パスワードスプレーと認証情報の詰め込み：違いと防止策

パスワードスプレーと認証情報の詰め込みの主な違いは、攻撃を実行するために必要な要件です。両方とも悪意のある行為者によってユーザーアカウントに不正アクセスするために使用されるブルートフォース攻撃です。

最初は怖いかもしれませんが、これらは依然としてあなたの側のミスに依存しています。このパスワードスプレーと認証情報の詰め込みガイドでは、これらの攻撃を防ぐ方法と、それらの違いを示します。

パスワードスプレーとは？

パスワードスプレーは、悪行者が異なる有効なユーザー名に対していくつかのランダムな一般的に使用されるパスワードを試すブルートフォース攻撃の一形態です。つまり、攻撃者は正当な情報を持っていないのです。

その代わりに、平均的なユーザーが多くの有効なユーザー名に使用する一般的で覚えやすいパスワードのいくつかを撒きます。これらの弱いパスワードには、password、123456、123abc、111111などが含まれます。

攻撃者は、有効なアカウントの1つに最終的に侵入するまで、異なる一般的なパスワードでこの手順を繰り返します。

認証情報の詰め込みとは？

パスワードスプレーとは異なり、認証情報の詰め込みでは、攻撃者がユーザーのアカウントのログイン認証情報にアクセスします。これは通常、オンラインの漏洩によって発生します; たとえば、あなたのアカウントを持っているウェブサイトのデータベースが侵害された場合などです。

単一のアカウントからのパスワードを使用して、悪意のある行為者は同じユーザーが持つ他のオンラインアカウントにアクセスしようとします。パスワードが機能しない場合、ハッカーは同じパスワードの異なるバリエーションを試みます。

たとえば、ハッカーはユーザーのFacebookユーザー名、メールアドレス、およびパスワードにアクセスすることができます。それから彼はそのパスワードを使って、その人物のTwitterまたはGmailアカウントに入ろうとします。これがうまくいかなければ、代わりにパスワードのバリエーションを使用します。

パスワードスプレーと認証情報の詰め込みの違いは何ですか？

1. 攻撃の目的

これら2つのタイプの攻撃の主な目的は、ユーザーのアカウントに不正にアクセスすることです。ただし、認証情報の詰め込みの場合、目的は1つのアカウントの漏洩したユーザー認証情報を使用して、同じユーザーが持つ複数のアカウントにアクセスすることです。

一方で、パスワードスプレーは、悪行者が異なる有効なユーザー名に撒くための一般的なパスワードのリストを持っていることを必要とします。

2. 要件

認証情報の詰め込み攻撃の要件は、作業するための漏洩したオンライン認証情報のベースです。これは通常、オンライン漏洩または組織のデータベースのハッキングを通じて得られます。

一方で、パスワードスプレーは漏洩したデータを必要としません。単なる有効なユーザー名のランダムなリスト、通常はメールアドレスと一般的に使用されている簡単なパスワードです。

3. 操作のモード

認証情報の詰め込みは手動で行うこともできますが、ハッカーはボットネットを使用します。彼らは利用可能なデータをボットに供給し、異なるバリエーションを生成して他のアカウントにアクセスしようとします。

この形態の攻撃は、ほとんどのインターネットユーザーが異なるアカウントに対して固有のパスワードを保持していないため、機能します。その代わりに、彼らは同じパスワードを繰り返し使用するか、そのバリエーションを使用します。

攻撃者もパスワードスプレーのためにボットネットを使用します。ボットは有効なユーザー名を操作し、それらをよく使用されるパスワードと一致させて、有効なアカウントの認証情報を取得するまで作業します。

この形態の攻撃は、平均的なインターネットユーザーがパスワードを必要とする数十のアカウントを持っているため、時には成功します。ほとんどの人はこれらの弱く、いわゆる覚えやすいパスワードを使用することを好みます。これにより、ハッカーが彼らのアカウントにアクセスするのが容易になります。

認証情報の詰め込みとパスワードスプレーを防ぐにはどうすればいいですか？

以下は、組織や個人がこれらのブルートフォース攻撃を防ぐためにできることのいくつかです：

• ユニークなパスワードを使用する – 一般的に使用されるパスワードを使用する誘惑はありますが、これは通常悪い結果につながります。異なるアカウントには常に強力でユニークなパスワードを使用してください。すべてを覚えることが心配であれば、信頼できるパスワードマネージャーを使用することを検討してください。
• 一般的に使用されるパスワードを拒否する – オンラインポータルを持つ組織として、弱く一般的に使用されるパスワードを拒否するパスワード作成ポリシーを持つ必要があります。これにより、パスワードスプレー攻撃を早期に察知できます。
• 多要素認証（MFA）を使用する – ポータルとアカウントのセキュリティを強化するためには、パスワードの重要性を減らす必要があります。これを実現する効果的な方法の1つは、2要素認証（2FA）または多要素認証を導入することです。これにより、ユーザーはパスワードに加えて追加の情報を提供したり、デバイスへのアクセスを持ったり、生体認証による確認を行ったりする必要があります。
• データベースの漏洩を定期的に確認する – 時には、一部の組織が自分のデータベース、特に漏洩した認証情報のデータベースを共有しているものを確認します。これにより、侵害されたアカウントに対して迅速に行動することができます。
• ログイン試行の制限 – 認証情報の詰め込みとパスワードスプレーを防ぐもう1つの効果的な方法は、同時に行えるログイン試行の回数を制限することです。また、ログインプロセスにCAPTCHAや他の活動検出ツールを導入してボットを制限することもできます。

これで、認証情報の詰め込み対パスワードスプレーのガイドは終了です。この情報を参考に、これらの攻撃の形態とそれを防ぐ方法をすべて把握しています。

オフラインのパスワードマネージャーのリストが必要な場合は、利用可能なトップピックに関する詳細ガイドをチェックしてください。

これらのブルートフォース攻撃に関するあなたの体験を、下のコメントで気軽に私たちと共有してください。