ブルートフォースアタックよいこTwitterFacebookはてブパスワード認証を突破して不正アクセスする攻撃方法の中に、総当たり攻撃(またはブルートフォースアタック)と言われるものがあります。ブルートフォースアタックについては、せぐなべの下記記事にて解説しています。>認証」の基礎知識(4):パスワードにまつわる脅威この総当たり攻撃は、あるアカウントに対してパスワード候補を次々に送信して何度も試していく、という力技の攻撃方法です。この攻撃への対策として、パスワード認証を何回か続けて間違えると、パスワード入力を不可能にして、一定時間リトライできないようにする「アカウントロック」という方法があります。このアカウントロックは一般的で、導入されているのが普通です。「パスワードスプレー攻撃」というのはこのアカウントロックを回避する総当たり攻撃です。ロックがかかっている時間よりも長い時間をかけて、「ゆっくりと認証を繰り返す」ことで、アカウントロックを回避するとともに、システム管理者に攻撃を気づかれないようにする、というものです。通常の総当たり攻撃よりもゆっくり繰り返す分、パスワード突破まで時間もかかってしまうため効率はよくないのですが、複数サイト、複数のアカウントで同時に行っていくことで、成功率を上げるように組まれています。シングルサインオンやクラウドサービスなどのウェブアプリケーションをターゲットとしてパスワードスプレー攻撃されることが多く、万一突破されてしまうと連携しているサービスまで不正アクセスされてしまうことになり、十分な注意が必要です。最低でも「ありがちなパスワードは使用しない」「パスワードは使い回しにしない」「パスワード桁数は8桁以上。できれば10桁以上」というのは守っておきたいですね。多要素認証を導入して、認証強化をしておくこともおすすめです。固定パスワードを使わない認証システムの「PassLogic」なら、パターンの桁数を8桁に設定した場合で、毎回1億分の1の確率でしか当たりを引けない状況を作れます。Ltd.パスワード全部パターン1つでまとめて覚えるパスワード生成・管理アプリ詳しくはこちら。