4～9月に攻撃者が主にパスワードスプレー攻撃のターゲットにしたのは、教育業界やエネルギー業界、交通業界だった。

　Trellixの研究者によると、攻撃グループにとってパスワードスプレー攻撃は扱いやすいのだという。手軽で効果的なだけでなく、広く分散されたbotネットを通じて、大規模な攻撃をバックグラウンドで継続的に実行するため、検出や攻撃者の特定が難しいのだ。

　検出リスクの低さと投資利益率の高さは、攻撃者に有利な状況をもたらす。特に、脆弱なパスワードポリシーを採用している組織や多要素認証（MFA）が導入されていないシステムが狙われた場合、攻撃者側の優位性が際立つ。

Microsoftも1カ月半発見できなかった

　ロシアに関連する脅威グループ「Midnight Blizzard」は、2023年にパスワードスプレー攻撃を用いてMicrosoftの本番環境以外にあったテスト用アカウントを侵害した（注2）。その後、同社の上級幹部の電子メールアカウントに対するアクセス権を取得した。

　その後、このアクセス権を利用して同社の上級幹部の電子メールそのものやその他の文書を盗んだ。パスワードスプレー攻撃は2023年11月末に始まり、Microsoftが攻撃を発見できたのは2024年1月12日だった。つまり発覚まで1カ月半かかってしまった。

　Trellixの研究者は報告書の中で「脅威グループはユーザー名を取得したり、ユーザー名の命名パターンを推測したりして得たデータを従業員リストと照合して、組織に対してパスワードスプレー攻撃を仕掛けた」と述べた。これは単純なパスワードスプレー攻撃をより強力にした攻撃だったということだ。

　報告書によると、攻撃者はアカウントIDを使って複数のプロキシやVPNノードを利用し、各アカウントに対して大量のパスワードを継続的に試すことができたという。

多要素認証に頼り切ることはできない

　このようなアイデンティティーベースの攻撃に対する予防策として有効なのは多要素認証だ。しかし、Trellixは攻撃者がソーシャルエンジニアリングを用いて多要素認証をすでに回避しており、このような状況が続くと予測した。

　報告書によると、今後さらに自動化されたAI駆動型の手法やAI支援型の手法が登場して、パスワードスプレー攻撃がより効率的で検出を回避しやすく、状況に適応したものになることが予想できるという。