パスワード攻撃とは — ログイン・保存・復旧を防御側で点検する

パスワード攻撃とは：認証情報とログインを狙うリスク

パスワードに関するリスクは、ログイン画面での試行だけではありません。使い回した認証情報、保存データの漏えい、弱い復旧手続きも関係します。本ページは、情シス・開発者・SaaS管理者が防御を確認する教材です。攻撃対象の探索、回避、認証試行や解読の手順は扱いません。

ログイン、保存、復旧を分けて点検すると、一つの対策へ過度に依存するのを避けられます。

• ログイン

  複数アカウントを含む試行、MFA、成功後の動作を確認。

• 保存

  専用方式、ソルト、計算負荷、漏えい時の対応を確認。

• 復旧

  本人確認、再登録、復旧先変更、既存セッションを確認。

主な概念の違い

概念	防御側で理解する意味	確認観点
ブルートフォース	多数の候補を試す行動	試行制限、失敗と成功の関連、通知
辞書攻撃	頻出語や既知の候補に基づく試行	既知の漏えい値等の拒否、使い回し防止
パスワードスプレー	複数のアカウントへ少数の候補を試す行動	アカウントをまたぐ時間・接続元・結果の関連
クレデンシャルスタッフィング	漏えいした組の使い回しによる不正ログイン	一意のパスワード、MFA、成功後の異常
オフライン解析	取得された保存データを使う推測	パスワード保存方式と漏えい対応

オンラインのレート制限が、漏えいした保存データのオフライン解析にも効くわけではありません。解読時間は方式、計算負荷、候補、機材等によって変わるため、「何文字なら必ず何年」とは保証できません。

ログイン・保存・復旧のチェックリスト

• NIST SP 800-63B-4を参考に、長さ、漏えい値等の拒否、試行制限を確認する。
• パスワードマネージャーによる一意の管理と、対応するMFAを利用する。
• 単一アカウントだけでなく、複数アカウントの試行を時系列で見る。
• 接続元IPだけで断定せず、正規の共有ネットワークや利用状況と照合する。
• OWASPの保存ガイドに沿って方式、ソルト、負荷、移行を確認する。
• 復旧先・認証器の変更、ヘルプデスクの本人確認を記録する。
• ログへ平文パスワード、トークン、回復コードを出さない。

一律のアカウントロックやIP遮断は、正規利用への影響もあります。制限、追加認証、通知、例外と調査を組み合わせ、責任者が判断してください。

漏えい・不正ログインが疑われる時の初動

正規の管理経路からログイン履歴、アクティブなセッション、認証器、復旧先、アプリ権限を確認します。使い回しがある場合は他の利用先も対応対象にします。変更・失効・封じ込めは責任者と判断し、証跡保全と並行して進めます。

パスワード変更だけで既存セッションがすべて失効するとは限りません。MFAを導入済みでも、手入力コードのフィッシングや認証後のセッション侵害等は別に確認します。

記録と次の学習

対象アカウント、試行・成功・変更の時刻、接続元と端末、承認、確認事実、未確認事項、対応、再確認を残します。実際のパスワードやハッシュの一覧を一般の問い合わせへ添付しないでください。

パスワード管理、Hashcatと保存方式の監査、MFA、漏えい通知の確認へ進めます。